Assurance cyber : monter un dossier solide

01Pourquoi les assureurs ont durci le ton

Après plusieurs années de sinistres ransomware coûteux, le marché de l'assurance cyber s'est assaini : questionnaires plus exigeants, exclusions plus nombreuses, et vérifications parfois techniques avant souscription. Pour une PME, la conséquence est claire : l'assurance cyber ne remplace pas la sécurité, elle la récompense. Le dossier se prépare comme un dossier de financement.

02Les prérequis quasi systématiques

D'un assureur à l'autre, les questionnaires varient, mais un socle revient presque toujours :

• Authentification multifacteur (MFA) sur la messagerie, les accès distants (VPN) et les comptes d'administration ;
• Sauvegardes externalisées et testées, idéalement immuables, avec des restaurations vérifiées ;
• Protection des postes et serveurs de type EDR, au-delà du simple antivirus ;
• Gestion des privilèges : comptes administrateurs séparés, droits limités au nécessaire ;
• Mises à jour suivies des systèmes et des équipements exposés sur internet ;
• Sensibilisation régulière des équipes, idéalement avec des exercices de phishing.

L'absence d'un de ces points ne ferme pas toujours la porte, mais elle se paie : prime majorée, franchise élevée ou exclusion du risque ransomware — précisément celui que vous voulez couvrir.

03Ce que couvre (et ne couvre pas) une police cyber

Une bonne police couvre généralement la gestion de crise (investigation, assistance juridique, communication), la restauration des données et des systèmes, les pertes d'exploitation, et la responsabilité civile en cas de fuite de données de tiers. Lisez attentivement les exclusions : actes de guerre, négligence grave, systèmes obsolètes non corrigés, et parfois le remboursement des rançons, encadré ou exclu selon les contrats.

Vérifiez aussi les plafonds par poste : un plafond global confortable peut masquer un sous-plafond très bas sur les pertes d'exploitation, souvent le coût principal d'un arrêt.

04Devenir assurable en 90 jours

1. Récupérer les questionnaires de deux ou trois assureurs : ils constituent une excellente liste d'exigences cibles.
2. Faire auditer l'écart entre votre posture actuelle et ces exigences.
3. Traiter d'abord MFA, sauvegardes et EDR — les trois critères les plus discriminants.
4. Documenter : les assureurs valorisent les preuves (rapports de tests de restauration, taux de couverture MFA, programme de sensibilisation).

Bien mené, ce parcours améliore votre sécurité réelle avant même de réduire votre prime. L'assurance devient alors ce qu'elle doit être : le filet de sécurité d'un dispositif déjà solide, pas un substitut.