Sans sauvegardes ni double authentification, votre assureur cyber peut refuser de payer

En bref : votre assurance cyber ne vous couvrira pleinement que si vous respectez certaines exigences minimales de sécurité. Sauvegardes régulières et testées, double authentification sur les accès sensibles et plan de réponse aux incidents documenté sont désormais des conditions quasi systématiques. Sans ces mesures, l’assureur peut réduire, voire refuser totalement l’indemnisation en cas de cyberattaque.

Une PME suisse est victime d’un rançongiciel. Les fichiers sont chiffrés, l’activité paralysée, la direction contacte immédiatement son assureur cyber, convaincue d’être protégée. Quelques semaines plus tard, la désillusion est brutale : faute de sauvegardes fonctionnelles et d’authentification renforcée sur les accès à distance, l’indemnisation est refusée ou fortement réduite.

Ce scénario n’a rien d’exceptionnel. Il illustre une réalité méconnue : les conditions assurance cyber ne sont pas de simples cases à cocher lors de la souscription, mais des obligations contractuelles dont le non-respect peut coûter cher au moment où l’entreprise a le plus besoin de son assureur.

Cet article détaille les exigences techniques et organisationnelles qui conditionnent réellement le paiement d’un sinistre cyber, et comment vous assurer d’y répondre avant de signer votre contrat.

Pourquoi les assureurs cyber posent des conditions strictes avant de couvrir votre entreprise

Contrairement à une assurance responsabilité civile ou à une assurance choses classique, le risque cyber dépend en grande partie du comportement de l’assuré. Les assureurs cherchent donc à limiter l’aléa moral, ce risque que l’entreprise relâche sa vigilance simplement parce qu’elle se sait couverte. Ils imposent un devoir de diligence, formalisé dans les conditions générales du contrat.

En droit suisse, la loi fédérale sur le contrat d’assurance (LCA) encadre ces situations. L’article 14 LCA traite de la cause fautive de l’événement redouté et permet à l’assureur de réduire, voire de supprimer sa prestation lorsque le sinistre résulte d’une négligence grave de l’assuré. Appliqué au cyber, une absence manifeste de mesures de sécurité de base peut être assimilée à une faute grave, avec des conséquences directes sur l’indemnisation.

Concrètement, le non-respect des conditions du contrat peut entraîner :

• Une réduction proportionnelle de l’indemnisation
• Un refus total de prise en charge du sinistre
• Dans les cas les plus graves, une nullité rétroactive du contrat

Une cyberattaque n’affecte pas uniquement les systèmes internes : la fuite de données clients ou de partenaires peut engager la responsabilité civile professionnelle de votre entreprise. Les deux couvertures sont complémentaires et méritent une attention conjointe.

Les sauvegardes régulières, premier rempart exigé par votre police cyber

En cas d’attaque par rançongiciel, la première question posée par l’assureur est presque toujours la même : disposiez-vous de sauvegardes fonctionnelles et récentes ? Ce critère est devenu le premier point de vérification lors de l’instruction d’un sinistre, car il détermine la capacité de l’entreprise à restaurer son activité sans céder au chantage des cybercriminels.

Les exigences des assureurs portent généralement sur plusieurs points :

• Une fréquence de sauvegarde adaptée à la criticité des données (quotidienne à hebdomadaire)
• Des copies hors-ligne ou déconnectées du réseau principal, pour éviter qu’elles ne soient elles-mêmes chiffrées lors de l’attaque
• Des tests de restauration réguliers, permettant de vérifier que les sauvegardes sont réellement exploitables

Les sauvegardes régulières et testées figurent explicitement dans de nombreuses clauses de garantie. Le cas typique est celui d’une entreprise qui paie une rançon dans l’urgence, sans en informer préalablement son assureur ni justifier de sauvegardes conformes : le remboursement de cette rançon, ou même la prise en charge des pertes d’exploitation associées, peut alors être refusé.

Ce que vérifie l’assureur lors d’un audit ou d’un questionnaire de souscription

À la souscription, l’entreprise remplit un questionnaire déclaratif détaillant son niveau de maturité en cybersécurité. Cette déclaration engage sa responsabilité : toute réponse inexacte ou approximative concernant les sauvegardes, si elle est découverte lors d’un sinistre, peut être interprétée comme une réticence. L’article 6 LCA prévoit que ce type de déclaration inexacte peut entraîner la résiliation, voire la nullité du contrat, indépendamment même du lien avec le sinistre survenu.

Authentification à double facteur (MFA) : une exigence désormais incontournable

La majorité des compromissions de systèmes d’information ne résulte plus d’une faille technique sophistiquée, mais du vol ou de la réutilisation d’identifiants : phishing, credential stuffing, mots de passe faibles ou recyclés. Face à cette réalité, la double authentification s’est imposée comme un standard que les assureurs traduisent désormais en clause contractuelle.

Le périmètre exigé couvre généralement l’ensemble des points d’entrée sensibles du système d’information :

• La messagerie électronique professionnelle
• Les accès VPN et connexions à distance
• Les comptes à privilèges et comptes administrateurs
• Les outils et plateformes hébergés dans le cloud

Il faut distinguer ce qui relève d’une simple recommandation et ce qui constitue une condition suspensive de garantie dans les conditions générales d’assurance. Dans de nombreux contrats récents, l’absence de MFA sur les comptes à privilèges n’est plus tolérée et peut suffire à justifier un refus de prise en charge en cas d’intrusion via des identifiants compromis.

Plan de réponse aux incidents : anticiper pour rester couvert

Au-delà des outils techniques, les assureurs attendent une préparation organisationnelle. Un plan de réponse aux incidents documenté démontre que l’entreprise peut réagir rapidement et de manière structurée face à une cyberattaque, ce qui limite l’ampleur des dommages et facilite la gestion du sinistre.

Ce plan doit généralement prévoir :

• Une procédure d’alerte interne claire, dès la détection d’une anomalie
• Une liste de contacts d’urgence (équipe IT, conseil juridique, assureur)
• Un délai de notification du sinistre à l’assureur, clairement identifié

Ce dernier point mérite une attention particulière : une notification tardive du sinistre peut justifier, à elle seule, une réduction de l’indemnité versée. La formation régulière du personnel à la reconnaissance des tentatives de phishing constitue un critère complémentaire évalué par les assureurs, dans une logique de continuité d’activité qui dépasse le seul cadre de l’assurance cyber.

Comment vérifier et renforcer votre conformité avant de souscrire ou renouveler

Avant de souscrire ou de renouveler une police cyber, quelques vérifications permettent d’éviter bien des désillusions :

1. Auditer l’état réel de vos sauvegardes et leur capacité de restauration
2. Généraliser la double authentification sur l’ensemble des accès sensibles
3. Rédiger, même de façon simple, un plan de réponse aux incidents
4. Mettre à jour vos réponses au questionnaire de souscription en fonction de votre situation réelle

Chez Bien-Assuré, nous insistons sur l’importance de relire attentivement les conditions générales d’assurance et les clauses d’exclusion avant signature, pas seulement de comparer les montants de primes. Un contrat apparemment avantageux peut se révéler inefficace s’il repose sur des exigences que votre entreprise ne remplit pas encore. Nous accompagnons les indépendants et PME dans la mise en correspondance de leur niveau de maturité cyber réel avec la police souscrite. Pensez aussi à vérifier votre assurance choses pour protéger votre infrastructure informatique physique (serveurs, postes de travail, équipements réseau).

La conformité cyber n’est jamais acquise : les menaces évoluent, tout comme les exigences des assureurs à chaque renouvellement annuel. Pour structurer votre démarche de sécurisation, consultez les recommandations officielles du Centre national pour la cybersécurité, en complément de l’accompagnement que nous proposons chez Bien-Assuré pour comparer les offres du marché.