Devis assurance cyber

Ce que ce questionnaire mesure

Le questionnaire porte autant sur vos mesures de sécurité que sur votre activité, car elles deviennent des conditions de garantie.

À avoir sous la main

• votre chiffre d'affaires et le nombre de postes de travail
• la nature des données traitées
• l'état de vos sauvegardes et de votre authentification

La réponse qui engage le plus

Les mesures de sécurité déclarées conditionnent la garantie. Ne pas les tenir revient à ne pas être assuré.

Ce que vous déclarez, et ce qui sera vérifié après l'incident

Quatre points reviennent dans tous les questionnaires, et tous les quatre sont contrôlables a posteriori par l'expert mandaté.

L'authentification multifacteur, en particulier sur les accès distants, les messageries et les comptes à privilèges. C'est le point le plus fréquemment exigé, et son absence au moment de l'intrusion est le motif de refus le plus courant.

Les sauvegardes, avec trois questions distinctes : leur fréquence, leur déconnexion du réseau, et surtout la date du dernier test de restauration. Une sauvegarde jamais restaurée n'est pas une sauvegarde, et l'assureur le sait.

Les mises à jour et la gestion des vulnérabilités, avec un délai d'application des correctifs critiques. Une intrusion par une faille corrigée depuis dix-huit mois se discute mal.

La sensibilisation des équipes enfin, parce que la majorité des incidents commencent par un courriel ouvert. Certains contrats conditionnent une partie de la garantie à l'existence d'une procédure de validation des virements, pour couvrir la fraude au président et les faux ordres de virement.

Répondez donc avec vos vraies pratiques, quitte à obtenir une cotisation plus élevée ou un délai pour vous mettre à niveau. Un contrat souscrit sur des déclarations exactes vous protège ; l'inverse vous coûte deux fois.

Ce que le contrat prend en charge, poste par poste

Une police cyber couvre trois familles de dépenses, et la première est souvent la plus utile.

Les frais de gestion de crise : intervention d'un prestataire de réponse à incident, investigation numérique, restauration des systèmes, assistance juridique et communication. C'est la prestation qui fait la différence dans les quarante-huit premières heures, quand personne dans l'entreprise ne sait par où commencer. Regardez qui compose le panel d'intervenants et quel est le délai d'intervention garanti.

Les pertes propres à l'entreprise ensuite : perte d'exploitation consécutive à l'indisponibilité des systèmes, avec une franchise exprimée en heures et une période d'indemnisation, et le coût de reconstitution des données.

Les conséquences envers les tiers enfin : réclamations de clients, de partenaires, et les frais liés à une violation de données personnelles. Ce dernier point mérite une lecture attentive, car il croise une obligation réglementaire.

Notification, dépôt de plainte, et la question de la rançon

Deux obligations s'imposent indépendamment du contrat, et le contrat doit les accompagner.

En cas de violation de données à caractère personnel, le responsable de traitement doit notifier l'autorité de contrôle dans les meilleurs délais, et au plus tard soixante-douze heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes. Lorsque le risque est élevé, les personnes concernées doivent également être informées. Vérifiez que le contrat prend en charge l'assistance à cette notification et les frais d'information des clients.

Le dépôt de plainte ensuite, exigé par la quasi-totalité des contrats comme condition de mise en jeu des garanties, et à effectuer rapidement.

Reste la question de la rançon. Certaines polices prévoient une prise en charge, d'autres l'excluent, et le cadre juridique impose en tout état de cause un dépôt de plainte dans un délai contraint pour qu'une indemnisation soit possible. Avant de choisir un contrat sur ce critère, souvenez-vous que le paiement ne garantit ni la restitution des données ni l'absence de nouvelle attaque : la ligne budgétaire la plus rentable reste celle des sauvegardes testées.

Côté particulier : ce que la banque vous doit avant toute assurance

Le code monétaire et financier organise le sort des opérations de paiement non autorisées. Lorsqu'un débit n'a pas été autorisé par le titulaire du compte, la banque rembourse dès signalement et rétablit le compte dans l'état où il se serait trouvé sans l'opération contestée.

Deux points comptent plus que le reste dans cette mécanique. La charge de la preuve d'abord : ce n'est pas au client de démontrer qu'il n'a pas autorisé l'opération, c'est à la banque d'établir une négligence grave ou une fraude si elle veut refuser. Les juridictions retiennent régulièrement que l'usage d'un dispositif d'authentification ne suffit pas, à lui seul, à caractériser cette négligence.

Le délai de contestation ensuite, ouvert par la loi et compté depuis la date de débit. Il est long, il est fermé, et aucune assurance ne rattrape une forclusion.

Une distinction traverse tout le sujet. Une opération non autorisée, celle qu'un tiers déclenche à votre insu, relève de ce régime. Une opération que vous avez vous-même validée sous l'effet d'une manipulation téléphonique n'est pas une opération non autorisée au sens strict, même si vous avez été trompé. Le remboursement n'est alors pas de droit, il se discute, et c'est là que la question de l'assurance redevient sérieuse.

Ce qu'un contrat de particulier apporte vraiment

Le vrai coût d'une compromission n'est pas toujours le montant volé. C'est le temps, la sidération, et l'absence d'interlocuteur. Les contrats sérieux vendent d'abord une assistance : une ligne à appeler, un intervenant qui prend la main sur les gestes urgents, et des démarches accomplies à votre place. Faire opposition, sécuriser messagerie et réseaux sociaux, changer les accès dans le bon ordre, déposer plainte, signaler l'usurpation d'identité, obtenir la suppression d'un contenu diffusé.

Ils couvrent ensuite des frais que personne n'anticipe : honoraires d'avocat, reconstitution de documents administratifs après usurpation d'identité, nettoyage ou réinstallation d'appareils infectés, prestations de défense de la réputation en ligne. L'indemnisation financière n'arrive qu'en troisième position, sur les cas où aucun autre régime ne joue.

Trois questions départagent deux offres mieux que le montant affiché. Le délai d'intervention garanti par l'assistance, jour et nuit ou aux heures ouvrables. L'étendue du foyer couvert, souscripteur seul ou tous les membres, enfants mineurs compris. Et le nombre de sinistres pris en charge par année, souvent limité.

Les exclusions qui reviennent d'un contrat à l'autre

La négligence caractérisée figure en tête. Les contrats exigent généralement un système d'exploitation maintenu à jour, un antivirus actif sur les postes fixes, et des mots de passe distincts pour les services sensibles. Ces conditions sont vérifiées après l'incident, pas avant.

Les pertes portant sur des actifs numériques sont fréquemment exclues ou plafonnées très bas. Les placements frauduleux, où la victime effectue elle-même des virements successifs vers un compte présenté comme un support d'investissement, le sont souvent aussi, ou soumis à des conditions strictes.

L'usage professionnel enfin : un contrat de particulier couvre la vie privée, et une activité indépendante exercée depuis le même ordinateur relève d'une police professionnelle. Vérifiez aussi si les objets connectés du logement, caméras, assistants vocaux, systèmes domotiques, entrent dans le périmètre : ils constituent un point d'entrée réel et sont souvent hors champ.

Le foyer, les adolescents, et la clause à lire

Un contrat familial ne couvre pas automatiquement tout le monde de la même façon, et l'écart se voit sur les situations qui concernent les mineurs. Trois questions se posent avant de signer. Les enfants du foyer sont-ils couverts nommément, et jusqu'à quel âge, y compris lorsqu'ils sont étudiants et logés ailleurs ? Le harcèlement en ligne entre-t-il dans le périmètre, avec quelles prestations concrètes ? L'usurpation d'un compte appartenant à un mineur ouvre-t-elle les mêmes droits qu'un compte d'adulte ?

Les réponses varient beaucoup d'un assureur à l'autre, parce que ces garanties sont récentes et encore hétérogènes. Elles se demandent par écrit, avec le libellé exact de la garantie, plutôt qu'en s'appuyant sur un argumentaire commercial. La diffusion d'images ou de propos concernant un mineur relève par ailleurs d'un traitement particulier, et la rapidité de la demande de retrait pèse davantage que le montant d'une indemnité.

Vérifiez ce que vous avez déjà, puis les gestes des premières heures

Beaucoup de foyers sont partiellement couverts sans le savoir. Les contrats multirisque habitation récents intègrent fréquemment une garantie d'assistance numérique. Certaines cartes bancaires haut de gamme comportent une protection des achats en ligne et une assistance en cas d'usurpation d'identité. Les contrats de protection juridique couvrent la prise en charge d'un litige né d'un achat sur internet ou d'une diffamation en ligne. L'inventaire prend une demi-heure et change souvent la décision.

Le jour de l'incident, trois actions passent avant l'appel à l'assureur. Faire opposition sur les moyens de paiement et signaler l'opération à la banque par écrit, en conservant une trace horodatée. Reprendre le contrôle des accès dans le bon ordre : d'abord la messagerie principale, qui commande la réinitialisation de tout le reste, puis les comptes sensibles, en activant partout l'authentification à deux facteurs. Déposer plainte enfin, et conserver le récépissé, exigé par la quasi-totalité des contrats comme condition de mise en jeu des garanties.

Ensuite seulement, ouvrez le dossier auprès de l'assureur, avec les captures d'écran, les relevés et la chronologie écrite des événements. Cette chronologie, rédigée à chaud, vaut mieux qu'un récit reconstitué trois semaines plus tard. Les plateformes publiques d'aide aux victimes d'actes de cybermalveillance orientent par ailleurs vers les démarches adaptées et vers des prestataires référencés.

Gratuit et sans engagement, concrètement

Demander un devis ne crée aucune obligation de souscrire, et vous pouvez abandonner le questionnaire à tout moment. Vos réponses servent à établir les propositions qui vous sont faites ; la page sur la confidentialité décrit l'usage qui en est fait.

Une erreur de bonne foi corrigée avant la souscription se règle par un recalcul de cotisation. Découverte après un sinistre, elle peut réduire l'indemnité à proportion de l'écart de prime.

Un devis ne vous engage pas, et il n'engage pas davantage l'assureur : selon le code des assurances, la proposition d'assurance n'engage ni l'assuré ni l'assureur, et seule la police ou la note de couverture constate leur engagement réciproque (article L112-2). Faites préciser par écrit la date d'effet et, si l'assureur en indique une, la période pendant laquelle il maintient le tarif proposé.

Comment vos données sont traitées · Lexique assurance cyber · Guide assurance cyber