Assurance cyber pour PME : quand elle se justifie et ce qu’elle couvre

L’essentiel en bref

Les petites entreprises et les indépendants sont aussi attaqués, le plus souvent par des campagnes automatisées qui ignorent la taille de la cible.
Selon la police, l’assurance cyber prend en charge l’analyse forensique, la remise en état, la perte d’exploitation et les prétentions de tiers.
Les assureurs exigent des standards minimaux : sauvegardes, mises à jour, authentification à deux facteurs. Les négliger peut réduire l’indemnisation.
La police se justifie surtout lorsqu’une panne de plusieurs jours ou une fuite de données mettrait sérieusement l’entreprise en danger.

Pourquoi les petites entreprises sont visées

L’idée qu’« il n’y a rien à voler chez nous » résiste rarement à un examen lucide. Toute PME détient des données clients, gère des paiements et dépend de systèmes sans lesquels l’activité s’arrête. L’Office fédéral de la cybersécurité (OFCS) reçoit chaque année des dizaines de milliers de signalements, et l’hameçonnage, les tentatives d’escroquerie et les rançongiciels touchent régulièrement aussi les microentreprises.

Faiblesses typiques des petites structures :

L’informatique est gérée en marge, sans responsable clair pour les mises à jour, sauvegardes et droits d’accès.
Mots de passe faibles ou réutilisés, absence d’authentification à deux facteurs.
Peu de sensibilisation aux fausses factures, à l’hameçonnage et à la fraude au président.
Le savoir sur les systèmes repose sur une seule personne ou un seul partenaire externe.
Des sauvegardes existent, mais leur restauration n’a jamais été testée.

Ce que couvre généralement une assurance cyber

Les produits proposés en Suisse sont modulaires et diffèrent sensiblement dans le détail. Le tableau présente les modules usuels et les points à vérifier dans le contrat.

Module	Ce qu’il couvre	Points à vérifier
Dommages propres	Forensique, récupération des données, réinstallation des systèmes	Inclusion ou non du remplacement du matériel
Perte d’exploitation	Manque à gagner et frais supplémentaires après une attaque	Délai de carence en heures et durée d’indemnisation
Responsabilité civile	Prétentions de tiers, par exemple après une fuite de données	Défense contre les prétentions injustifiées, couverture à l’étranger
Assistance et gestion de crise	Hotline, spécialistes IT, conseil juridique et en communication	Disponibilité 24 h sur 24, langue, délai d’intervention
Fraude et ingénierie sociale	Virements erronés sur de faux ordres de paiement	Souvent en option, avec une sous-limite basse

Rançons

La prise en charge d’une rançon, et ses conditions, varient selon les polices et restent contestées sur les plans juridique et éthique. Les autorités déconseillent en principe de payer. Clarifiez expressément ce point avec l’assureur.

Obligations et exclusions courantes

Avant la conclusion, l’assureur pose généralement des questions sur votre niveau de sécurité. Les réponses font partie du contrat. Des indications inexactes ou des mesures promises mais non appliquées peuvent entraîner une réduction, voire un refus de prestation en cas de sinistre.

Sauvegardes régulières, séparées du réseau, avec tests de restauration documentés.
Mises à jour de sécurité rapides des systèmes, logiciels et pare-feu.
Authentification à deux facteurs pour la messagerie, l’accès à distance et les comptes administrateur.
Protection antivirus à jour et règles claires pour les droits d’accès.
Sensibilisation du personnel au moins une fois par an.

Les exclusions fréquentes concernent les failles connues mais non corrigées, les dommages liés à des systèmes obsolètes sans support du fabricant, les faits de guerre et les pannes d’infrastructure à grande échelle, comme celles du réseau électrique ou d’Internet. La formulation exacte est déterminante : lisez ces clauses en entier.

Pour qui la police se justifie

L’assurance cyber est un élément de la gestion des risques, pas un substitut aux mesures de protection. Son principal avantage pratique réside souvent dans l’aide immédiate : ne pas savoir qui appeler en cas d’urgence fait perdre des heures précieuses. Elle est particulièrement utile lorsque :

commandes, factures et rendez-vous dépendent entièrement de l’informatique ;
vous traitez des données personnelles sensibles, par exemple de santé ou financières ;
il n’existe pas de service informatique interne et l’aide externe d’urgence n’est pas garantie par contrat ;
une interruption d’une semaine pèserait lourdement sur les liquidités.

La prime dépend du secteur, du chiffre d’affaires, de la somme assurée, de la franchise et du niveau de sécurité. Demandez plusieurs offres et comparez non seulement le prix, mais aussi l’étendue de la couverture, les sous-limites et les délais de carence. Des associations professionnelles proposent aussi des solutions ; selon le prestataire, la Société suisse des cadres (SKV) a par exemple développé avec un assureur spécialisé un produit à conclure en ligne pour indépendants et PME.

Cadre légal

Depuis l’entrée en vigueur de la loi révisée sur la protection des données en septembre 2023, les violations de la sécurité des données présentant un risque élevé doivent être annoncées au PFPDT. Les exploitants d’infrastructures critiques doivent en outre signaler les cyberattaques à l’OFCS. Vérifiez les règles en vigueur et consultez un spécialiste en cas de doute.

Questions fréquentes

Une assurance cyber suffit-elle si nous ne changeons rien d’autre ?

Non. La police amortit les conséquences financières et apporte de l’aide en cas d’incident, mais elle suppose un niveau de protection minimal. Sans sauvegardes, mises à jour et personnel formé, le risque reste élevé et les prestations peuvent être réduites.

Notre RC entreprise ne couvre-t-elle pas déjà les dommages cyber ?

En général de manière très limitée, voire pas du tout. Les dommages propres, comme la remise en état ou la perte d’exploitation, n’y sont le plus souvent pas assurés. Faites vérifier vos polices existantes pour repérer lacunes et doublons.

Combien coûte une assurance cyber pour une PME ?

Il n’existe pas de chiffre forfaitaire fiable. La prime dépend du secteur, du chiffre d’affaires, de la somme assurée, de la franchise et du niveau de sécurité. Comparez plusieurs offres sur des bases identiques.

Que faire en premier en cas d’incident ?

Déconnecter les appareils touchés du réseau sans les éteindre, appeler le numéro d’urgence de l’assureur ou du partenaire informatique et ne rien effacer sans avis. Les incidents peuvent être signalés à l’OFCS ; en présence d’une infraction, une plainte à la police est indiquée.

Les raisons individuelles et les indépendants sont-ils assurables ?

Oui, de nombreux assureurs proposent des produits pour très petites entreprises avec une proposition simplifiée. Là aussi, regardez l’étendue de la couverture et les obligations, pas seulement la prime.

Pour une PME, la question n’est pas de savoir si elle est trop petite pour intéresser des attaquants, mais si elle est prête à faire face à un incident. Une police adaptée complète cette préparation sans la remplacer.