En bref
Une cyberassurance peut être utile lorsqu’une panne informatique, un incident de données ou une prétention en responsabilité civile numérique risque de dépasser les réserves financières et organisationnelles de l’entreprise. Elle l’est moins lorsqu’une entreprise cherche avant tout une assurance pour remplacer le travail de sécurité de base. Une police n’empêche aucune attaque et ne couvre que les événements et frais définis dans le contrat.
La décision ne devrait donc pas commencer par une probabilité de dommage générale, mais par quatre questions :
- Qu’est-ce qui doit être disponible immédiatement après un incident ? Cela comprend la forensique, le conseil juridique, la communication de crise et la restauration.
- Quelle interruption l’entreprise peut-elle supporter elle-même ? Les liquidités, la durée d’arrêt tolérable et les ressources spécialisées internes sont déterminantes.
- Quels risques sont déjà assurés ? Les polices de responsabilité civile, de choses, d’abus de confiance ou d’électronique peuvent inclure ou exclure certains domaines.
- Que fournirait réellement la cyberpolice concrète ? Le libellé, les déclencheurs, les limites, les sous-limites, la franchise, le délai de carence et les exclusions sont décisifs.
Indications tirées de données suisses
L’étude suisse 2024 sur la cybersécurité des PME a interrogé 515 entreprises. 25 % disposaient d’un concept de sécurité, 32 % organisaient des formations régulières et 33 % avaient un plan d’urgence. Selon l’Association Suisse d’Assurances, environ 72’000 entreprises étaient assurées contre les cyberrisques en 2025, soit près de 11,5 % des entreprises domiciliées en Suisse ; les primes dans la clientèle entreprises s’élevaient à CHF 153 millions (ASA, 3 septembre 2026). Dans l’étude VZ/HSLU «Cyberrisiken für KMU» (octobre 2026), seules 42 % des 515 petites entreprises interrogées jugeaient leur protection suffisante.
Ces valeurs décrivent un échantillon et un marché. Elles ne prouvent ni que chaque PME a besoin d’une police, ni ne fournissent une probabilité de survenance pour une entreprise particulière.
Quand une police mérite particulièrement d’être examinée
- les processus métier essentiels s’arrêtent sans informatique, sans cloud ou sans un prestataire unique ;
- l’entreprise traite des données personnelles, de santé, financières ou soumises au secret professionnel ;
- un incident pourrait déclencher des prétentions de clients ou d’autres tiers ;
- les ressources internes en forensique, en droit ou en gestion de crise font défaut ;
- un redémarrage prolongé pèserait fortement sur les liquidités ;
- des clients ou des règles de surveillance exigent certaines protections ou capacités de réaction.
Il s’agit d’indicateurs d’examen, pas d’une recommandation d’achat automatique.
Quand d’autres travaux sont nécessaires en premier
Avant de comparer des assurances, les entreprises devraient traiter les vulnérabilités connues et importantes. Il s’agit notamment de l’absence d’authentification multifacteur pour les accès critiques, de sauvegardes non testées, de droits d’administrateur flous et d’un plan d’urgence jamais exercé. De telles lacunes n’augmentent pas seulement le risque ; elles peuvent aussi influencer l’acceptation, les conditions ou la prestation en cas de sinistre.
Bien distinguer prévention propre et assurance
La prévention propre réduit la survenance et l’impact d’un incident. L’assurance transfère une part contractuellement limitée des conséquences financières et, selon le produit, organise une aide externe. Une solution judicieuse combine les deux :
| Prévention propre | Prestation d’assurance possible, si convenue |
|---|---|
| MFA, mises à jour et droits limités | coordination d’une réponse externe aux incidents |
| sauvegardes séparées et testées | frais de restauration assurés |
| plan d’urgence et exercices | conseil en gestion de crise et communication |
| validations de paiement sécurisées | protection en cas de cyberfraude uniquement si expressément incluse |
| contrôles des fournisseurs | couverture des prestataires externes uniquement selon la définition contractuelle |
Comment prendre une décision solide
- Chiffrez l’interruption tolérable et les fonds propres disponibles.
- Vérifiez les recoupements et lacunes de vos polices existantes.
- Définissez les prestations souhaitées avant de demander une offre.
- Transmettez les mêmes informations sur le risque à tous les assureurs sollicités.
- Ne comparez pas seulement les primes, mais aussi les définitions, sous-limites, franchises, délais de carence et obligations de sécurité.
- Documentez les risques résiduels que vous supportez délibérément vous-même.
Une offre individuelle n’est pertinente qu’une fois ces bases clarifiées.