Définition
La cyber assurance (aussi appelée assurance cyber risques ou assurance cyber responsabilité) est un contrat d’assurance qui couvre les pertes financières, les frais de gestion de crise et la responsabilité civile d’une entreprise ou d’un professionnel à la suite d’une attaque informatique, d’une violation de données personnelles ou d’une défaillance de système numérique. Elle intervient à la fois pour les dommages subis en propre (volet dommages propres) et pour les réclamations de tiers lésés par l’incident (volet responsabilité). Distincte de la RC Pro classique, elle répond à une exposition spécifique : le risque cyber, qui ne figure pas — ou très partiellement — dans les contrats généralistes.
—
Ce que couvre réellement une cyber assurance
Un risque que la RC Pro classique ne couvre pas
La Responsabilité Civile Professionnelle (RC Pro) couvre les dommages causés à des tiers dans le cadre de votre activité — erreurs, fautes, négligences. Mais ses conditions générales excluent quasi systématiquement les sinistres d’origine cyber : rançongiciel, phishing, fuite de base de données, intrusion dans le système d’information.
C’est précisément la lacune que vient combler la cyber assurance. Elle est structurée autour de deux grandes familles de garanties.
Les garanties « première partie » (vos propres pertes)
Ces garanties couvrent ce que vous perdez directement :
- Frais de réponse à l’incident : coût d’une cellule de crise, d’un expert en forensic informatique (analyse de l’attaque), de la notification obligatoire à la CNIL (prévue à l’art. 33 du RGPD pour les violations de données)
- Pertes d’exploitation : chiffre d’affaires non réalisé pendant l’indisponibilité de votre système
- Frais de restauration des données et systèmes : reconstruction de bases de données corrompues ou chiffrées par un rançongiciel
- Rançon : certains contrats incluent la prise en charge partielle ou totale d’une rançon (point controversé — vérifiez la clause)
- Atteinte à la réputation : frais de communication de crise
Les garanties « tierce partie » (votre responsabilité envers les tiers)
Ces garanties couvrent les réclamations de vos clients, partenaires ou fournisseurs qui ont subi un préjudice à cause de votre incident cyber :
- Dommages immatériels causés à des tiers (perte de données clients, interruption de leurs activités)
- Frais de défense si un tiers vous poursuit en justice
- Amendes et pénalités contractuelles (sous conditions — les amendes CNIL, par exemple, ne sont généralement pas assurables en France)
—
Exemple concret
Vous êtes consultant en systèmes d’information (ESN, SSII, freelance IT). Un collaborateur clique sur un e-mail de phishing. Un rançongiciel chiffre l’ensemble de vos serveurs — dont ceux hébergeant les données de trois clients grands comptes.
Ce qui se passe sans cyber assurance :
Vous assumez seul les frais de remédiation (entre plusieurs milliers et plusieurs dizaines de milliers d’euros selon la taille du parc informatique), la perte d’exploitation pendant l’indisponibilité, et les réclamations de vos clients pour les données compromises. Votre RC Pro refuse la garantie : l’attaque n’est pas une « erreur professionnelle » au sens contractuel.
Ce qui se passe avec cyber assurance :
L’assureur déclenche une cellule de crise sous 24 à 72 heures. Il prend en charge les frais de forensic, notifie la CNIL en votre nom, couvre tout ou partie de la perte d’exploitation (dans la limite du plafond de garantie — le montant maximal que l’assureur remboursera sur ce sinistre — et après application de la franchise — la part qui reste à votre charge). Si vos clients vous réclament des dommages-intérêts, la garantie tierce partie finance votre défense et, le cas échéant, l’indemnisation.
> En pratique, ça veut dire que : un même sinistre cyber peut générer simultanément des frais de remédiation, une perte d’exploitation et plusieurs réclamations de tiers — trois postes que la cyber assurance traite ensemble, là où votre RC Pro et votre multirisque professionnelle (MRP) auraient refusé ou traité séparément de façon incomplète.
—
À ne pas confondre avec…
| Garantie | Ce qu’elle couvre | Ce qu’elle ne couvre pas |
|---|---|---|
| RC Pro | Dommages causés à des tiers par une faute professionnelle | Sinistres cyber (souvent exclus explicitement) |
| RC Exploitation | Dommages causés à des tiers dans le fonctionnement courant (hors prestation) | Sinistres cyber, pertes propres |
| Multirisque professionnelle (MRP) | Incendie, dégât des eaux, vol de matériel | Données immatérielles, rançon, responsabilité cyber |
| Cyber assurance | Attaques informatiques, violations de données, pertes cyber propres ET responsabilité tierce partie | Amendes CNIL (non assurables), fautes intentionnelles, guerre informatique (souvent exclue) |
Deux confusions fréquentes qui coûtent cher :
1. « Ma MRP couvre le vol de matériel, donc je suis couvert cyber. » Non. Le vol d’un ordinateur est couvert ; la fuite des données qu’il contenait, les conséquences pour vos clients et les frais de notification CNIL ne le sont pas.
2. « Mon contrat RC Pro mentionne les « dommages immatériels » — c’est suffisant. » Les dommages immatériels en RC Pro couvrent les préjudices économiques consécutifs à une faute de prestation. Une attaque subie malgré votre diligence n’est pas une faute professionnelle : c’est un sinistre cyber. La nuance est contractuellement déterminante.
—
En pratique : ce que vous devez vérifier
Avant de souscrire, posez ces questions ou lisez ces clauses :
- Clause d’exclusion cyber dans votre RC Pro actuelle : cherchez les termes « systèmes informatiques », « données numériques », « virus », « attaque » dans vos conditions générales. Si vous les trouvez en exclusion, vous avez un angle mort.
- Définition du sinistre : le contrat couvre-t-il les attaques externes uniquement, ou aussi les erreurs humaines internes (un employé qui supprime une base de données) ?
- Couverture de la rançon : si le contrat l’inclut, vérifiez les conditions (déclaration aux autorités préalable, plafond dédié). Certains assureurs l’excluent désormais.
- Plafond par poste de garantie : le plafond global peut sembler rassurant, mais si la perte d’exploitation est plafonnée séparément à un montant bas, c’est souvent là que le sinistre dépasse la garantie.
- Délai de carence : certains contrats imposent un délai (souvent 30 à 90 jours) avant activation des garanties — vous ne pouvez pas souscrire le jour d’une attaque et être couvert.
- Sous-traitants et prestataires : si vous externalisez votre hébergement ou votre maintenance informatique, vérifiez si un sinistre causé par votre prestataire est couvert.
- Guerre informatique : quasi universellement exclue depuis les cyberattaques d’État — lisez la clause attentivement.
Ce que ça change dans le choix de votre contrat :
Pour un consultant, une ESN ou un professionnel manipulant des données sensibles (santé, RH, juridique, comptable), la cyber assurance n’est plus optionnelle — elle est complémentaire et indispensable à votre RC Pro. Pour un artisan ou commerçant peu exposé au numérique, un avenant cyber à votre MRP peut suffire dans un premier temps, à condition de vérifier son étendue réelle.
—
FAQ
La cyber assurance est-elle obligatoire en France ?
Il n’existe pas, à ce jour, d’obligation légale générale de souscrire une cyber assurance pour les entreprises privées en France. Certains secteurs réglementés (opérateurs d’importance vitale, établissements de santé) sont soumis à des obligations de sécurité informatique renforcées (NIS2, RGPD), sans que la souscription d’un contrat soit explicitement imposée — mais les enjeux de responsabilité rendent la couverture fortement recommandée.
Ma RC Pro suffit-elle si je traite des données clients ?
Non, dans la grande majorité des cas. Les contrats RC Pro excluent explicitement ou implicitement les sinistres d’origine cyber ; même quand les « dommages immatériels » sont inclus, ils visent les préjudices économiques consécutifs à une faute de prestation, pas les violations de données subies. Si vous traitez des données personnelles de clients (ce qui déclenche les obligations du RGPD, notamment l’art. 33 sur la notification de violation), une cyber assurance dédiée est indispensable.
Quel est le coût d’une cyber assurance pour un professionnel indépendant ou une TPE ?
Les primes varient considérablement selon le secteur d’activité, le chiffre d’affaires, le volume de données traitées et les garanties souscrites — il serait trompeur de donner un tarif unique. Pour une TPE ou un freelance peu exposé, les offres d’entrée de gamme démarrent à quelques centaines d’euros par an ; pour une PME manipulant des données sensibles, les primes peuvent dépasser plusieurs milliers d’euros annuels. Un devis personnalisé via un comparateur ou un courtier immatriculé à l’ORIAS reste la seule voie fiable.
La garantie cyber couvre-t-elle les amendes de la CNIL ?
Non. En droit français, les amendes administratives (comme celles prononcées par la CNIL sur le fondement du RGPD) ont un caractère punitif et personnel — elles ne sont pas assurables. Certains contrats couvrent en revanche les frais de défense lors d’une procédure CNIL et les dommages-intérêts versés à des tiers suite à une violation de données.
—
Termes associés
- Plafond de garantie — montant maximal pris en charge par l’assureur par sinistre ou par année
- Franchise — part du sinistre restant à votre charge
- Dommages immatériels — préjudices économiques non consécutifs à un dommage matériel ou corporel
- Délai de carence — période initiale pendant laquelle les garanties ne sont pas actives
- Reprise du passé — couverture des faits antérieurs à la souscription
- Garantie subséquente — couverture des réclamations formulées après la résiliation du contrat
- RC Pro consultant — RC Pro adaptée aux professions du conseil et du numérique
- Multirisque professionnelle — contrat regroupant plusieurs garanties dont la couverture cyber peut être un avenant