Un lundi matin, les commandes n’arrivent plus, la comptabilité reste inaccessible et l’atelier attend ses ordres de fabrication. Dans ce scénario fictif, mais familier aux spécialistes des rançongiciels, le dirigeant possède une cyberassurance. Bonne nouvelle ? Oui. Solution immédiate ? Non. Entre l’appel à l’assistance, la recherche de sauvegardes exploitables et l’examen des garanties, une évidence s’impose : le contrat peut financer une partie de la crise, pas fabriquer la résilience qui manque. À l’horizon de septembre 2026, cette distinction devrait peser davantage dans les arbitrages des PME. Analyse fondée sur les évolutions documentées jusqu’en 2024, prolongées ici par des perspectives explicitement conditionnelles.
Une assurance utile, mais pas un bouton de redémarrage
La cyberassurance répond à un risque concret : une attaque informatique produit des dépenses très diverses, souvent simultanées. Expertise technique, restauration des systèmes, conseil juridique, notification des personnes concernées, communication de crise, interruption d’activité ou réclamations de clients peuvent entrer dans le périmètre d’un contrat. Mais rarement sans conditions, plafonds ou distinctions. Deux offres portant la même étiquette peuvent donc protéger très différemment une entreprise.
Sa valeur ne se limite pas au remboursement. L’accès à une équipe de réponse à incident peut être déterminant pour une PME sans responsable cybersécurité. Encore faut-il savoir qui appeler, quand et avec quelle autorisation d’engager des frais. Un prestataire mobilisé spontanément n’est pas nécessairement couvert dans les mêmes conditions que celui désigné par l’assureur. Le numéro d’urgence et la procédure de déclaration devraient figurer dans un document accessible hors du réseau informatique.
Les petites lignes dessinent le risque conservé
Exclusions : regarder les scénarios, pas seulement les intitulés
Les exclusions constituent le premier filtre. Certaines polices distinguent intrusion informatique et fraude par manipulation d’un salarié. Un faux ordre de virement envoyé au comptable peut relever d’une garantie spécifique, d’une autre assurance ou d’aucune couverture. Les incidents chez un fournisseur, les défaillances d’infrastructure et certaines circonstances liées à la guerre ou aux opérations étatiques appellent également une lecture attentive.
Ces derniers sujets ne sont pas théoriques. Les litiges consécutifs à NotPetya, l’attaque de 2017 aux dommages internationaux, ont montré combien la qualification d’un événement pouvait devenir décisive. Depuis 2023, Lloyd’s impose, pour certaines polices cyber autonomes souscrites sur son marché, des clauses concernant les attaques soutenues par un État. Cela ne signifie pas que toute attaque attribuée à un État est automatiquement exclue : la formulation et les critères du contrat restent essentiels.
Franchises, délais et sous-plafonds : le reste à charge réel
La franchise n’est qu’une partie de l’équation. Une garantie de pertes d’exploitation peut comporter une franchise temporelle : les premières heures d’arrêt restent alors à la charge de l’entreprise. Des sous-plafonds peuvent limiter certaines dépenses, même si le plafond global paraît confortable. La durée d’indemnisation et la méthode de calcul des pertes comptent autant : chiffre d’affaires perdu et préjudice indemnisable ne se confondent pas.
Prenons un distributeur dépendant de son logiciel de gestion. Si ses systèmes redémarrent rapidement, mais que la préparation des commandes reste désorganisée plusieurs jours, où s’arrête la période couverte ? Comment prouver les ventes réellement perdues, plutôt que reportées ? Ces questions doivent être discutées avant la signature. La trésorerie nécessaire pour avancer les dépenses mérite aussi d’être évaluée : une indemnisation n’arrive pas forcément au rythme des factures.
La prévention devient une condition d’assurabilité
Le durcissement du marché observé au début des années 2020, sur fond de sinistres liés aux rançongiciels, a renforcé les questionnaires et les exigences de souscription. Authentification multifacteur, sauvegardes isolées, protection des postes, gestion des correctifs et limitation des accès privilégiés reviennent fréquemment. Leur caractère obligatoire varie selon les assureurs et les contrats. Il n’existe pas une liste universelle dont le respect garantirait mécaniquement une indemnisation.
Pour une PME, le danger consiste à cocher trop vite. Affirmer que l’authentification multifacteur protège les accès distants alors qu’un ancien compte de maintenance y échappe crée un décalage entre déclaration et réalité. Les conséquences dépendent du droit applicable, des questions posées et des clauses. Le questionnaire devrait être validé avec ceux qui administrent effectivement le système, puis conservé avec les éléments permettant de justifier les réponses.
La maintenance de ces engagements importe autant que leur présence au jour de la souscription. Acquisition d’une filiale, changement d’hébergeur ou ouverture d’un nouvel accès fournisseur peuvent modifier l’exposition. Une revue périodique entre direction, informatique et courtier permet d’identifier ce qui doit être corrigé ou signalé. L’assurance devient alors un outil de dialogue, plutôt qu’un formulaire oublié après paiement.
Le vrai budget additionne assurance et continuité
Comparer seulement les primes conduit à une fausse économie. Le coût pertinent réunit la cotisation, les investissements de sécurité, les moyens de continuité et le risque financier conservé. Une offre moins chère, assortie d’une franchise élevée ou d’une couverture étroite de l’interruption, peut être mal adaptée à une activité qui ne supporte pas une journée d’arrêt.
À l’inverse, toutes les dépenses de cybersécurité n’apportent pas la même valeur opérationnelle. Pour une petite entreprise, tester une restauration complète peut être plus urgent qu’ajouter un outil mal exploité. Une sauvegarde annoncée comme quotidienne ne prouve ni son intégrité, ni sa disponibilité après compromission, ni la capacité à réinstaller les applications nécessaires. Le bon indicateur est concret : combien de temps pour reprendre une activité acceptable ?
- Cartographier l’essentiel : applications, données, fournisseurs et personnes indispensables.
- Tester un arrêt : commandes, facturation, paie et communication sans outils habituels.
- Chiffrer le reste à charge : franchises, dépenses exclues et besoin de trésorerie.
- Confronter le scénario au contrat : déclenchement des garanties, justificatifs et prestataires autorisés.
Les dépendances externes compliquent l’équation
Externaliser ne supprime pas le risque : cela le déplace. Un prestataire informatique compromis peut affecter plusieurs clients ; un service cloud indisponible peut bloquer une activité sans intrusion dans les locaux de la PME. Il faut vérifier si l’interruption chez ces fournisseurs est couverte, lesquels sont concernés et dans quelles circonstances. Le contrat commercial du prestataire et la police cyber doivent être lus ensemble, sans supposer que l’un compensera les limites de l’autre.
Dans une perspective 2026, la diffusion des services numériques et la pression des grands donneurs d’ordre pourraient accentuer cette exigence de preuves. Les PME auraient alors intérêt à réunir un dossier simple : inventaire, tests de restauration, procédure d’incident et responsabilités établies. Ce dossier servirait à la fois à négocier l’assurance et à réduire le temps perdu pendant une crise.
Et maintenant ? La prochaine étape n’est pas nécessairement d’acheter davantage de garanties, mais d’organiser une simulation avec le courtier et le prestataire informatique. Que se passe-t-il si l’entreprise s’arrête demain ? Qui intervient, qui paie, et avec quelles données redémarre-t-on ? À l’horizon 2026, les PME les mieux préparées pourraient être celles qui traitent assurance et prévention comme deux budgets complémentaires : l’un absorbe une partie du choc, l’autre rend la reprise possible.
