Cyberassurance pour prestataires IT, éditeurs de logiciels et SaaS

De quelle assurance un prestataire IT a-t-il besoin ?

Les prestataires IT, éditeurs de logiciels, fournisseurs de services managés (MSP) et fournisseurs SaaS devraient modéliser séparément leurs propres cyberrisques et les prétentions possibles de leurs clients. Un compte d’administration compromis peut toucher plusieurs clients à la fois. À l’inverse, une erreur de conseil, de configuration ou de logiciel peut causer un dommage patrimonial même sans cyberattaque.

La question « cyberassurance ou RC professionnelle ? » ne suffit donc pas. Ce qui compte, c’est la manière dont la cyberassurance et la RC professionnelle IT s’articulent, et les lacunes qui subsistent entre les deux contrats.

Cyberassurance ou RC professionnelle IT ?

Les dénominations des produits ne sont pas uniformes. Faites-vous confirmer par écrit quel contrat intervient en premier en cas d’incident, comment l’assurance multiple est traitée et si des clauses de recours ou d’exclusion créent une lacune.

Pourquoi les accès clients et administrateurs concentrent le risque

La maintenance à distance, les outils RMM, les comptes de support et les administrations cloud concentrent des droits. Si un tel compte est compromis, l’incident peut dépasser votre propre environnement. Dans son aide consacrée à la chaîne d’approvisionnement, l’OFCS distingue expressément les partenaires disposant d’un accès privilégié, les fournisseurs de logiciels et les prestataires importants tels que les partenaires SaaS ou les service desks.

Pour l’examen des risques, documentez :

• si chaque compte client est attribué sans ambiguïté à une personne et à un mandant ;
• où l’authentification multifacteur est imposée pour les accès privilégiés et externes ;
• comment les droits sont attribués, contrôlés et retirés lors d’un départ ;
• si les systèmes des clients sont séparés techniquement et organisationnellement ;
• quelles actions sont journalisées et comment les anomalies sont traitées ;
• comment les accès d’urgence sont protégés et leur utilisation contrôlée.

Concentration contractuelle, cloud et MSP

Une plateforme, un compte cloud ou un système RMM peut être critique pour de nombreux clients simultanément. Cela crée deux types de concentration :

1. Concentration technique : un outil, une mise à jour ou un compte d’administration compromis atteint plusieurs environnements.
2. Concentration contractuelle : un seul incident peut déclencher simultanément des obligations de signalement, des engagements de niveau de service et les prétentions de plusieurs clients.

N’examinez donc pas seulement la somme d’assurance totale, mais aussi les sous-limites et les limites agrégées. Les définitions des sinistres en série, des interruptions d’activité dépendantes, des pannes cloud, des erreurs logicielles et de la responsabilité assumée contractuellement sont également importantes.

L’OFCS recommande d’examiner en continu les chaînes d’approvisionnement IT/OT, les dépendances et les exigences envers les fournisseurs, et de régler notamment la responsabilité et les exigences de qualité dans les contrats fournisseurs. Cet examen contractuel ne remplace pas une analyse d’assurance, mais il en fournit les données nécessaires.

Votre propre panne reste un risque distinct

Même si aucun client ne fait valoir de prétention, le prestataire lui-même peut être touché :

• les revenus d’abonnement ou de projets disparaissent ;
• le support et le développement sont mobilisés par la réponse à l’incident ;
• les environnements de développement, de build ou de production doivent être reconstruits ;
• les données et configurations doivent être restaurées et vérifiées ;
• une forensique externe, un conseil juridique et une communication de crise sont nécessaires.

Utilisez le calculateur de scénarios pour la somme d’assurance pour additionner de manière traçable votre propre panne et les coûts externes. Documentez séparément les prétentions possibles des clients, afin qu’elles ne soient pas comptées deux fois dans le même calcul.

Ces points de couverture devraient figurer dans la demande d’offre

• réponse aux incidents, forensique, restauration des données et des systèmes ;
• propre interruption d’activité, y compris une méthode d’évaluation et un délai de carence adaptés ;
• panne ou incident de sécurité chez des prestataires cloud, d’hébergement et d’autres prestataires critiques ;
• prétentions de tiers liées à la protection des données, à la confidentialité et à la sécurité du réseau ;
• cyberfraude et ingénierie sociale uniquement si ce risque est nécessaire et expressément proposé ;
• coordination avec la RC professionnelle IT et les contrats de responsabilité civile existants ;
• sous-limites, agrégats annuels et traitement de plusieurs clients touchés ;
• exclusions pour vulnérabilités connues, systèmes non pris en charge ou responsabilité assumée contractuellement ;
• exigences relatives à la hotline d’urgence, aux prestataires agréés et à l’accord préalable avant l’engagement de frais.

Seule l’offre concrète fait foi. Une dénomination de produit ne dit pas à elle seule si un scénario client ou cloud précis est inclus.

Les documents dont les assureurs et courtiers ont besoin

Préparez avec précision la description de l’activité et la répartition du chiffre d’affaires : conseil, développement sur mesure, logiciels standard, hébergement, SaaS, services managés et accès aux systèmes des clients génèrent des risques différents. Ajoutez :

• nombre et type de clients avec accès privilégié ;
• dépendances critiques en matière de cloud, d’hébergement, de RMM et de CI/CD ;
• processus sécurisés de développement, de mise à jour et de mise en production ;
• séparation des mandants, journalisation et protection des secrets ;
• procédures de sauvegarde et de restauration testées ;
• limites de responsabilité contractuelles, niveaux de service et obligations d’information ;
• incidents antérieurs, vulnérabilités connues et améliorations en suspens.

Le guide sur le questionnaire vous aide à préparer ces informations de manière structurée.

Que montrent les sources suisses ?

Le rapport semestriel 2025/1 de l’OFCS qualifie les attaques au sein de la chaîne d’approvisionnement de défi central : après une attaque contre une entreprise informatique, ses clients professionnels peuvent également être touchés. Cela correspond directement au risque de concentration des MSP, des éditeurs de logiciels et des fournisseurs SaaS.

En 2023, la FHNW (Haute école spécialisée du Nord-Ouest de la Suisse) a interrogé au total 502 dirigeants de PME suisses comptant de 4 à 49 collaborateurs. 11 % ont fait état d’une cyberattaque réussie ayant nécessité un effort considérable pour réparer les dommages ; 55 % des entreprises déjà attaquées ont signalé un dommage financier. Ces chiffres décrivent les PME suisses dans leur ensemble et ne constituent pas un taux de sinistres propre aux entreprises informatiques.

Le portail PME du SECO regroupe des mesures de protection et présente la cyberassurance comme un amortisseur financier possible, en complément de la prévention et de la préparation aux urgences. Pour les prestataires IT, l’essentiel reste de ne pas regrouper dommages propres, responsabilité envers les clients et erreurs professionnelles dans une hypothèse forfaitaire.

Sources

• OFCS : Cybersécurité tout au long de la chaîne logistique
• OFCS : Rapport semestriel 2025/1
• FHNW : Télétravail et cybersécurité dans les PME suisses, étude 2023 (en allemand)
• Portail PME du SECO : Cybersécurité

Comparer les offres sur les mêmes scénarios

Demandez des offres de cyberassurance et de RC professionnelle IT sur la base de la même description d’activité, des mêmes accès clients et des mêmes dépendances cloud. BTAG peut expliquer les différences de couverture, d’exclusions, de sous-limites et de coordination des contrats.

Comparer les offres cyber et RC