Cyberassurance : que va vous demander l'assureur avant de vous couvrir ?
L'assureur veut savoir si vous avez les protections de base : double authentification, sauvegardes régulières gardées à part, détection sur les ordinateurs, plan de crise et historique de vos incidents. Il vous interroge par écrit, et vos réponses vous engagent : une réponse volontairement fausse rend le contrat nul. Avant de signer, vérifiez chaque « oui » et rassemblez la preuve qui va avec.
Pourquoi l'assureur pose autant de questions
Une cyberassurance ne se signe pas comme une assurance incendie. Avant de couvrir votre entreprise, l'assureur veut savoir si les protections de base sont en place. Une PME sans sauvegarde ni double authentification est, pour lui, un risque qu'il refuse ou qu'il fait payer cher.
Assuralia, la fédération belge des entreprises d'assurance, résume ce que les compagnies regardent avant de couvrir une entreprise. La liste est courte, mais chaque point demande une preuve, pas une impression.
Côté prix, Assuralia indique des primes qui vont souvent de quelques centaines à quelques milliers d'euros, selon le risque et les protections déjà en place, et des franchises du même ordre. Le tarif est en général calculé au cas par cas : vos réponses pèsent directement sur la prime.
Les six points que l'assureur regarde
| Ce que l'assureur vérifie | Ce que ça veut dire, en clair | Ce qu'il faut pouvoir montrer |
|---|---|---|
| Double authentification | En plus du mot de passe, un code ou une validation sur le téléphone pour se connecter | La liste des comptes protégés : messagerie, accès à distance, comptes d'administration |
| Sauvegardes régulières, gardées à part | Une copie de vos données à un autre endroit, qu'un pirate entré dans votre réseau ne peut pas effacer | La fréquence des copies et la date du dernier essai de restauration réussi |
| Détection sur les ordinateurs (EDR, MDR) | Un logiciel qui repère un comportement suspect, pas seulement les virus connus ; avec le MDR, une équipe surveille les alertes pour vous | Le nombre d'ordinateurs et de serveurs couverts, et qui reçoit les alertes |
| Historique des sinistres | Les incidents déjà vécus : virus, boîte mail piratée, fraude au virement | Une liste datée, avec ce qui a été corrigé depuis |
| Plan de crise ou de continuité | Qui fait quoi le jour où tout s'arrête, et comment l'activité continue | Un document court, à jour, avec les numéros à appeler |
| Accord pour un audit indépendant | Accepter qu'un tiers vérifie, par exemple selon le référentiel CyberFundamentals du CCB | Une auto-évaluation récente, ou le rapport d'un organisme agréé |
Le CCB, c'est le Centre pour la Cybersécurité Belgique, l'organisme public chargé de la cybersécurité du pays. Selon lui, environ 80 % des cyberattaques sont rendues possibles par une inattention ou une erreur humaine (chiffre repris par Assuralia). Attendez-vous donc aussi à une question sur la formation de votre personnel.
Les « oui » qui ne tiennent pas
Le piège n'est pas la question, c'est la réponse trop rapide. Avant de cocher « oui », vérifiez ces cas fréquents :
- La double authentification « partout », sauf sur la boîte partagée de l'accueil, le compte d'un ancien employé ou celui de l'administrateur. Un seul compte oublié suffit à rendre la réponse inexacte.
- La sauvegarde dans le cloud qui n'est qu'une synchronisation : si un rançongiciel (un programme qui chiffre vos fichiers puis exige une rançon) abîme un fichier, la copie abîmée est recopiée telle quelle. Une vraie sauvegarde garde les anciennes versions, hors de portée du pirate.
- La sauvegarde jamais testée : tant qu'on n'a pas restauré un dossier, on ne sait pas si elle fonctionne.
- L'antivirus présenté comme de la détection : un antivirus classique et un outil de détection et de réponse ne font pas le même travail. Demandez à votre prestataire ce qui est réellement installé.
- Le plan de crise dans la tête du gérant : s'il n'est pas écrit, il n'existe pas pour l'assureur.
Vos réponses vous engagent : ce que dit la loi
En Belgique, la loi du 4 avril 2014 relative aux assurances est claire. Son article 58 vous oblige à déclarer exactement, à la signature, tout ce que vous savez et qui compte pour l'assureur dans l'appréciation du risque. Le questionnaire écrit est la forme concrète de cette obligation.
| Situation | Ce que prévoit la loi |
|---|---|
| Réponse volontairement fausse ou information cachée (article 59) | Le contrat est nul. L'assureur garde les primes échues jusqu'au moment où il découvre l'omission. |
| Erreur non volontaire, découverte avant tout sinistre (article 60) | Le contrat reste valable. L'assureur propose de l'adapter dans le mois, ou le résilie s'il prouve qu'il n'aurait jamais couvert ce risque. |
| Erreur non volontaire qu'on ne peut pas vous reprocher, sinistre entre-temps | L'assureur doit fournir la prestation convenue. |
| Erreur qu'on peut vous reprocher, sinistre entre-temps | L'assureur ne paie qu'en proportion de la prime payée par rapport à celle que vous auriez dû payer. S'il prouve qu'il n'aurait jamais couvert ce risque, il se limite à rembourser les primes. |
Deux précisions utiles. Si une question écrite reste sans réponse et que l'assureur signe quand même, il ne peut plus s'en prévaloir ensuite, sauf fraude (article 58). Et en cours de contrat, l'article 81 vous oblige à déclarer les changements qui aggravent le risque de façon sensible et durable. Si vous arrêtez les sauvegardes externes, par exemple, parlez-en à votre courtier.
Un cas pour illustrer
Exemple, inventé pour illustrer. Une société de services d'une vingtaine de personnes remplit le questionnaire en dix minutes, entre deux rendez-vous. À la question « La double authentification est-elle activée pour tous les utilisateurs ? », le gérant coche « oui ». Il l'a fait activer l'an dernier, mais le compte partagé de la comptabilité en a été exclu, pour ne pas bloquer le logiciel de facturation.
Huit mois plus tard, un pirate entre justement par ce compte. En analysant le sinistre, l'expert de l'assureur constate l'écart. La question devient juridique : omission volontaire ou erreur de bonne foi ? Dans le meilleur des cas, l'indemnité est discutée ; dans le pire, le contrat est contesté. Dix minutes de vérification avant de signer auraient évité la discussion.
Ce qu'un contrat cyber couvre, et ce qu'il faut vérifier
Selon Assuralia, un contrat cyber pour entreprise peut combiner plusieurs volets :
- Vos propres pertes : l'interruption d'activité, l'analyse et la reconstruction des données, les informaticiens et consultants appelés en urgence, et éventuellement les amendes administratives.
- Votre responsabilité envers les autres : si vos clients ou partenaires subissent un dommage, y compris les frais de défense.
- L'assistance : aide technique, communication, gestion de crise et protection de la réputation.
- La rançon : aide à la négociation et au paiement, un volet que l'assureur n'accorde pas toujours.
La fraude au virement (le faux fournisseur, le faux patron) n'est pas forcément dans le contrat cyber : Assuralia conseille d'envisager une garantie fraude à côté. Lisez les exclusions et les plafonds avant de comparer les prix.
Après une attaque : les réflexes qui protègent votre indemnisation
- Prévenir l'assureur ou le courtier dès que possible, et en tout cas dans le délai fixé par le contrat (article 74 de la loi). Notez le numéro d'assistance du contrat dans votre plan de crise.
- Limiter les dégâts : la loi vous demande de prendre toutes les mesures raisonnables pour prévenir et atténuer les conséquences du sinistre (article 75). Suivez les consignes de l'assistance du contrat pour isoler les machines touchées.
- Garder les traces : captures d'écran, messages reçus, heure de découverte. L'expert de l'assureur en aura besoin.
- Prévenir l'Autorité de protection des données (APD) si des données personnelles sont touchées : si possible dans les 72 heures après la découverte, sauf si la fuite ne présente probablement aucun risque pour les personnes. La notification se fait via la page de l'APD consacrée aux violations de données.
Si vous ne respectez pas ces obligations et que l'assureur en subit un préjudice, il peut réduire sa prestation à hauteur de ce préjudice. En cas d'intention frauduleuse, il peut refuser sa garantie (article 76).
CyberFundamentals : une preuve que l'assureur sait lire
Plutôt que de répondre à chaque questionnaire à votre façon, vous pouvez vous appuyer sur un référentiel reconnu. Le CCB a créé CyberFundamentals (CyFun), une liste de mesures classées par niveaux. Le niveau « Basic » compte 34 mesures. Selon deux responsables du CCB, appliquées pleinement, elles bloquent 82 % des incidents réels analysés (Belgian Financial Forum, mai 2024).
Les mêmes auteurs précisent qu'une simple auto-évaluation pèse peu : c'est la vérification par un organisme accrédité qui donne une image fiable du risque, notamment aux assureurs. L'auto-évaluation reste un bon point de départ pour savoir où vous en êtes. Des outils gratuits pour les entreprises belges, dont un questionnaire d'auto-évaluation, sont regroupés sur Safeonweb@work.
Votre plan pour lundi matin
- Demandez à votre courtier le questionnaire de l'assureur avant le rendez-vous, pas le jour de la signature.
- Faites dresser la liste de tous les comptes, y compris partagés et techniques, et repérez ceux qui n'ont pas la double authentification.
- Faites restaurer un dossier depuis la sauvegarde, et notez la date et le résultat.
- Demandez à votre prestataire ce qui protège réellement vos ordinateurs : antivirus classique ou outil de détection, et qui reçoit les alertes.
- Écrivez la liste des incidents des dernières années, même mineurs, avec ce qui a été corrigé.
- Rédigez un plan de crise d'une page : qui appeler, dans quel ordre, avec le numéro d'assistance de l'assureur.
- Gardez une copie du questionnaire signé et des preuves : en cas de sinistre, c'est votre dossier.
Préparer votre dossier de cyberassurance→
Questions fréquentes
Une PME est-elle obligée de souscrire une cyberassurance ?
Non, aucune loi ne l'impose. Elle est utile si un arrêt de plusieurs jours ou la reconstruction de vos données coûterait plus que ce que vous pouvez absorber : Assuralia conseille d'assurer les montants que vous ne pourriez raisonnablement pas payer vous-même. Elle ne remplace pas les protections : l'assureur les exige justement avant de vous couvrir.
Que se passe-t-il si je réponds « non » à une question du questionnaire ?
Un « non » honnête ne vous met pas en faute : l'assureur adapte la prime, pose des conditions ou refuse de couvrir. C'est la réponse fausse qui pose problème. Volontaire, elle rend le contrat nul (article 59 de la loi du 4 avril 2014) ; involontaire, elle peut réduire l'indemnité (article 60).
Combien coûte une cyberassurance pour une PME ?
Selon Assuralia, les primes vont souvent de quelques centaines à quelques milliers d'euros, selon le risque et les protections en place, avec des franchises de quelques centaines à quelques milliers d'euros. Le prix est en général fixé au cas par cas, d'après vos réponses.
La rançon est-elle remboursée en cas de rançongiciel ?
Parfois seulement : selon Assuralia, la rançon n'est pas toujours couverte. Lisez la clause avec votre courtier. La vraie protection reste une sauvegarde testée et gardée à part, qui vous permet de redémarrer sans dépendre du pirate.
CyberFundamentals fait-il baisser la prime ?
Aucun barème public ne le garantit. Mais Assuralia cite l'audit CyberFundamentals du CCB parmi ce que l'assureur peut demander, et le CCB le présente comme une image fiable du risque, notamment pour les assureurs. C'est donc un argument solide dans la discussion.
Dois-je déclarer un incident survenu avant la signature ?
Oui, s'il est demandé dans le questionnaire ou si c'est une information qui compte pour l'assureur (article 58 de la loi). L'historique des sinistres fait partie des points qu'Assuralia cite. Le cacher volontairement expose à la nullité du contrat.