Réponse courte : une police remplace-t-elle l’autre ?
Généralement non. La RC d’entreprise vise principalement les dommages corporels et matériels assurés causés à des tiers, ainsi que leurs conséquences financières. Une cyberassurance peut couvrir des dommages numériques propres, une responsabilité envers des tiers et la réponse à incident.
Ce n’est pas une règle de couverture universelle. Certaines RC comportent des extensions pour la protection des données ou les préjudices financiers purs ; d’autres excluent les événements cyber. Une police cyber ne couvre pas non plus tout événement numérique. Il faut lire les deux contrats.
Quelle police peut être concernée ?
| Scénario | RC d’entreprise | Cyberassurance | À vérifier aussi |
|---|---|---|---|
| Dommage corporel ou matériel à un tiers | Souvent un domaine central s’il est assuré | Souvent exclu ou limité | RC produit, professionnelle et assurance de choses |
| Restauration de ses propres données et systèmes | En principe pas l’objet d’une RC | Possible si le module et l’événement sont assurés | Contrats IT, sauvegardes et assurance de choses |
| Interruption liée à l’IT | Seulement avec un déclencheur ou une extension adapté | Possible après un événement cyber assuré | Carence, période d’indemnisation et panne de prestataire |
| Prétention après violation de données | Selon extensions et exclusions | Possible au titre de la RC cyber | Droit applicable, défense et sous-limite |
| Malware transmis à un client | Selon le libellé de la RC | Possible si défaillance réseau assurée | Cause, responsabilité et autres assurances |
| Prestation IT professionnelle défectueuse | Plutôt RC professionnelle/technologique | Pas automatiquement assurée | Périmètre du service et responsabilité contractuelle |
| Phishing ou fraude au président | Pas automatiquement assuré | Souvent optionnel et conditionnel | Assurance fraude/fidélité et contrôles de paiement |
| Événement cyber causant un dommage physique | Peut relever de plusieurs branches | Dommages corporels et matériels souvent exclus | Choses, RC, produit et couvertures spécialisées |
La bonne question n’est pas « Quelle assurance paie toujours ? », mais : quel contrat réagit à cet événement, ce coût et ce type de prétention ?
Où apparaissent les lacunes ?
Des lacunes sont possibles lorsque :
- aucune police ne mentionne les frais propres de restauration ou de forensique ;
- les préjudices financiers purs ou les données électroniques sont exclus de la RC ;
- la police cyber couvre les dommages propres mais pas la responsabilité ;
- ingénierie sociale, panne non malveillante ou cloud sont absents ;
- un dommage physique déclenché par le cyber tombe entre plusieurs branches ;
- l’entreprise fournit des services IT sans RC professionnelle adaptée ;
- limites, sous-limites, franchises ou carences ne correspondent pas à l’exposition ;
- plusieurs assureurs invoquent d’autres assurances ou contestent la direction du dossier.
Un chevauchement n’est pas forcément problématique, mais l’annonce, l’autorisation des coûts et la coordination doivent être claires avant un incident.
Vérifier le programme en quatre étapes
1. Réunir tous les contrats
Incluez RC d’entreprise, RC professionnelle, choses et interruption, fraude/fidélité et extensions cyber existantes. Les noms de produits ne suffisent pas : utilisez la police, les conditions générales et particulières ainsi que les avenants.
2. Cartographier des scénarios concrets
Testez au minimum ransomware, exfiltration de données, paiement frauduleux, panne cloud, erreur d’un prestataire IT, malware chez un client et dommage physique d’origine cyber. Séparez frais propres, prétentions de tiers et assistance.
3. Comparer les conditions
Notez pour chaque module :
- déclencheur assuré et définition du dommage ;
- limite globale, sous-limite, franchise et carence ;
- antériorité, délai de déclaration et territoire ;
- exclusions et exigences de sécurité ;
- prestataires agréés et accord préalable ;
- traitement des autres assurances.
4. Clarifier par écrit
N’acceptez pas une affirmation générale comme « le cyber est inclus ». Décrivez le scénario et demandez quelle clause couvre chaque coût. Notre guide des garanties propose une checklist ; la comparaison de prix exige des offres actuelles fondées sur les mêmes données.
Annonces lors d’un incident
Les contrats peuvent prévoir leurs propres délais, contacts d’urgence et autorisations. Si la compétence est incertaine, suivez les dispositions d’annonce de chaque police potentiellement concernée et conservez les preuves.
Les annonces aux autorités sont distinctes :
- Selon l’art. 24 LPD, une violation présentant vraisemblablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais. Il n’existe pas de délai suisse général exprimé en heures.
- Le délai OFCS de 24 heures ne concerne que les exploitants d’infrastructures critiques et les cyberattaques relevant de la loi.
Le guide suisse des obligations d’annonce explique les deux évaluations.
Questions fréquentes
La RC d’entreprise couvre-t-elle le phishing ?
Il n’existe pas de réponse générale. Un paiement détourné n’est souvent ni un dommage corporel ni un dommage matériel classique. Une police cyber, fraude ou autre ne réagit que si la définition, les contrôles exigés et la sous-limite sont respectés.
L’assurance de mon prestataire IT suffit-elle ?
Elle ne doit pas remplacer le propre programme de l’entreprise. Elle peut couvrir certaines erreurs du prestataire, mais ne finance pas automatiquement votre réponse, votre interruption, votre restauration ou toute prétention contre votre société.
Chaque PME a-t-elle besoin des deux polices ?
Une réponse fiable exige une analyse des risques et des contrats. Activité, dépendance IT, données, prétentions possibles, réserves financières et extensions existantes sont déterminantes. L’objectif est d’associer les scénarios importants à des garanties réelles, pas d’acheter une étiquette.
Sources officielles
- FINMA : bases légales des contrats et entreprises d’assurance
- PFPDT : guide relatif à l’art. 24 LPD
- OFCS : obligation de signaler pour les infrastructures critiques
Contenu vérifié le 18 juillet 2026. Cette comparaison ne constitue ni un conseil juridique ni une confirmation de couverture ; les conditions contractuelles font foi.