En bref : Les cyberassurances se ressemblent à première vue, mais leurs conditions générales d’assurance (CGA) diffèrent nettement. C’est ce que montre l’étude « Cyberrisiken für KMU » (Cyberrisques pour les PME) du VZ VermögensZentrum et de la Haute école de Lucerne (HSLU), publiée en octobre 2026, qui note huit assureurs dans trois domaines. Il n’y a volontairement pas de classement global.
L’essentiel en bref
- Étude : VZ VermögensZentrum et HSLU, « Cyberrisiken für KMU » (octobre 2026), publiée sur le portail PME de la Confédération
- Notation : 8 assureurs, 3 domaines, 100 points au maximum chacun ; seules les prestations incluses de série selon les CGA valables au 1er juin 2026 ont été évaluées
- Fourchette : conditions contractuelles de 57 à 86 points, dommages propres de 40 à 83, responsabilité civile cyber de 84 à 100
- Marché (chiffres ASA) : primes brutes du segment entreprises de 71 millions de francs en 2021 et de 153 millions de francs en 2025 ; polices entreprises passées de 38’000 à 72’000 ; seulement 11,5 % environ des entreprises assurées
- Enquête auprès de 515 petites entreprises : seules 42 % jugent leur protection suffisante ; seules 30 % environ disposent d’un concept de sécurité informatique, d’un plan d’urgence ou de formations régulières
La notation VZ en un coup d’œil
| Assureur | Conditions contractuelles | Dommages propres cyber | Responsabilité civile cyber |
|---|---|---|---|
| AIG | 62 | 44 | 96 |
| Allianz | 61 | 64 | 92 |
| AXA | 68 | 53 | 88 |
| Chubb | 78 | 68 | 84 |
| Helvetia | 69 | 50 | 88 |
| Liberty | 86 | 58 | 92 |
| Mobilière | 57 | 40 | 93 |
| Zurich | 65 | 83 | 100 |
Points par domaine (max. 100), par ordre alphabétique. Source : analyse VZ VermögensZentrum. Les modules optionnels et les accords individuels n’ont pas été évalués.
En conditions contractuelles (champ territorial et temporel, couverture postérieure, résiliation après sinistre, obligations), Liberty (86) devance Chubb (78). En dommages propres cyber (restauration, interruption d’exploitation, criminalistique, ingénierie sociale, extorsion, etc.), Zurich obtient 83 points, la Mobilière 40. En responsabilité civile cyber, tous les assureurs obtiennent de 84 à 100 points.
Le VZ souligne que le système de points facilite la comparaison, mais ne remplace pas une analyse individuelle des risques.
Ce que les contrats excluent souvent
L’étude cite des exclusions typiques : la valeur économique des données perdues en tant que telle, souvent les amendes et pénalités conventionnelles, et fréquemment la guerre et les cyberopérations étatiques, l’intention et les clauses de sanctions. Selon l’assureur, les rançons sont assurées, exclues ou couvertes uniquement par un module optionnel, souvent sous réserve d’un accord préalable et d’une sous-limite. Aucune des CGA analysées n’exclut expressément les dommages liés à l’IA, mais l’IA n’est en général pas non plus mentionnée explicitement comme risque assuré.
Le VZ cite comme facteurs de prime le secteur, le chiffre d’affaires et l’effectif, le niveau de sécurité informatique, la franchise, la somme d’assurance et la conception du produit.
Cas modèle fictif : AlpPrecision AG
L’étude illustre son propos avec l’entreprise fictive AlpPrecision AG (160 collaborateurs) : un attaquant accède à un assistant d’IA interne avec un mot de passe volé, manipule des paramètres CNC et fait chanter l’entreprise. Le dommage total modélisé s’élève à 3,28 millions de francs, dont 960’000 francs pour huit jours d’arrêt de production et 780’000 francs pour le rappel et le remplacement de pièces. Il s’agit d’un exemple construit, et non d’un cas réel.
Qu’est-ce que cela signifie pour les PME suisses ?
- Comparer les CGA, pas les brochures : champ temporel, couverture postérieure, obligations et interruption d’exploitation, voir notre comparatif.
- Situer la prime : la page Coûts d’une cyberassurance explique de quoi dépend la prime et pourquoi seule une offre individuelle fait foi.
- Négocier activement les modules optionnels : faire préciser par écrit l’ingénierie sociale, l’extorsion et les scénarios liés à l’IA.
- Mettre en place la protection de base : selon le VZ, un niveau de sécurité élevé et démontré (MFA, correctifs, sauvegardes, formations) a un effet positif sur la prime ; des lacunes peuvent l’augmenter ou entraîner un refus. Commencez par le check cyber-risque ; voir aussi obligation de signalement et Cyberassurance pour PME.