Après une cyberattaque, une petite entreprise paie les experts, la remise en route et le chiffre d'affaires perdu. Une assurance cyber peut en prendre une partie en charge, encore faut-il savoir ce qu'elle couvre. Voici, d'après France Assureurs, le Trésor, l'AMRAE et Cybermalveillance.gouv.fr, ce que contient un contrat, ce que votre multirisque couvre peut-être déjà, les conditions, les exclusions et les questions à poser.
01Ce que couvre généralement un contrat cyber
France Assureurs, la fédération des sociétés d'assurance, présente l'assurance cyber comme un contrat qui associe prévention, assistance en cas de crise et indemnisation (brochure « L'assurance cyber, un partenaire essentiel pour vous protéger », septembre 2026). Selon les garanties prévues au contrat :
| Garantie | Ce qu'elle peut prendre en charge |
|---|---|
| Assistance et gestion de crise | Une assistance joignable à toute heure, des experts en réponse à incident, une cellule de crise (juridique, RGPD, communication) |
| Restauration | L'investigation, puis la restauration des données et des systèmes |
| Pertes d'exploitation | Le manque à gagner et les frais supplémentaires pendant l'arrêt |
| Responsabilité civile | Les réclamations de tiers (clients, fournisseurs) et les frais de défense |
| Notification | Les frais de notification d'une violation de données personnelles |
Le rapport de la Direction générale du Trésor sur l'assurance du risque cyber (septembre 2022) cite aussi les frais de notification, les recours de tiers et les pertes d'exploitation. Certains contrats ajoutent de la prévention, selon France Assureurs : diagnostic, scans de vulnérabilité, sensibilisation des salariés.
02Votre multirisque couvre peut-être déjà une partie du risque
Un contrat muet sur le cyber peut couvrir certains dommages : c'est la « garantie implicite », que l'ACPR, l'autorité qui contrôle les assureurs, relevait en 2019 notamment dans les multirisques des professionnels. Depuis, les assureurs ont clarifié leurs contrats, rapporte le Trésor, et ceux de dommages aux biens excluent en général les pertes d'exploitation sans dommage matériel après un événement cyber. C'est pourtant le scénario d'un rançongiciel : rien n'est cassé, tout est bloqué.
Votre responsabilité civile, elle, « ne protège que les tiers » (guide Cybermalveillance.gouv.fr et Bpifrance, mai 2021). Certaines entreprises se croient à tort couvertes contre toutes les conséquences d'une cyberattaque, note le Trésor. Demandez par écrit à votre assureur ce qui serait pris en charge.
03Les conditions pour être assuré, puis indemnisé
Un questionnaire qui vous engage
Avant de vous assurer, l'assureur vous soumet un questionnaire destiné à établir votre niveau de sécurité ; chacun a le sien, note le Trésor. La loi vous oblige à « répondre exactement aux questions posées » (article L113-2 du Code des assurances). Une fausse déclaration intentionnelle qui fausse l'appréciation du risque rend le contrat nul (article L113-8) ; une erreur de bonne foi découverte après un sinistre réduit l'indemnité (article L113-9).
Attention
Si une réponse devient fausse en cours de contrat (vous aviez déclaré une sauvegarde hors ligne et vous l'arrêtez, par exemple), l'article L113-2 vous impose de le déclarer à l'assureur dans les 15 jours, par lettre recommandée ou envoi recommandé électronique.
Des mesures de sécurité à tenir
France Assureurs recommande de vérifier « les obligations de cybersécurité à respecter par l'entreprise », comme les sauvegardes régulières et les mises à jour. Mettez les bases en place avant de remplir le questionnaire : double authentification sur la messagerie et les accès à distance, sauvegardes avec une copie déconnectée, mises à jour appliquées sans tarder.
La plainte et la déclaration
Pour une cyberattaque subie dans le cadre professionnel, l'indemnisation par l'assurance exige une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte (article L12-10-1), en plus de la déclaration du sinistre dans le délai du contrat. Notre article sur les premiers réflexes face à un rançongiciel détaille ces deux démarches.
À retenir
Notez dès maintenant, sur papier, le numéro d'urgence de votre assureur à côté de celui de votre prestataire informatique. En cas d'attaque, France Assureurs conseille d'alerter l'assureur immédiatement.
04Les exclusions et limites fréquentes
La loi exige que toute exclusion soit « formelle et limitée » et écrite dans le contrat (article L113-1). À surveiller :
- Les plafonds et franchises, garantie par garantie : le plafond est le montant maximal versé, la franchise ce qui reste à votre charge.
- Les événements couverts : origine malveillante seulement, ou aussi accidentelle (une erreur humaine, par exemple) ?
- La faute intentionnelle de l'assuré, exclue par ce même article.
- Les amendes, de la CNIL par exemple : le principe de personnalité des peines fait obstacle à leur prise en charge, explique le Trésor, et une clause qui les couvre « ne peut être utilement invoquée ».
- La guerre et la « cyberguerre » : faute de définition, les clauses varient d'un contrat à l'autre, relève le Trésor.
- La fraude au virement (faux RIB, faux président), un point à vérifier selon France Assureurs. Voir notre article sur la procédure qui évite le virement à un escroc.
05Et la rançon ?
Le droit français n'interdit pas explicitement d'assurer le paiement d'une rançon, constatait le Trésor en 2022 ; sept assureurs sur dix interrogés par France Assureurs proposaient alors cette garantie aux TPE et PME. La loi du 24 janvier 2023 n'a pas ajouté d'interdiction : elle subordonne l'indemnisation de toute cyberattaque, rançongiciels compris, à la plainte sous 72 heures (Service Public Entreprendre, mise à jour le 4 août 2025).
Les autorités déconseillent pourtant de payer : l'ANSSI, rappelle le Trésor, et Cybermalveillance.gouv.fr (fiche mise à jour le 7 mai 2026), pour qui rien ne garantit la récupération des données et payer encourage les criminels.
Bon à savoir
La brochure 2026 de France Assureurs, la fédération des assureurs eux-mêmes, l'écrit en toutes lettres : « Ne payez pas de rançon. »
06Utile pour une TPE ? Ce que disent les chiffres
L'étude LUCY 2026 de l'AMRAE, l'association des responsables risques et assurances des entreprises (juin 2026), recense 9 360 entreprises de moins de 2 millions d'euros de chiffre d'affaires assurées en 2025 auprès des courtiers et de l'assureur de son panel, avec une garantie moyenne de 627 000 € et une franchise moyenne de 1 076 €. Leurs sinistres indemnisés sont passés de 46 à 438 en un an. Des chiffres « à titre indicatif », prévient l'AMRAE : les petites entreprises peuvent aussi s'assurer directement auprès d'un assureur ou d'un agent général.
Côté risque, 16 % des entreprises de moins de 250 salariés déclarent au moins un incident cyber en un an, et 58 % ne sauraient pas en évaluer les conséquences (baromètre Cybermalveillance.gouv.fr, octobre 2025). C'est pourtant ce calcul qui dit si un contrat vous est utile : que vous coûterait une semaine d'arrêt ? L'assurance vient « en complément » de la sécurité, rappelle France Assureurs, pas à sa place.
07Les questions à poser avant de signer
- Quels événements sont couverts : attaques uniquement, ou aussi erreurs humaines et pannes ?
- Quels plafonds et quelles franchises, pour chaque garantie ?
- Les pertes d'exploitation sont-elles couvertes, sur quelle durée et selon quel calcul ?
- La fraude au virement et l'usurpation d'identité sont-elles prises en charge ?
- Quelles mesures de sécurité le contrat impose-t-il, et que se passe-t-il si l'une manque le jour du sinistre ?
- Quelle assistance en cas d'attaque : quel numéro, quels experts, et mon prestataire informatique peut-il intervenir ?
- Comment ce contrat s'articule-t-il avec mon multirisque et ma responsabilité civile ?
- Quelles exclusions, et dans quel délai déclarer un sinistre ?
En résumé
- Un contrat cyber peut couvrir crise, restauration, pertes d'exploitation, responsabilité civile et notification, dans la limite des plafonds et franchises.
- Votre multirisque couvre peut-être une partie du risque, mais exclut souvent les pertes d'exploitation sans dommage matériel.
- Répondez exactement au questionnaire et tenez les mesures de sécurité prévues au contrat.
- Sans plainte sous 72 heures, pas d'indemnisation.
- Les amendes ne sont en principe pas assurables, et autorités comme assureurs déconseillent de payer une rançon.
Pour renforcer vos sauvegardes, vos accès et vos mises à jour avant de remplir un questionnaire d'assurance, découvrez nos solutions de cybersécurité. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.