Assurance cyber pour PME : garanties, prix et solutions contre le piratage

Les cybercriminels ne choisissent pas uniquement les grandes entreprises. Une petite structure peut être visée parce qu'elle dispose de protections moins formalisées, parce qu'elle travaille pour des donneurs d'ordre importants ou tout simplement parce qu'une campagne de phishing automatisée a trouvé une boîte mail vulnérable. Cabinet comptable, agence, artisan, e-commerce, profession libérale ou société de services : toute activité dépendante de ses e-mails, de son logiciel de gestion ou de ses fichiers clients est concernée.

Le risque ne se limite pas au rançongiciel. Un salarié peut saisir ses identifiants sur une fausse page Microsoft 365, un fraudeur peut usurper l'identité d'un dirigeant pour demander un virement, ou un prestataire compromis peut ouvrir une porte vers le système d'information. Une erreur de destinataire contenant des données personnelles peut également déclencher une gestion de crise.

Pour une PME, le coût réel est souvent celui de l'arrêt : commandes impossibles à traiter, paie retardée, outils de production indisponibles, temps des équipes mobilisé et confiance des clients fragilisée. La cyber-assurance intervient alors comme un filet financier et opérationnel, mais elle ne fait pas disparaître l'incident ni ses effets commerciaux.

Il n'existe pas de tarif universel. Pour une très petite entreprise peu exposée, des offres d'entrée de gamme peuvent se situer à quelques centaines d'euros par an. Pour une PME qui traite beaucoup de données, dépend fortement de son informatique, vend en ligne ou intervient dans un secteur sensible, la prime annuelle atteint souvent plusieurs milliers d'euros. Les montants assurés, les franchises et les services inclus expliquent une grande partie des écarts.

L'assureur examine généralement le chiffre d'affaires, le nombre de postes et d'utilisateurs, la nature des données, l'exposition internationale, les sinistres antérieurs ainsi que les mesures de sécurité en place. Un site marchand, un cabinet médical ou une entreprise qui héberge des données clients n'ont pas le même niveau de risque qu'une activité très peu numérisée.

Plutôt que de chercher la cotisation la plus basse, partez d'un scénario réaliste : combien coûterait une semaine sans système de facturation ni accès aux dossiers ? Ajoutez les frais d'experts, de restauration, d'information des clients et l'éventuelle défense juridique. Cette estimation aide à choisir un plafond cohérent et une franchise supportable.

Les assureurs demandent de plus en plus des mesures de base, et c'est logique : l'assurance finance les conséquences d'un sinistre, elle ne peut pas compenser une absence totale d'hygiène numérique. Les exigences exactes dépendent du contrat, mais l'authentification multifacteur, des sauvegardes testées, les mises à jour et la gestion des accès reviennent très souvent dans les questionnaires.

Commencez par activer le MFA sur les messageries, comptes administrateurs, VPN et outils cloud. Sauvegardez les données importantes selon une méthode qui prévoit une copie isolée du réseau, puis testez réellement la restauration. Une sauvegarde non restaurable le jour de l'incident n'est pas une protection efficace.

La formation des équipes est tout aussi importante. Une courte sensibilisation régulière aux pièces jointes suspectes, aux faux liens et aux demandes de virement inhabituelles réduit les erreurs. Les recommandations et ressources pratiques de l'ANSSI peuvent aider une PME à poser ce socle sans chercher à tout faire d'un coup.

Une assurance cyber n'est pas un chèque en blanc. Les dommages connus avant la souscription, les actes intentionnels, la guerre et certains événements systémiques peuvent être exclus ou fortement encadrés. Les défauts de sécurité majeurs, les déclarations inexactes dans le questionnaire ou le non-respect d'une obligation contractuelle peuvent aussi compliquer l'indemnisation.

Attention aux termes proches mais différents : « fraude », « vol de fonds », « erreur de virement », « perte d'exploitation » et « atteinte aux données » peuvent renvoyer à des garanties distinctes. Lisez les définitions, les exclusions et les plafonds par poste. Demandez des exemples de sinistres couverts et non couverts correspondant à votre activité.

Enfin, une sanction administrative, notamment en matière de données personnelles, n'est pas toujours assurable. Le contrat peut toutefois prendre en charge, dans certaines limites, les frais de défense, de conseil ou de notification. Une couverture sérieuse combine donc une lecture attentive du contrat, un dialogue transparent avec l'assureur et un plan de prévention vivant.