La définition en bref
Une cyberassurance transfère à un assureur une part définie contractuellement des conséquences financières d’un cyberincident. Selon la police, elle réunit des garanties pour l’entreprise assurée, une responsabilité civile envers les tiers et une assistance organisée en cas d’urgence.
Elle ne remplace pas la cybersécurité. La prise en charge d’un sinistre dépend toujours des conditions, des limites, des franchises, des délais de carence et des informations fournies dans la proposition.
Pourquoi le sujet est important en Suisse
Les chiffres disponibles décrivent des aspects différents de la situation et ne doivent pas être confondus :
- L’OFCS a enregistré 64’733 signalements volontaires en 2025. Il s’agit de signalements d’entreprises et de particuliers, pas automatiquement d’attaques confirmées ni de sinistres assurés.
- La statistique policière de la criminalité a recensé 57’761 infractions comportant un mode opératoire numérique en 2025.
- L’étude suisse 2024 sur la cybersécurité des PME a indiqué que 25 % des entreprises interrogées disposaient d’un concept de sécurité informatique.
- L’Association Suisse d’Assurances a annoncé environ 67’000 polices d’entreprises en 2024, soit 10,8 % des entreprises, pour un volume de primes de CHF 172 millions.
Ces données montrent l’importance du risque et une lacune de couverture. Elles ne permettent pas d’estimer la probabilité d’un sinistre ni les besoins d’une entreprise particulière.
Quels dommages propres peuvent être assurés ?
Les dommages propres concernent les coûts et pertes de l’entreprise assurée. Les modules fréquents comprennent :
- Forensique informatique et réponse à incident : analyse, confinement, conservation des preuves et coordination.
- Restauration des données et systèmes : remise en état des éléments touchés, dans les limites convenues.
- Interruption d’activité : perte de marge assurée et frais supplémentaires après un délai de carence.
- Communication de crise et conseil juridique : aide pour la communication, la protection des données et les notifications.
- Cyberextorsion ou fraude au paiement : uniquement si elles sont expressément incluses ; des sous-limites et autorisations particulières sont fréquentes.
Toutes les polices ne comprennent pas tous ces modules. Les conditions diffèrent notamment pour les prestataires, les services cloud et l’ingénierie sociale.
Quels dommages aux tiers peuvent être assurés ?
Les dommages aux tiers apparaissent lorsque des clients, des membres du personnel ou des partenaires formulent des prétentions. Selon le contrat, la responsabilité civile peut couvrir :
- l’examen et la défense contre les prétentions assurées
- les indemnités liées à une violation de la protection des données ou de la confidentialité
- les prétentions consécutives à une atteinte aux réseaux ou systèmes de tiers
- les frais de défense et de procédure dans le périmètre assuré
Les amendes, pénalités contractuelles et responsabilités purement contractuelles ne sont pas automatiquement assurées. La police et le droit applicable font foi.
Ce que signifie la réponse à incident
De nombreuses offres donnent accès à un numéro d’urgence et à un réseau défini de spécialistes en forensique, droit et communication. Avant de conclure, vérifiez :
- Qui peut annoncer l’incident et la ligne est-elle disponible en permanence ?
- Quels prestataires doivent ou peuvent intervenir ?
- Quels frais nécessitent une autorisation préalable ?
- L’assistance commence-t-elle dès un soupçon ou seulement après confirmation du sinistre ?
- Comment les notifications, la conservation des preuves et la communication sont-elles coordonnées ?
Un plan d’intervention interne reste nécessaire : les premières mesures commencent généralement avant la confirmation de la couverture.
Exclusions et sous-limites courantes
Points importants à contrôler :
| Sujet | Point de contrôle |
|---|---|
| Incidents antérieurs | Les événements existants ou connus avant la prise d’effet sont généralement exclus. |
| Déclarations et exigences de sécurité | Des informations incomplètes ou des obligations non respectées peuvent affecter la prestation. |
| Actes intentionnels | Les dommages causés volontairement sont en principe exclus. |
| Guerre et acteurs étatiques | Les définitions et règles d’attribution varient selon la clause. |
| Infrastructure et prestataires | Les pannes d’électricité, de télécommunications ou du cloud peuvent être exclues ou limitées. |
| Fraude et extorsion | Des sous-limites, franchises et autorisations séparées sont fréquentes. |
| Interruption d’activité | Le délai de carence, la méthode d’évaluation et la durée d’indemnisation sont déterminants. |
| Dommages corporels et matériels | Ils sont souvent hors de la garantie cyber ou disponibles uniquement en extension. |
Le titre d’une garantie dans une brochure ne suffit pas. Comparez le libellé complet, les définitions et les exclusions associées.
Quelles exigences les assureurs examinent-ils ?
Le questionnaire peut notamment porter sur :
- l’authentification multifacteur pour les accès critiques et distants
- des sauvegardes testées, séparées ou immuables
- la gestion rapide des correctifs et vulnérabilités
- la protection des terminaux, la journalisation et les droits privilégiés
- la formation et les contrôles de paiements ou changements de coordonnées bancaires
- un plan documenté de réponse à incident et de reprise
- la dépendance envers les prestataires IT, cloud et autres fournisseurs
- les incidents antérieurs et vulnérabilités connues
Les réponses doivent être complètes et actuelles. Aucune mesure ne garantit à elle seule l’acceptation, un rabais ou l’indemnisation.
Liste de contrôle pour comparer
Comparez les offres sur la base du même profil de risque et répondez au minimum à ces questions :
- Quels dommages propres et de tiers sont expressément inclus ?
- Quelles limites, sous-limites, franchises et carences s’appliquent ?
- Les pannes du cloud, des prestataires IT et de la chaîne d’approvisionnement sont-elles couvertes ?
- Comment sont traités les rançongiciels, la fraude au paiement et l’ingénierie sociale ?
- Quelles déclarations de sécurité deviennent des obligations contractuelles ?
- Qui assure la réponse à incident et quand une autorisation est-elle requise ?
- Quels pays, entités, données et systèmes sont assurés ?
- Quelles exclusions toucheraient les principaux scénarios de sinistre ?
Limites et transparence
Une cyberassurance peut fournir des moyens financiers et des spécialistes, mais elle n’empêche pas une attaque, ne garantit pas une indemnisation intégrale et ne remplace ni les sauvegardes ni les exercices d’urgence. Une recommandation défendable exige des données de risque actuelles et des offres comparables ; des prix fixes en ligne ou des classements génériques d’assureurs ne suffisent pas.
Cyberversicherung.ch informe et organise le conseil par l’intermédiaire de BTAG Versicherungsbroker AG. Un éventuel courtage est payé par l’assureur. L’étendue du produit et la rémunération sont communiquées avant la conclusion.