GUIDE PRATIQUE · ÉDITION 2026
Assurance cyber.
Ce qu'elle couvre.
Ce qu'elle refuse.
Beaucoup d'entreprises pensent être couvertes. Elles ont signé un contrat, payé une prime, coché la case. Puis l'attaque arrive, elles appellent leur assureur et découvrent que la moitié des frais est exclue. Ce guide explique comment ça marche vraiment, avant que vous en ayez besoin.
Ce qu'un bon contrat prend en charge
Les polices cyber varient beaucoup selon les assureurs. Voici les cinq postes qu'un contrat solide doit inclure, et pourquoi chacun compte quand vous êtes sous attaque.
Experts forensiques, cellule de crise, coordination technique. C'est souvent le poste le plus cher des premières 48 heures.
Le chiffre d'affaires perdu pendant que vos systèmes sont hors ligne. La durée couverte varie beaucoup d'un contrat à l'autre.
Frais juridiques de notification réglementaire, relations presse, gestion de la crise médiatique si l'incident devient public.
Reconstruction du parc informatique compromis, récupération des sauvegardes, remise en service des serveurs. Absent des petits contrats.
Si des données clients ont été exposées dans la brèche, les demandes d'indemnisation peuvent s'accumuler rapidement.
Petit contrat ou contrat complet ?
Beaucoup d'entreprises souscrivent une police d'entrée de gamme sans réaliser ce qui manque. Voyez concrètement la différence.
Les postes absents (restauration, RC, extorsion) représentent souvent 60 à 80% du coût total d'une attaque.
Les exclusions que personne ne lit
Ces clauses sont dans tous les contrats. Elles ne font pas la une des brochures commerciales, mais elles font la une au moment du sinistre.
Si votre infrastructure avait des failles connues non corrigées, l'assureur peut refuser d'indemniser. La négligence est souvent une cause d'exclusion explicite dans les contrats.
La malveillance interne est fréquemment exclue ou couverte sous un plafond distinct, souvent bien inférieur à la garantie principale.
La clause "acte de guerre" est invoquée de plus en plus souvent depuis les conflits en Ukraine. Lloyd's of London a mis à jour ses clauses en 2023, et d'autres assureurs ont suivi.
La plupart des contrats imposent 24 à 72h pour déclarer le sinistre. Passé ce délai, la couverture peut tomber. Ce délai est souvent mal connu des équipes opérationnelles.
Si l'intrusion vient d'un fournisseur compromis (supply chain), certains contrats n'indemnisent pas. La couverture "supply chain" est une option séparée chez plusieurs assureurs.
Activer votre assurance : les premières heures
L'activation n'est pas automatique. Vous devez la déclencher, dans les formes et dans les délais. Voici comment.
Votre assureur va missionner ses propres experts forensiques. Vous pouvez aussi faire appel à vos propres experts en parallèle pour défendre vos intérêts. Les deux interventions ne s'excluent pas.
Sans assurance, à quoi s'attendre ?
Les coûts d'une cyberattaque non couverte s'accumulent vite et souvent dans des catégories que les dirigeants n'anticipent pas.
L'assurance cyber n'est pas une alternative à la sécurité. C'est un filet de sécurité résiduel. Une entreprise non protégée techniquement se verra refuser sa couverture pour négligence. Les deux vont ensemble.
Diagnostic initial gratuit — un expert qualifie votre situation en quelques minutes et évalue la criticité. Vous ne payez que si vous décidez de poursuivre.
Diagnostic gratuit