L'assurance cyber pour les entreprises

Une attaque rançongiciel qui bloque les systèmes, une fuite de données de clients, une fraude par courriel falsifié qui détourne un virement : les incidents informatiques figurent aujourd’hui parmi les risques opérationnels les plus concrets, y compris pour les PME suisses. L’assurance cyber est née pour atténuer l’impact économique de ces événements. Ce n’est pas un substitut à la sécurité informatique, mais une pièce d’une stratégie de gestion du risque numérique.

Pourquoi les PME aussi sont des cibles

Beaucoup d’entrepreneurs pensent être « trop petits » pour intéresser les attaquants. C’est une erreur : une grande partie des attaques est automatisée et frappe quiconque a des défenses faibles. Les PME sont souvent des cibles attrayantes précisément parce que moins protégées et plus enclines à payer pour rétablir l’activité.

Les conséquences d’un incident vont bien au-delà de la rançon :

Interruption de l’activité et perte de chiffre d’affaires pendant les jours de blocage.
Coûts de rétablissement des systèmes et de récupération des données.
Responsabilité envers les clients et partenaires pour la violation de leurs données.
Dommages réputationnels difficiles à quantifier.

Ce que couvre une police cyber

Les couvertures varient beaucoup d’un assureur à l’autre, mais les modules typiques sont :

Assistance en cas d’incident : accès à des spécialistes IT en informatique légale, juridiques et de communication de crise, souvent la valeur la plus concrète dans les premières heures.
Dommages propres : coûts de rétablissement des données et des systèmes, frais d’interruption d’exploitation, dans certaines polices le paiement géré d’une extorsion par rançongiciel.
Responsabilité envers les tiers : prétentions de clients ou de partenaires pour la compromission de leurs données.
Coûts de notification et gestion des conséquences d’une violation de données personnelles.
Couvertures accessoires pour les fraudes informatiques et l’ingénierie sociale, généralement avec des conditions et des plafonds spécifiques.

Le cadre suisse de la protection des données

La révision de la Loi fédérale sur la protection des données (nLPD), en vigueur depuis septembre 2023, a renforcé les obligations des entreprises qui traitent des données personnelles. Parmi elles, l’obligation d’annoncer au Préposé fédéral les violations de la sécurité des données qui entraînent un risque élevé pour les personnes concernées, et des exigences plus strictes en matière de sécurité et de transparence.

Une police cyber ne remplace pas la conformité : elle aide à couvrir les coûts qu’une violation génère, y compris les activités de notification et de gestion. Mais l’entreprise reste responsable d’adopter des mesures techniques et organisationnelles adéquates.

La prévention avant la police

Les assureurs exigent de plus en plus souvent un niveau minimal de sécurité pour accorder la couverture ou pour payer en cas de sinistre. Les mesures de base qui comptent :

Sauvegardes régulières, testées et conservées hors ligne ou isolées.
Authentification à plusieurs facteurs sur les accès critiques et la messagerie.
Mises à jour et correctifs rapides des systèmes.
Formation du personnel au hameçonnage et aux fraudes par courriel.
Un plan de réponse aux incidents défini avant qu’il ne soit nécessaire.

Qui se présente avec des défenses solides obtient de meilleures conditions et réduit la probabilité même du sinistre.

Comment dimensionner la couverture

Les paramètres clés sont le plafond, cohérent avec le dommage potentiel dû à l’arrêt d’activité et à la responsabilité, les franchises, les délais d’attente pour l’interruption d’exploitation et le champ précis des exclusions. Attention aussi à la couverture des fraudes par ingénierie sociale, souvent limitée. La couverture doit être calibrée sur la dépendance réelle de l’entreprise aux systèmes numériques et sur la sensibilité des données traitées.

Comment nous vous aidons

Nous évaluons votre exposition au risque numérique, le niveau de protection des données et les mesures de sécurité en place, pour comprendre quelle couverture cyber a du sens et comment l’intégrer dans votre gestion globale du risque. Analysons votre risque numérique.