Une TPE a-t-elle besoin d’une cyberassurance ?

Une cyberassurance indemnise votre entreprise après un incident informatique : intrusion, rançongiciel, vol de fichiers, détournement de fonds par fraude au président.

Une cyberassurance indemnise les pertes financières que votre entreprise subit après un incident informatique. Si un employé se fait piéger par un faux président et vire des fonds, c'est la fraude au virement que le contrat prend en charge. Si un rançongiciel bloque vos fichiers, la perte de vos données devient un dommage pour vous, pas seulement pour un tiers. Un arrêt d'activité coûte souvent plus cher que la rançon demandée : facturation gelée, commandes perdues, équipes à l'arrêt. La prévention pèse directement sur la cotisation : des sauvegardes testées et une double authentification font baisser la prime demandée.

Trois niveaux de priorité se dessinent selon ce qui s'arrête quand l'informatique tombe : haute, moyenne, ou à évaluer au cas par cas.

Ne cherchez pas votre métier dans une liste, cherchez votre dépendance. Un garage et un cabinet dentaire n'ont pas la même exposition, parce que l'un peut ouvrir sans son logiciel quand l'autre s'arrête net. Le métier compte moins que la dépendance.

Répondez à trois questions. Sans logiciel, pouvez-vous encore facturer et livrer ? Vos fichiers clients sont-ils nécessaires au quotidien ? Encaissez-vous en ligne ? Voici comment lire vos réponses.

• Priorité haute : un « non » à la première question, ou deux « oui » aux suivantes. C'est le cas d'un cabinet dentaire, d'un e-commerce, d'un cabinet comptable, d'un éditeur de logiciel ou d'un transporteur avec suivi GPS.
• Priorité moyenne : un seul « oui » aux deux dernières questions. Vous détenez des données clients ou vous encaissez en ligne, mais vous tenez quelques jours sans informatique.
• À évaluer : ni données sensibles, ni paiement en ligne, ni dépendance forte. Vérifiez d'abord ce que couvre déjà votre RC Pro.

La RC Pro paie les dommages que vous causez à un tiers ; la cyberassurance paie d'abord les pertes que vous subissez. Les deux ne se remplacent pas.

La RC Pro répond de votre responsabilité envers vos clients et vos fournisseurs. Elle couvre donc les dommages que vous leur causez, et s'étend parfois aux atteintes aux données que vous hébergez. À l'inverse, la cyberassurance prend en charge vos propres pertes financières, même en l'absence de toute faute de votre part.

Alors les deux garanties ne se recoupent-elles jamais ? Si, sur un point précis, la responsabilité après une fuite de données. Là, la cyberassurance peut compléter la RC Pro, et chacune intervient sur un versant différent du même sinistre.

Les sources que nous avons lues ne publient aucun tarif fiable : la prime dépend du chiffre d'affaires, du nombre de postes, des données détenues et des mesures de sécurité en place.

Nous ne donnons pas de prime moyenne, parce qu'aucune des sources lues n'en publie une que nous puissions vérifier. Ce qui fait varier la prime, en revanche, est bien identifié. Elle monte avec le chiffre d'affaires couvert, le nombre de postes informatiques, le volume de données personnelles détenues et la présence d'un site marchand ou de paiements en ligne. L'absence de double authentification pèse aussi, puisqu'elle ouvre la porte aux attaques.

À l'inverse, des sauvegardes testées, des mots de passe gérés, des salariés sensibilisés et un hébergement chez un prestataire reconnu font baisser la prime. Regardez aussi le reste à charge. Une franchise élevée allège la prime tout en fragilisant la trésorerie le jour du sinistre, alors comparez toujours à plafond égal. Demandez deux ou trois devis écrits avec le même plafond et la même franchise, puis comparez la prime annuelle ligne à ligne.

La méthode tient en quatre étapes : mesurer son exposition, trier les garanties, lire les exclusions, puis comparer à garanties égales.

Le plafond affiché n'est qu'un argument commercial : la franchise, les délais d'attente et les exclusions pèsent autant sur ce que vous toucherez réellement. Demandez donc au courtier la liste écrite des exclusions, puis confrontez-la à votre activité avant l'échéance, quand vous pouvez encore changer.

Des sauvegardes testées et une double authentification font baisser la prime, puisque l'assureur y voit un risque moindre. Ces mêmes mesures vous évitent l'exclusion pour négligence. Vous payez moins et vous êtes mieux couvert.

L'ordre des appels et la conservation des preuves déterminent l'indemnisation : assureur ou courtier d'abord, puis la cellule de crise, sans toucher aux postes infectés.

Donc vous décrochez, et le compte à rebours commence. Selon l'article L113-2 du Code des assurances, le contrat ne peut pas prévoir un délai de déclaration inférieur à cinq jours ouvrés après la connaissance du sinistre, et à deux jours ouvrés en cas de vol. Ces délais courent vite, alors préparez vos éléments sans attendre. On vous demandera des éléments peu techniques, comme une capture du message frauduleux, les coordonnées bancaires détournées ou l'identifiant du compte touché.

Si des données personnelles sont concernées, le RGPD (article 33) impose au responsable de traitement de notifier la violation à la CNIL dans un délai de soixante-douze heures, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. Le responsable de traitement, c'est votre entreprise. L'assureur ou son expert peut vous assister dans cette démarche, mais il ne se substitue pas à vous. Transmettez-lui donc rapidement les faits précis, pour que la notification parte dans le délai.

La majorité des refus vient de quatre erreurs : souscrire sous-évalué, laisser un accès partagé, tarder à déclarer, choisir sur le prix seul.

Un chiffre d'affaires déclaré en dessous de la réalité à la souscription fait baisser la prime, mais il peut aussi faire baisser l'indemnisation. L'assureur applique alors une règle de proportionnalité entre ce que vous avez déclaré et ce que vous auriez dû déclarer.

Une clause de négligence ignorée provoque des refus après expertise, même quand l'attaque vient de l'extérieur : l'assureur vérifie vos mots de passe, vos sauvegardes, vos accès partagés. Si vous résiliez votre cyberassurance sans prévenir aussitôt le nouveau contrat, les deux échéances ne se recouvrent pas et le sinistre tombe dans l'intervalle : personne n'indemnise.

Trois décisions concrètes suffisent dans la plupart des TPE : mesurer, comparer, souscrire au bon niveau et non au plus large.

Reprenez votre contrat de RC Pro et notez noir sur blanc ce qu'il couvre déjà en matière de données. Comme la réponse évite un doublon ou un trou, vous savez alors si votre activité est déjà protégée ou si personne ne l'est.

Faites ensuite établir deux devis, une extension cyber et une cyberassurance dédiée, en gardant le plafond et la franchise identiques, puis décidez sur l'écart de garanties réelles. Avant de souscrire, renforcez la double authentification et les sauvegardes. Cette hygiène fait baisser la prime et éloigne les exclusions pour négligence.