Pourquoi les PME suisses sont exposées
La digitalisation a rendu les petites et moyennes entreprises dépendantes de leur informatique : messagerie, caisse, ERP, boutique en ligne, données clients, paiements, sauvegardes, cloud et fournisseurs. Un rançongiciel, une fraude au paiement, une fuite de données ou une panne après piratage peut bloquer l’activité, créer des frais d’urgence et nuire durablement à la réputation.
Une cyberassurance ne remplace pas la prévention informatique, mais elle apporte des moyens financiers et opérationnels au moment où il faut réagir vite : hotline, spécialistes, forensique, restauration, conseil juridique, communication de crise et indemnisation de certaines pertes.
Ce qu’une cyberassurance peut couvrir
- Rançongiciel : assistance d’urgence, analyse de l’attaque, restauration des données, négociation et frais liés à la cyberextorsion selon la police.
- Reconstitution des systèmes : désinfection, réinstallation, récupération de données, configuration et frais informatiques externes.
- Interruption d’exploitation : perte de revenus et frais supplémentaires lorsque l’activité est partiellement ou totalement paralysée.
- Violation de données : conseil juridique, identification des personnes concernées, notifications, communication et gestion de crise.
- Responsabilité cyber : prétentions de clients, partenaires ou tiers à la suite d’une atteinte à la protection des données ou d’une perte de données.
- Fraude numérique : social engineering, manipulation d’e-banking, fausse facture ou détournement de paiement selon les options.
Règles suisses à connaître
Depuis l’entrée en vigueur de la nouvelle loi fédérale sur la protection des données, une entreprise doit annoncer au PFPDT les violations de sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. L’annonce doit être faite dans les meilleurs délais et indiquer notamment la nature de la violation, ses conséquences et les mesures prises ou envisagées.
Les personnes concernées doivent aussi être informées lorsque cela est nécessaire à leur protection ou lorsque le PFPDT l’exige. Si votre entreprise traite des données de résidents de l’UE, le RGPD peut ajouter des obligations. Pour certaines infrastructures critiques, des obligations spécifiques de signalement peuvent aussi s’appliquer.
Les exigences de prévention à vérifier
- Sauvegardes régulières, testées et isolées du réseau principal.
- Authentification multifacteur pour accès sensibles, messagerie, cloud et administration.
- Mises à jour de sécurité, antivirus/EDR et gestion des droits utilisateurs.
- Plan de réponse à incident : qui appeler, quoi couper, quoi documenter, qui communique.
- Sensibilisation des équipes au phishing, aux fausses factures et aux demandes urgentes de paiement.
- Contrats clairs avec prestataires IT, cloud, hébergeurs et sous-traitants de données.
Ce que les entreprises sous-estiment
Le coût principal n’est pas toujours la rançon. Il peut venir de plusieurs jours d’arrêt, de données impossibles à restaurer, d’heures d’experts, d’un cabinet juridique, de clients à notifier, d’une perte de confiance ou d’un fournisseur critique lui-même compromis. Une bonne cyberassurance doit donc couvrir les dommages propres, la responsabilité envers les tiers et l’accompagnement de crise.
Comment choisir les garanties
- Somme assurée : cohérente avec votre chiffre d’affaires, le volume de données et la dépendance informatique.
- Délai de carence : moment à partir duquel la perte d’exploitation est indemnisée.
- Durée d’indemnisation : période couverte si le redémarrage prend plusieurs semaines ou mois.
- Frais de notification : autorités, personnes concernées, support client, conseil juridique et communication.
- Fraude : vérifier si le social engineering, l’e-banking et les faux ordres de paiement sont inclus ou optionnels.
- Exclusions : absence de sauvegardes, systèmes obsolètes, événements connus, guerre cyber ou non-respect des mesures déclarées.
Notre accompagnement
Finwise analyse votre exposition cyber, vos données, vos outils, vos sauvegardes, vos prestataires IT et votre dépendance à l’activité en ligne. Nous comparons les offres suisses pour obtenir une couverture utilisable, alignée sur vos mesures de sécurité et vos obligations légales.