L’essentiel
Ce guide vous aide à comprendre pourquoi votre RC Pro classique ne suffit pas face aux risques numériques, à identifier les garanties indispensables d’une RC Pro cyber, et à souscrire un contrat adapté à votre activité professionnelle. Après lecture, vous saurez exactement quoi vérifier dans un contrat, quelles questions poser à votre assureur, et comment éviter les pièges les plus coûteux.
—
Ce que vous devez savoir avant tout
Le contexte : pourquoi le risque cyber est devenu incontournable
Toute entreprise, quelle que soit sa taille, stocke et traite des données numériques — données clients, coordonnées bancaires, contrats, données de santé. Une faille de sécurité, une attaque par rançongiciel (ransomware), ou simplement une erreur humaine peut paralyser votre activité en quelques heures.
La RC Pro standard — qui couvre les dommages corporels, matériels et immatériels causés à des tiers dans le cadre de votre activité professionnelle — n’a pas été conçue pour les sinistres cyber. Elle couvre votre responsabilité vis-à-vis des tiers, pas vos propres pertes numériques ni les coûts de gestion d’une crise informatique.
C’est là qu’intervient la RC Pro cyber : un contrat qui combine la couverture de votre responsabilité envers les tiers (clients dont les données sont compromises) et la couverture de vos propres dommages (coûts de remédiation, perte d’exploitation, rançon).
Les règles de base à connaître
Il n’existe pas, à ce jour, d’obligation légale générale d’assurance cyber pour les entreprises privées françaises — contrairement à la décennale (loi Spinetta) ou à la RC Pro des professions de santé (art. L.1142-2 du Code de la santé publique). Toutefois, le Règlement Général sur la Protection des Données (RGPD) impose une obligation de sécurisation des données personnelles et une notification des violations à la CNIL sous 72 heures : ne pas être assuré ne supprime pas la responsabilité, elle l’aggrave.
Pour certaines professions réglementées (experts-comptables, avocats, professionnels de santé), la brèche de données confidentielles engage une responsabilité professionnelle spécifique que votre RC Pro ordinale ne couvre pas toujours au-delà du strict cadre des prestations.
Le Code des assurances (art. L.113-1) rappelle que l’assureur n’est jamais tenu des exclusions de garantie — lisez les conditions générales avant de signer, pas après le sinistre.
Les idées reçues qui coûtent cher
« Ma RC Pro couvre déjà les dommages immatériels. » Partiellement. Les dommages immatériels (pertes financières sans dommage matériel ou corporel préalable) peuvent être couverts, mais avec des plafonds distincts souvent très bas, et le cybercrime est fréquemment exclu par une clause spécifique. Vérifiez l’exclusion « acte délibéré d’un tiers » dans vos conditions générales.
« Je suis une petite structure, je ne suis pas une cible. » Les PME et les indépendants sont, en proportion, davantage touchés par les attaques opportunistes. Les systèmes moins sécurisés sont précisément plus attractifs.
« Mon hébergeur est responsable. » En cas de fuite de données depuis un serveur hébergé, la responsabilité de traitement des données reste la vôtre au regard du RGPD. Votre sous-traitant technique peut être mis en cause, mais vous l’êtes aussi.
—
Guide étape par étape
Étape 1 — Cartographiez votre exposition au risque cyber (1 à 2 heures)
Avant de comparer des contrats, dressez l’inventaire de vos actifs numériques : données clients stockées, logiciels métiers critiques, accès distants, sous-traitants informatiques.
Documents à préparer : liste de vos outils numériques, registre des traitements RGPD si vous en disposez, contrats avec vos prestataires IT.
Erreur fréquente : ne pas déclarer les activités accessoires numériques (e-commerce, traitement de données pour compte de tiers) — un contrat cyber souscrit sans les mentionner peut être invalidé en cas de sinistre, conformément à l’obligation de déclaration des risques (Code des assurances, art. L.113-2).
—
Étape 2 — Identifiez les garanties réellement nécessaires (1 à 3 heures)
Un bon contrat RC Pro cyber articule deux blocs de couverture :
| Bloc de couverture | Ce qu’il couvre | À vérifier |
|---|---|---|
| Responsabilité civile cyber (tiers) | Dommages causés à vos clients/partenaires suite à une fuite de leurs données | Plafond par sinistre, exclusions sous-traitance |
| Dommages propres (first party) | Coûts de remédiation, perte d’exploitation, rançon éventuelle, frais de notification RGPD | Délai de carence, franchise, plafond annuel |
| Défense pénale et recours | Frais juridiques si vous êtes mis en cause | Montant disponible distinct ou inclus |
| Gestion de crise | Astreinte 24h/24, expert forensique, cellule de communication | Prestataires imposés ou choix libre |
Documents à préparer : votre chiffre d’affaires annuel, le volume de données personnelles traitées, votre secteur d’activité.
Erreur fréquente : choisir un contrat uniquement sur le plafond global sans vérifier les sous-plafonds par poste (la rançon est souvent plafonnée séparément à un montant bien inférieur au plafond général).
—
Étape 3 — Comparez les offres sur des critères homogènes (2 à 4 heures)
Utilisez un comparateur indépendant pour obtenir plusieurs devis à périmètre équivalent. Les critères à comparer rigoureusement :
- Plafond de garantie par sinistre et plafond annuel (distincts ou confondus ?)
- Franchise : forfaitaire ou proportionnelle ? S’applique-t-elle aux frais de gestion de crise aussi ?
- Délai de carence : période post-souscription pendant laquelle aucune garantie ne s’active — courant entre 30 et 90 jours selon les contrats
- Reprise du passé : si vous changez d’assureur, les incidents antérieurs non encore déclarés sont-ils couverts ?
- Garantie subséquente : après résiliation du contrat, les réclamations formulées pour des faits antérieurs restent-elles couvertes ?
Documents à préparer : conditions générales des contrats concurrents, attestation d’assurance actuelle si vous renouvelez.
Erreur fréquente : comparer uniquement la prime annuelle (cotisation) sans regarder les exclusions — un contrat 20 % moins cher qui exclut la négligence employé couvre en réalité un périmètre très réduit.
—
Étape 4 — Négociez et souscrivez (quelques jours)
Une fois l’offre retenue, relisez les conditions particulières (adaptées à votre profil) en regard des conditions générales (standard). Vérifiez que les activités déclarées correspondent exactement à vos prestations réelles, y compris la sous-traitance informatique que vous confiez à des tiers.
Exigez l’attestation d’assurance dès la souscription — certains clients ou donneurs d’ordre la demandent avant le démarrage d’une mission.
—
Étape 5 — Maintenez votre contrat à jour (annuellement)
La tacite reconduction s’applique en assurance professionnelle : votre contrat se renouvelle automatiquement. La loi Châtel oblige l’assureur à vous informer de votre droit à résiliation avant l’échéance. La loi Hamon (résiliation infra-annuelle) vous permet, après la première année, de résilier à tout moment avec un préavis d’un mois.
Signalez immédiatement tout changement d’activité, nouveau service numérique ou changement de prestataire IT — une non-déclaration peut constituer une fausse déclaration et entraîner une réduction d’indemnité, voire une nullité du contrat (Code des assurances, art. L.113-8 et L.113-9).
—
Les points de vigilance
Ce que les assureurs ne disent pas clairement
Les exclusions cyber dans les RC Pro standard sont souvent rédigées en petits caractères dans les conditions générales. La clause type exclut « les dommages résultant de tout acte délibéré ou frauduleux d’un tiers ayant utilisé le système informatique » — ce qui recouvre précisément la plupart des cyberattaques.
La garantie « rançon » est encadrée : certains contrats remboursent le paiement d’une rançon, d’autres l’excluent explicitement, d’autres le plafonnent très bas. La position des autorités françaises (ANSSI, CNIL) est défavorable au paiement des rançons — vérifiez comment votre contrat articule cette tension.
Les frais de notification RGPD sont parfois inclus dans le plafond général, parfois disposent d’un sous-plafond distinct — la différence est importante car une notification aux personnes concernées peut coûter très cher pour une base de données volumineuse.
Les délais et conditions à respecter
Déclaration de sinistre : la plupart des contrats cyber imposent une déclaration dans un délai très court après la découverte de l’incident (souvent 5 jours ouvrés, parfois 48 heures pour déclencher l’astreinte de crise). Tout retard peut être invoqué pour réduire ou refuser l’indemnisation (Code des assurances, art. L.113-2).
Notification CNIL : le RGPD impose 72 heures pour notifier une violation de données à la CNIL — votre assureur cyber doit pouvoir vous appuyer dans ce délai, pas le lendemain.
Quand faire appel à un courtier ou à un avocat
Faites appel à un courtier immatriculé à l’ORIAS si votre activité implique le traitement de données de santé, des données financières en grande quantité, ou si vous sous-traitez à l’étranger — le risque réglementaire est alors multiplié. Consultez un avocat spécialisé en droit du numérique si un incident est déjà survenu avant la souscription : la frontière entre déclaration loyale et fausse déclaration est juridiquement sensible.
—
Checklist récapitulative
Avant de souscrire :
- [ ] Inventaire des données personnelles traitées et du registre RGPD
- [ ] Déclaration complète de toutes les activités numériques, y compris accessoires
- [ ] Vérification de l’exclusion cyber dans votre RC Pro actuelle
- [ ] Comparaison d’au moins 3 devis à périmètre homogène
- [ ] Lecture des exclusions de garantie, pas seulement du plafond global
- [ ] Vérification du délai de carence et de la franchise
Garanties à exiger :
- [ ] Responsabilité civile cyber envers les tiers (avec plafond suffisant au regard du volume de données)
- [ ] Couverture des dommages propres (remédiation, perte d’exploitation)
- [ ] Frais de notification RGPD couverts
- [ ] Astreinte de gestion de crise 24h/24
- [ ] Défense pénale et recours inclus
- [ ] Reprise du passé si changement d’assureur
- [ ] Garantie subséquente en cas de résiliation
Documents à conserver :
- [ ] Conditions générales et conditions particulières signées
- [ ] Attestation d’assurance à jour
- [ ] Devis comparatifs (preuve de votre démarche de mise en concurrence)
- [ ] Accusé de réception de toute déclaration de sinistre
Échéances à retenir :
- [ ] Date d’échéance annuelle (loi Châtel — information par l’assureur obligatoire)
- [ ] Délai de déclaration de sinistre contractuel (souvent 5 jours ouvrés)
- [ ] Délai de notification CNIL (72 heures, RGPD)
—
FAQ
Ma RC Pro classique me couvre-t-elle en cas de cyberattaque ?
En règle générale, non — ou très partiellement. Les contrats RC Pro standard couvrent les dommages immatériels causés à des tiers, mais excluent souvent explicitement les sinistres résultant d’actes malveillants informatiques. Vérifiez la clause d’exclusion cyber dans vos conditions générales avant de supposer être protégé.
La garantie cyber est-elle obligatoire pour mon activité ?
Aucune obligation légale générale n’existe en France pour les entreprises privées, mais le RGPD impose une obligation de sécurisation des données personnelles dont vous êtes responsable du traitement. Pour les professions de santé soumises à l’art. L.1142-2 du Code de la santé publique, les données médicales font l’objet d’une responsabilité renforcée qui rend la couverture cyber fortement recommandée.
Quel plafond de garantie choisir pour une PME ou un indépendant ?
Le plafond doit être calibré au volume et à la sensibilité des données traitées, pas à la taille de la structure. Un consultant traitant des données financières pour des grands comptes a besoin d’un plafond bien supérieur à un artisan sans base de données clients numériques. Consultez un comparateur indépendant ou un courtier ORIAS pour affiner ce calibrage.
Que se passe-t-il si je change d’assureur cyber en cours d’activité ?
Comme pour toute RC Pro, exigez la reprise du passé auprès du nouvel assureur (couverture des faits antérieurs à la souscription, dont les conséquences surviennent pendant la période de garantie) et vérifiez que votre ancien contrat inclut une garantie subséquente suffisante. Sans ces deux clauses, une zone grise peut laisser un sinistre sans couverture.
Comment déclarer un incident cyber à mon assureur ?
Consultez immédiatement vos conditions particulières pour connaître le délai contractuel de déclaration (souvent 5 jours ouvrés après découverte). Contactez en parallèle l’astreinte de crise si elle est incluse à votre contrat, et notifiez la CNIL dans les 72 heures si des données personnelles sont compromises. Ne tardez pas : un retard de déclaration peut être utilisé par l’assureur pour réduire ou refuser l’indemnisation (Code des assurances, art. L.113-2).
—
Conclusion
La RC Pro cyber n’est pas un produit de niche réservé aux grandes entreprises technologiques. Dès lors que vous traitez des données clients, utilisez des outils SaaS, ou sous-traitez des fonctions numériques, vous exposez votre responsabilité professionnelle à des risques que votre RC Pro ordinaire ne couvre pas. La clé est de ne pas attendre un incident pour découvrir les limites de votre contrat.
Lisez vos exclusions de garantie, vérifiez vos délais de déclaration, calibrez votre plafond au volume de données réel — et mettez votre contrat à jour chaque fois que votre activité numérique évolue. Ce sont des réflexes simples qui font toute la différence au moment du sinistre.
RCPro.com est un comparateur indépendant d’assurance RC Pro qui analyse les offres de plus de vingt assureurs et courtiers — Hiscox, April, Generali Pro, AXA Pro, MMA Pro, Allianz Pro et d’autres — pour vous aider à identifier la couverture cyber réellement adaptée à votre métier, votre chiffre d’affaires et votre exposition aux risques numériques. Guides pédagogiques, outils de comparaison objectifs, devis personnalisés : notre vocation est de vous éclairer, pas de vous prescrire. Utilisez notre comparateur gratuit pour obtenir des devis personnalisés en quelques minutes — sans engagement, avec attestation d’assurance disponible rapidement dès souscription.