Pourquoi les PME sont concernées
Les cybercriminels ne ciblent pas uniquement les grands groupes. Une PME peut être touchée par un email de phishing, un mot de passe compromis, un accès distant mal sécurisé, un prestataire attaqué ou un ransomware qui chiffre les fichiers et bloque l’activité.
Le coût réel dépasse souvent la réparation informatique : perte de chiffre d’affaires, frais d’experts, communication de crise, notification aux clients, conseil juridique, atteinte à la réputation et responsabilité envers des tiers.
Ce qu’une cyberassurance peut couvrir
- Assistance d’urgence : hotline, experts IT, forensic, containment et remise en service.
- Restauration des données : reconstitution, nettoyage des systèmes, réinstallation et récupération des sauvegardes.
- Perte d’exploitation : indemnisation du chiffre d’affaires perdu et des frais supplémentaires pendant l’interruption.
- Responsabilité cyber : défense et indemnisation en cas de réclamations de clients, partenaires ou tiers.
- Violation de données : frais juridiques, notification, communication et accompagnement réglementaire.
- Cyberextorsion : accompagnement en cas de ransomware, selon les conditions et exclusions du contrat.
nLPD : les obligations en cas de fuite de données
La loi suisse sur la protection des données impose d’annoncer au PFPDT les violations de sécurité des données qui entraînent vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. L’annonce doit être faite dans les meilleurs délais et décrire au minimum la nature de la violation, ses conséquences et les mesures prises ou envisagées.
Si cela est nécessaire pour protéger les personnes concernées, ou si le PFPDT l’exige, l’entreprise doit aussi les informer directement. Si votre activité touche l’Union européenne ou des infrastructures critiques, d’autres obligations et délais peuvent s’ajouter.
Les scénarios à anticiper
- Un collaborateur clique sur un faux email et donne ses accès.
- Un ransomware bloque votre ERP, votre caisse ou votre système de facturation.
- Des données clients, patients ou employés sont copiées ou publiées.
- Un virement frauduleux est déclenché par usurpation d’identité.
- Un prestataire cloud ou informatique tombe et interrompt votre service.
- Une erreur humaine rend des documents confidentiels accessibles à des tiers.
Les prérequis souvent demandés par les assureurs
Une cyberassurance n’est pas un substitut à la sécurité. Les assureurs vérifient de plus en plus les mesures de base : sauvegardes régulières et testées, authentification multifacteur, mises à jour, droits d’accès limités, antivirus ou EDR, procédures de réponse à incident et sensibilisation au phishing.
Si ces mesures sont absentes ou mal documentées, la prime peut augmenter, certaines garanties peuvent être limitées ou l’assureur peut refuser de couvrir certains sinistres.
Les points à comparer dans un contrat
- Montant assuré et sous-limites pour ransomware, fraude, notification ou interruption d’activité.
- Durée d’indemnisation de la perte d’exploitation.
- Franchise, délai de carence et déclenchement de la garantie.
- Couverture des prestataires, du cloud et de la chaîne d’approvisionnement.
- Prise en charge des frais juridiques et de communication.
- Exclusions liées aux systèmes non patchés, sauvegardes insuffisantes ou obligations de sécurité non respectées.
Les erreurs fréquentes
- Penser qu’une petite entreprise n’intéresse pas les attaquants.
- Assurer les ordinateurs mais oublier la perte d’exploitation numérique.
- Ne pas savoir qui appeler dans la première heure d’un incident.
- Conserver des sauvegardes connectées au même réseau que les données principales.
- Oublier les obligations de notification en cas de données personnelles.
- Comparer uniquement la prime sans regarder les sous-limites et exclusions.
Notre accompagnement
Finwise analyse votre dépendance numérique, vos données sensibles, vos outils critiques et votre niveau de sécurité. Nous comparons les cyberassurances selon les garanties réelles, la gestion de crise, les sous-limites, les exclusions et la perte d’exploitation.
Évaluer mon risque cyber Voir la cyberassurance Voir la protection juridique