Vous dirigez une petite entreprise, vous n’êtes pas informaticien, et votre assureur vous propose une « cyberassurance ». Elle rembourse une partie des dégâts d’une cyberattaque : serveur bloqué, données volées, activité à l’arrêt. Bonne idée, mais attention : avant de vous couvrir, l’assureur va vous poser des questions précises. Voici lesquelles, ce qu’elles veulent dire, et pourquoi y répondre honnêtement compte plus que tout.
Pourquoi les assureurs deviennent plus exigeants
Parce que les attaques coûtent cher et se multiplient. D’après le baromètre 2026 de l’AMRAE (l’association des gestionnaires de risques d’entreprise), les assureurs ont indemnisé 1 251 sinistres cyber en 2025, contre 448 l’année précédente. Leur coût total est passé de 54 à 83 millions d’euros.
Résultat : les assureurs ne couvrent plus « les yeux fermés ». Le même baromètre montre que le prix moyen de l’assurance a augmenté de 51 % pour les petites entreprises, alors qu’il a baissé pour les grandes. La raison : les grandes entreprises prouvent qu’elles se protègent. Les petites, souvent, ne savent pas encore le faire.
Les questions qu’on va vous poser, traduites en clair
Le questionnaire peut sembler technique. Il revient en général à vérifier quelques réflexes de base.
« Utilisez-vous une double authentification ? » signifie : pour entrer dans votre messagerie ou votre logiciel, un mot de passe ne suffit-il pas ? Un code reçu sur le téléphone s’ajoute-t-il ? C’est le même principe que la validation d’un paiement en ligne par SMS.
« Vos sauvegardes sont-elles isolées et testées ? » signifie : si tout est bloqué demain matin, avez-vous une copie de vos fichiers hors d’atteinte des pirates, et savez-vous que vous pouvez vraiment la récupérer ?
« Vos ordinateurs sont-ils protégés et à jour ? » signifie : un logiciel de sécurité surveille-t-il les postes, et les mises à jour sont-elles faites au lieu d’être repoussées ?
« Qui a les droits d’administrateur ? » signifie : combien de personnes peuvent tout modifier sur vos systèmes ? Moins il y en a, mieux c’est.
Le piège : répondre « oui » à la légère
C’est le point le plus important de cet article. Si vous déclarez une protection qui n’était pas réellement en place le jour d’une attaque, l’assureur peut contester la prise en charge. Les assureurs demandent d’ailleurs de plus en plus des preuves, et pas seulement une case cochée.
Un exemple simple : vous répondez « oui, la double authentification est activée », mais elle ne l’est que sur la messagerie, pas sur l’accès à distance de votre comptable. Ou vous êtes sûr d’avoir une sauvegarde, mais personne ne l’a jamais restaurée. Sur le papier, tout va bien. Le jour de l’attaque, non.
Après une attaque : un délai de 72 heures
Autre règle à connaître : depuis la loi LOPMI de janvier 2023, pour être indemnisé, il faut déposer plainte dans les 72 heures après avoir constaté l’attaque. Un week-end passe vite. Mieux vaut donc savoir à l’avance qui prévenir, qui dépose la plainte et qui appelle l’assureur.
Trois idées reçues à écarter
« Nous sommes trop petits pour intéresser les pirates. » Les attaques sont le plus souvent automatiques : elles cherchent des portes mal fermées, quelle que soit la taille de l’entreprise. « Mon prestataire informatique s’en occupe forcément. » Vérifiez-le : demandez ce qui est réellement activé et ce qui est testé. « L’assurance paiera dans tous les cas. » Non : elle paie selon les conditions du contrat, qui prévoit des exclusions, des plafonds et des franchises que votre courtier doit vous expliquer.
Que faire concrètement, sans être expert
Quatre gestes suffisent pour démarrer. Faire la liste de vos outils (ordinateurs, messagerie, logiciels, sauvegardes). Activer la double authentification partout où c’est possible. Demander que l’on vérifie une restauration de sauvegarde. Écrire sur une feuille les numéros à appeler en cas d’attaque, dont celui de votre assureur.
Dernier conseil : une cyberassurance ne remplace pas la protection. Elle rembourse une partie des dégâts, mais ne rend ni vos données perdues ni la confiance de vos clients. Les deux vont ensemble.
Comment Assutech vous accompagne
Vous n’avez pas besoin de comprendre l’informatique pour être bien protégé : c’est notre métier. Assutech fait le point sur ce que vous avez, corrige ce qui manque, surveille dans la durée et vous remet les justificatifs à fournir à votre assureur. Vous répondez au questionnaire en confiance, et vos réponses restent vraies après la signature.
Pas sûr de pouvoir répondre au questionnaire de votre assureur ?
Nous faisons le point avec vous, simplement, et nous corrigeons ce qui manque.
Sources : AMRAE — baromètre LUCY 2026 (données 2025) · Économie Matin — « La maturité cyber devient la nouvelle ligne de partage des coûts entre PME et grands comptes » (mars 2026) · loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) du 24 janvier 2023, obligation de plainte sous 72 heures.