// CLUBIC — CYBERSECURITY
Assurance cyber : le marché se durcit, les PME non préparées seront bientôt inassurables
Votre assurance cyber vous protège-t-elle vraiment ? Pas forcément. Les assureurs exigent désormais des dispositifs techniques précis avant de signer un contrat, et refusent d’indemniser les entreprises qui ne les respectent pas. Sans préparation ni information, vous pouvez payer une prime chaque année sans pour autant jamais toucher un centime.
Dans 48 % des attaques par ransomwares, les victimes étaient des PME, TPE et ETI en France en 2025, devant les collectivités territoriales et les établissements de santé. Pourtant, une grande majorité de PME n’a toujours pas souscrit de contrat cyber. Et parmi celles qui en ont un, beaucoup ignorent qu’une prime versée chaque année ne garantit pas d’être indemnisé. Un assureur peut refuser toute prise en charge si votre système d’information ne respecte pas les exigences techniques inscrites dans votre contrat. D’autant que les règles se sont considérablement durcies depuis 2022. Les taux de prime continuent de baisser pour les grandes entreprises en 2025, tandis que les PME voient les leurs augmenter. Les assureurs jugent les petites structures trop vulnérables, et certaines sont désormais inassurables. Voici ce que vous devez anticiper.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Quand vous demandez une cyber-assurance, votre assureur vérifie d’abord votre niveau de sécurité réel. Il vous soumet un questionnaire de cybersécurité détaillé, puis contrôle quatre dispositifs techniques. Sans eux, il refuse le contrat ou réduit la couverture au point de la rendre inutile.
Il s’agit de la double authentification. Quand vous vous connectez à un outil, vous devez valider votre identité par un second moyen, un code reçu par SMS ou une application dédiée, en plus de votre mot de passe. Les assureurs exigent ce mécanisme sur vos messageries professionnelles, votre VPN et vos consoles d’administration. Sans MFA sur ces accès, de nombreux assureurs refusent la couverture.
Une sauvegarde, c’est une copie de vos données. Les assureurs contrôlent que vos copies sont régulières, testées (vérifiez que vous pouvez effectivement les restaurer) et physiquement déconnectées de votre réseau. L’ANSSI préconise la règle « 3-2-1 » : au minimum trois copies, sur deux supports différents, dont une conservée hors ligne. Si un ransomware chiffre votre réseau, une sauvegarde connectée à ce même réseau sera chiffrée avec lui.
Un antivirus classique repère uniquement les menaces déjà répertoriées. Les assureurs exigent désormais au minimum un EDR, un logiciel qui surveille en temps réel le comportement de vos postes de travail et détecte les anomalies, même inconnues, idéalement couplé à un SoC, une équipe ou un service qui analyse ces alertes 24h/24. Ils demandent aussi un journal des événements passés, preuve que vous traitez et tracez les incidents.
Les assureurs exigent des preuves de formation continue, notamment des campagnes de phishing simulé, ces faux e-mails piégés envoyés à vos collaborateurs pour tester leurs réflexes et des procédures documentées sur la gestion des mots de passe. Si vous pouvez produire ces documents, vous obtiendrez de meilleures conditions.
Le jour où vous subissez une cyberattaque, un de vos premiers réflexes sera d’appeler votre assureur pour le prévenir. Mais malgré vos bonnes relations et le versement régulier de votre prime, rien ne garantit qu’il vous indemnise. Voici pourquoi.
Dès que vous avez connaissance du sinistre, vous disposez de 72 heures pour déposer cette plainte, et non à partir de la date réelle de l’intrusion. Sans outil de détection sur votre réseau, vous pouvez découvrir une intrusion plusieurs jours après les faits et perdre le bénéfice de votre garantie.