Réponse courte : que couvre une cyberassurance ?
Une cyberassurance peut prendre en charge des frais propres, des prétentions assurées de tiers et des services d’urgence après un événement cyber assuré. Il n’existe pas de couverture standard. Les définitions, limites, sous-limites, franchises, délais de carence, exclusions et exigences de sécurité de la police déterminent la protection réelle.
L’assurance ne remplace ni la cybersécurité ni un plan d’intervention. Elle ne transfère que les risques financiers expressément couverts par le contrat.
Les principaux modules de couverture
| Module | Prestations possibles | Points à vérifier |
|---|---|---|
| Réponse à incident et forensique IT | Endiguement, analyse et préservation des preuves | Hotline, procédure, prestataires agréés et autorisation |
| Restauration des données et systèmes | Nettoyage, reconstruction et restauration | Méthode d’évaluation, améliorations et sous-limite |
| Interruption d’activité | Perte de bénéfice et frais supplémentaires assurés | Carence, période d’indemnisation, calcul, prestataires dépendants et pannes non malveillantes |
| Cyberextorsion | Conseil de crise, négociation et restauration | Inclusion éventuelle des paiements et conditions légales et contractuelles |
| Violation de données | Analyse juridique et communications nécessaires | Droits applicables, consentements et frais de notification |
| Responsabilité cyber | Défense et règlement de prétentions assurées de tiers | Protection des données, sécurité réseau, médias et préjudices financiers purs |
| Communication de crise | Conseil et assistance aux personnes concernées | Déclencheur, durée, prestataire et sous-limite |
| Ingénierie sociale et fraude au paiement | Certains paiements détournés | Souvent optionnel ; règles de vérification et sous-limites |
| Cloud et prestataires | Conséquences d’un incident chez un fournisseur | Services, événements et types de panne couverts |
Une « hotline 24/7 » ne signifie pas que chaque facture externe est remboursée. De nombreuses polices exigent de contacter d’abord le service désigné ou d’obtenir un accord lorsque la situation le permet.
Lire séparément dommages propres et responsabilité
La couverture des dommages propres concerne l’entreprise assurée, par exemple la forensique, la restauration et une interruption assurée. La responsabilité concerne les prétentions assurées de tiers et les frais de défense.
Une limite globale élevée ne suffit pas si un module important manque ou dispose d’une faible sous-limite. Comparez chaque module et vérifiez si une franchise financière et un délai de carence peuvent se cumuler.
Exclusions et conditions fréquentes
Le libellé exact est déterminant. Examinez notamment :
- les incidents ou circonstances connus avant la prise d’effet ;
- les actes intentionnels et les réponses inexactes au questionnaire ;
- les exigences convenues, telles que MFA, sauvegardes ou correctifs ;
- la guerre, les acteurs étatiques, les événements systémiques et les infrastructures critiques ;
- les dommages corporels, matériels ou environnementaux ;
- les pénalités contractuelles, garanties et responsabilités volontairement assumées ;
- l’atteinte durable à la réputation ou la perte future de clientèle ;
- les systèmes obsolètes, vulnérabilités connues ou changements importants du risque ;
- les rançons, amendes ou sanctions non assurables en droit ou selon le contrat.
Une même exclusion peut produire des effets différents selon la police. Demandez une explication écrite adaptée à vos systèmes, filiales et fournisseurs.
Huit questions pour comparer les offres
- Déclencheur : quel événement active chaque module ?
- Limites : quelles limite globale et sous-limites s’appliquent ?
- Part propre : quelles franchises et carences restent à charge ?
- Durée : combien de temps l’interruption et ses suites sont-elles prises en compte ?
- Prestataires : panel imposé, libre choix ou accord préalable ?
- Dépendances : cloud, IT, paiements et chaîne d’approvisionnement sont-ils inclus ?
- Territoire : pays, filiales et droits applicables correspondent-ils à l’activité ?
- Sécurité : chaque réponse au questionnaire peut-elle être prouvée et tenue à jour ?
Notre guide des facteurs de prix explique pourquoi une comparaison fiable exige des offres actuelles établies avec les mêmes informations.
Ne pas confondre les procédures d’annonce
Selon l’art. 24 LPD, le responsable annonce au PFPDT une violation de la sécurité des données dans les meilleurs délais lorsqu’elle est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux. La LPD suisse ne prévoit pas de délai général exprimé en heures.
L’annonce à l’OFCS dans les 24 heures ne concerne, depuis le 1er avril 2025, que les exploitants d’infrastructures critiques et les cyberattaques relevant du champ légal. Des obligations sectorielles, contractuelles ou étrangères peuvent s’ajouter.
L’annonce à l’assureur est une procédure contractuelle distincte. Une annonce à l’autorité ne la remplace pas. Consultez le guide suisse des obligations d’annonce.
En cas d’incident
- Activez le plan d’urgence et vérifiez le contact prévu par la police.
- Endiguez prudemment les systèmes touchés et préservez les preuves.
- Consignez la découverte, les décisions, les données et les coûts.
- Évaluez en parallèle les annonces légales, réglementaires, contractuelles et d’assurance.
- Coordonnez les frais externes au préalable lorsque cela ne crée pas de risque supplémentaire.
Une police ne garantit ni la restauration ni le paiement d’un montant déterminé. La couverture dépend de l’événement, des preuves, du contrat et du respect des conditions convenues.
Sources officielles
- PFPDT : guide sur les violations selon l’art. 24 LPD
- OFCS : obligation de signaler les cyberattaques visant des infrastructures critiques
Contenu vérifié le 18 juillet 2026. Cette vue d’ensemble ne constitue ni un conseil juridique ni une confirmation de couverture ; le contrat concret fait foi.