Les comptabilités, les déclarations fiscales, les fiches de salaire et parfois les accès e-banking de vos clients dorment sur vos serveurs. Pour un cybercriminel, votre cabinet vaut tous ces mandats réunis. Un courriel piégé ou un rançongiciel à la veille d’un bouclement bloque vos échéances et expose des dizaines d’entreprises qui comptent sur vous. Votre responsabilité envers elles s’ajoute alors à vos propres frais. Une cyber assurance fiduciaire couvre ces deux volets, en complément de votre RC professionnelle, à condition de lire ce que le contrat prévoit vraiment.
Pourquoi votre fiduciaire est une cible de choix ?
Vos serveurs et vos boîtes mail contiennent la comptabilité complète de chacun de vos mandats. S’y ajoutent les déclarations d’impôt et de TVA, les fiches de salaire, les données personnelles des employés de vos clients, leurs coordonnées bancaires, parfois des accès e-banking ou des procurations. Ces données comptables et fiscales se revendent ou s’exploitent directement.
Un attaquant qui entre chez vous atteint tous vos clients d’un coup. Votre cabinet vaut donc plus à ses yeux qu’une PME isolée.
Les attaques les plus courantes restent simples. Un courriel piégé imite un client ou une administration. Un rançongiciel chiffre vos dossiers la veille d’un bouclement. Une boîte mail compromise envoie de faux ordres de paiement à vos clients, en votre nom.
Le panorama par branche figure dans notre article sur les secteurs les plus exposés aux cyber-risques en Suisse.
Ce que vous risquez vis-à-vis de vos clients
Votre responsabilité ne s’arrête pas à vos propres frais. Vous devez aussi protéger les données personnelles que vous traitez et respecter les obligations légales qui s’appliquent en Suisse en la matière. Ces conditions dépendent du cas ; le texte légal ou un juriste vous le confirmera.
Après un incident, voici ce qui coûte réellement à une fiduciaire :
- reconstituer les dossiers touchés ;
- prévenir chaque client, un par un ;
- refaire des déclarations déjà envoyées ;
- assumer un retard de salaires ou de TVA, avec des pénalités qui retombent sur le client, puis sur vous ;
- perdre des mandats et la confiance qui va avec.
Votre responsabilité envers vos clients pèse donc plus lourd que la panne elle-même.
Un dossier bloqué à la veille d’une échéance
Les salaires de plusieurs clients ne partent pas à temps. L’un d’eux exige réparation. Le dommage touche d’abord des tiers, ce qui vous distingue d’un commerce classique.
RC professionnelle ou cyberassurance, laquelle vous protège ?
Votre RC professionnelle répond d’une erreur dans votre travail. Un oubli dans une déclaration ou un délai manqué : elle prend en charge le préjudice de fortune qui en découle, c’est-à-dire la perte financière subie par votre client.
La cyberassurance répond d’un incident informatique. L’origine peut être un attaquant ou une faute d’un collaborateur. Elle couvre vos dommages propres et les prétentions de tiers liées à l’incident.
Beaucoup de contrats RC excluent ou limitent les dommages liés aux données et aux systèmes informatiques. Seules les conditions générales de votre contrat le confirment.
Les deux couvertures se complètent. Vérifiez qu’aucun scénario ne tombe entre les deux, par exemple un faux ordre de paiement envoyé depuis votre messagerie.
Pour la RC, lisez ce que couvre la RC professionnelle d’une fiduciaire.
Quelle cyber assurance choisir pour votre fiduciaire ?
Une cyber assurance fiduciaire se juge sur deux volets : ce qu’elle vous rembourse à vous, et ce qu’elle paie à vos clients.
Les garanties qui comptent pour un cabinet comptable
Côté dommages propres, quatre garanties reviennent. La restauration des données et des systèmes remet vos dossiers en état. La cyber-extorsion prend en charge la gestion d’une demande de rançon. La gestion de crise paie les experts informatiques, les juristes et la communication vers vos clients.
Côté tiers, la responsabilité civile cyber répond des prétentions de vos clients dont les données ont fuité. Les frais de notification des personnes concernées s’y ajoutent. Pour une fiduciaire, ce bloc pèse le plus lourd. La fraude par ingénierie sociale (faux ordres de paiement) est souvent une option à demander.
Les points à vérifier avant de signer
- La somme d’assurance, qui dépend du nombre de mandats et du volume de données.
- La franchise et le délai de carence.
- Les exclusions, par exemple des systèmes non mis à jour.
- L’option ingénierie sociale.
- La couverture de vos logiciels comptables en ligne et de leurs prestataires.
- La territorialité et l’assistance disponible en continu.
La couverture dépend du contrat et de ses conditions générales. Le détail figure sur la page de notre cyber assurance professionnelle.
Les mesures de sécurité que votre assureur attendra de vous
Un assureur cyber conditionne souvent sa couverture à des mesures de base. Leur absence peut avoir des conséquences sur la prestation versée ; vérifiez ce que prévoit votre contrat sur ce point.
Vous trouverez le détail de ces gestes dans les recommandations de la Confédération pour les PME.
Certains contrats en tiennent compte dans la prime. Demandez-le avant de signer.
Faire le point sur votre couverture cyber
Relisez vos contrats RC et cyber avec ces scénarios en tête. Un faux ordre de paiement, un dossier chiffré, une fuite de données. Si un cas reste sans réponse, demandez une analyse de vos risques cyber et une offre adaptée à votre fiduciaire.
Plusieurs compagnies proposent ces couvertures. Ce qui compte, c’est leur correspondance avec vos mandats.
Questions fréquentes
Un comptable indépendant qui travaille seul a-t-il besoin d’une cyberassurance ?
Oui, parce que l’exposition tient aux données que vous traitez, pas à la taille de votre cabinet. Seul, vous portez la même responsabilité envers vos clients qu’une fiduciaire de dix personnes, avec moins de bras pour reconstituer vos dossiers après un blocage. Les contrats s’adaptent à votre volume d’activité et la prime dépend du contrat retenu.
Que faire dans les premières heures après une cyberattaque sur votre fiduciaire ?
Isolez les postes touchés du réseau, sans les éteindre si possible, puis appelez le numéro d’assistance de votre assureur. Ne payez aucune rançon sans avis, notez ce qui s’est passé et informez vos clients concernés dès que la situation est claire.
La cyberassurance couvre-t-elle les amendes en cas de fuite de données ?
Les amendes pénales ne sont en général pas assurables en Suisse, et une cyberassurance ne les prendra donc pas en charge. Certains contrats remboursent en revanche les frais de procédure et de défense liés à une enquête de l’autorité de protection des données. Vos conditions générales disent ce qu’il en est pour votre contrat.
Vos clients peuvent-ils exiger que vous ayez une cyberassurance ?
Rien ne l’impose par défaut, mais un client peut l’inscrire dans votre mandat ou la demander lors d’un appel d’offres, surtout s’il traite lui-même des données sensibles. Une attestation d’assurance devient alors un argument commercial. Elle montre aussi votre diligence si un incident survient.
