Assurance cyber-risques pour TPE et PME.

85 % des PME victimes d'une cyberattaque grave ferment dans les 18 mois. Coût moyen d'un sinistre cyber pour une TPE en 2024 : 60 000 €. La cyber-assurance n'est plus un luxe pour grandes entreprises : pour 800-2 500 €/an, une PME accède à une cellule de crise, à la restauration des données, à la prise en charge des pertes d'exploitation et à la conformité RGPD.

Pour un particulier, le premier réflexe est de vérifier les doublons : la fraude au paiement est déjà prise en charge par votre banque dans le cadre de la réglementation sur les paiements, et l'assistance informatique est souvent fournie par votre fournisseur d'accès ou le fabricant de votre matériel. Une assurance cyber qui répète ces couvertures se paie pour rien.

Le vrai sujet pour un particulier est la protection des données et le harcèlement en ligne : c'est là qu'un contrat cyber apporte une couverture réellement nouvelle. Si vous n'êtes pas concerné par ces risques, une assurance cyber dédiée n'est peut-être pas nécessaire — mieux vaut de bons réflexes qu'une prime inutile.

Pour les indépendants, en revanche, le calcul est différent : la perte de données clients, le piratage du site ou une erreur de traitement peuvent arrêter l'activité. C'est sur les conséquences financières concrètes — pas sur des peurs génériques — que nous dimensionnons le contrat.

Ransomware : chiffrement des données contre rançon. Vague Conti, LockBit, BlackCat. Coût moyen : 50-300 K€ pour PME. La cyber-assurance prend en charge la restauration et, dans le cadre légal français, parfois la rançon (très encadré).

Phishing et fraude au président : faux email d'un dirigeant ou fournisseur ordonnant un virement. Préjudice moyen : 30-150 K€. Couvert par la garantie « fraude » de la cyber-assurance.

Fuite de données clients : exposition d'une base de données suite à intrusion ou erreur interne. Notification CNIL obligatoire dans les 72h, amendes potentielles (RGPD : 4 % du CA), poursuites des clients lésés.

Indisponibilité IT : site e-commerce, ERP, comptabilité indisponibles plusieurs jours suite à attaque. Pertes d'exploitation immédiates : 5-20 K€/jour pour une PME 5 M€ de CA.

Cellule de crise 24/7 : intervention d'experts cybersécurité dans l'heure suivant le signalement. Forensique, contenance de l'attaque, restauration des données. C'est le service de loin le plus utilisé.

Pertes d'exploitation cyber : maintien de la marge brute pendant la période d'indisponibilité IT (généralement 1-3 mois). Différence avec la MRP qui ne couvre pas les pertes liées au cyber.

Notification CNIL et frais juridiques : prise en charge de la procédure de notification, des frais d'avocat RGPD, et des éventuelles condamnations.

Responsabilité civile cyber : indemnisation des tiers (clients, partenaires) lésés par la fuite ou l'attaque. Plafond 1-5 M€ recommandé.

Frais de communication de crise : agence de communication pour gérer la réputation pendant et après l'incident.

Sauvegardes régulières et externalisées : sauvegardes hors ligne ou cloud, restaurées régulièrement. Sans cela, certains assureurs refusent ou augmentent fortement la prime.

Antivirus et pare-feu à jour sur tous les postes. EDR (Endpoint Detection and Response) recommandé pour les structures > 20 salariés.

Double authentification (MFA) sur les accès sensibles : email professionnel, comptabilité, banque, accès admin. Devenue exigence systématique.

Plan de continuité d'activité (PCA) : procédure documentée pour redémarrer l'activité après sinistre. Pour les PME > 5 M€ de CA.

Sensibilisation des salariés : formation phishing au moins annuelle. Sans formation documentée, certains assureurs limitent leur intervention en cas d'attaque par phishing.

Micro-entreprise / freelance : 250-600 €/an pour 100-500 K€ de plafond. Cyber-RC obligatoire pour les consultants traitant des données client.

TPE 1-1 M€ de CA : 600-1 800 €/an pour 1 M€ de plafond, cellule de crise, RGPD inclus.

PME 1-10 M€ de CA : 2 500-6 000 €/an pour 1-3 M€ de plafond, pertes d'exploitation cyber, fraude au président.

ETI > 10 M€ de CA : devis spécifique, audit préalable souvent demandé, plafonds 5-25 M€.

Heure 0 : activation immédiate de la cellule de crise via le numéro 24/7 fourni au contrat. Ne pas tenter de restaurer ou payer sans coordination.

Heure 1-3 : forensique pour comprendre l'attaque, isolation des systèmes infectés, préservation des preuves.

Heure 6-72 : notification CNIL (obligation légale RGPD si données personnelles affectées), notification clients si fuite avérée, communication maîtrisée.

Jour 1-30 : restauration des données depuis sauvegardes, durcissement des systèmes, audit complet. Indemnisation des pertes d'exploitation à mesure du reporting comptable.