Assurance cyber
Ce que l'assurance cyber suppose côté salarié et direction : sauvegardes hors ligne, double authentification, premiers gestes et déclaration.
En 30 secondes
- Où ça arrive
- Lors d'un rançongiciel, d'une fuite de données ou d'une attaque qui touche les systèmes de l'entreprise, où la liste des personnes à informer peut comprendre la compagnie d'assurance cyber1.
- Ce que veut l'attaquant
- Beaucoup de variantes de rançongiciels cherchent les sauvegardes accessibles pour les supprimer ou les chiffrer1.
De quoi parle-t-on
Une assurance cyber est un contrat que l'entreprise souscrit pour faire face aux suites d'une attaque informatique. Pour un salarié, elle reste le plus souvent invisible, jusqu'au jour où un incident survient : l'assureur peut faire partie des personnes à prévenir, avec le service informatique et les responsables concernés1.
Les sources citées ici sont des guides publics de sécurité et de conduite d'incident. Aucune ne décrit le contenu d'un contrat d'assurance : ni les garanties (frais de crise, restauration des données, pertes d'exploitation, responsabilité civile), ni les exclusions, ni les conditions posées par tel ou tel assureur. Cette fiche ne les détaille donc pas. Elle présente ce que ces sources disent des mesures de sécurité qu'un assureur peut demander et des gestes à faire en cas d'incident. Les conditions réelles se lisent dans le contrat de l'entreprise.
Questions directes
Que couvre une assurance cyber ?
Les sources citées ici ne le disent pas. Elles mentionnent seulement l'existence d'une compagnie d'assurance cyber parmi les parties prenantes d'un incident1. Le périmètre exact, les plafonds et les exclusions dépendent du contrat. La direction, ou la personne qui l'a négocié, est la seule à pouvoir les indiquer.
Quelles mesures de sécurité les assureurs exigent-ils ?
Les sources n'établissent pas de liste d'exigences d'assureurs. Elles décrivent en revanche des mesures que les organismes publics recommandent : sauvegardes hors ligne, authentification multifacteur, plan de réponse aux incidents135. Savoir lesquelles un assureur impose à l'entreprise suppose de lire son contrat.
Pourquoi les sauvegardes doivent-elles être hors ligne ?
Beaucoup de variantes de rançongiciels cherchent les sauvegardes accessibles pour les supprimer ou les chiffrer1. Une sauvegarde connectée à l'ordinateur ou au réseau de l'entreprise peut être détruite par le programme malveillant, d'où le conseil de la déconnecter ou de la mettre hors ligne quand on ne s'en sert plus2.
Que change l'authentification multifacteur ?
Elle demande au moins deux éléments pour prouver son identité : ce que l'on sait, ce que l'on possède ou ce que l'on est3. Même si un mot de passe est volé, l'attaquant n'a pas le second élément3. Toutes les méthodes ne se valent pas : la CISA écrit que « any MFA is better than no MFA » et recommande de viser les méthodes résistantes à l'hameçonnage3. Le NCSC britannique recommande aussi des techniques qui protègent mieux contre l'hameçonnage4.
1Ce que ça change pour un salarié1 min
Le salarié n'a pas à connaître le contrat. Il a en revanche des gestes à tenir, parce qu'une partie de la sécurité repose sur lui.
- Activer la double authentification dès qu'elle est proposée sur la messagerie et les services professionnels3.
- Ne pas laisser un disque de sauvegarde branché en permanence à son poste2.
- Signaler tout comportement suspect, par exemple un courriel d'hameçonnage : un programme de sensibilisation doit expliquer comment le reconnaître et le signaler1.
La conséquence pratique d'un manquement pour l'indemnisation n'est pas documentée dans les sources citées ici. Elle dépend des clauses du contrat.
2Ce que ça change pour la directionDirection1 min
La direction choisit les mesures et tient les plans à jour. Les sources citées ici lui demandent plusieurs choses.
- Écrire, maintenir et exercer régulièrement un plan de réponse aux incidents et un plan de communication, dont un exemplaire papier et une version hors ligne1.
- Relier ce plan à la reprise d'activité, à la continuité et à la gestion de crise5.
- Tester régulièrement les sauvegardes, y compris leur restauration12.
- Si un prestataire gère les sauvegardes, fixer ses exigences de sécurité par contrat1.
- Tenir informés les dirigeants au fil de la crise, et, parmi les parties prenantes à informer, l'assureur peut en faire partie1.
Le NCSC écrit qu'aucune sécurité n'est parfaite : « Incidents can and will happen »5. Seule une bonne préparation aide à bien les gérer5.
3Ce que dit le texteTexte officiel1 min
Aucune des sources citées ici n'est un texte de loi sur l'assurance cyber. Les textes juridiques qu'elles mentionnent concernent les données personnelles.
Le RGPD impose de documenter en interne les violations de données personnelles et d'en notifier à la CNIL celles qui présentent un risque pour les droits et libertés des personnes6. Quand le risque est élevé, les personnes concernées doivent aussi être informées6. L'obligation de notifier la CNIL est prévue à l'article 33 du RGPD et concerne tous les responsables de traitement. L'article 34 impose d'informer les personnes en cas de risque élevé6.
La notification se fait dans les meilleurs délais. Si les informations manquent, elle peut se faire en deux temps : une notification initiale dans un délai de 72 heures si possible, puis une notification complémentaire. Au-delà de 72 heures, les motifs du retard sont à expliquer6.
La CNIL indique aussi que, si la violation fait suite à une cyberattaque, il est conseillé de déposer plainte au commissariat ou à la gendarmerie et de tenir à disposition des enquêteurs les éléments de preuve techniques6. Les sauvegardes relèvent des mêmes régimes juridiques que les données d'origine, et, pour des données personnelles, la responsabilité civile ou pénale peut être engagée en cas de manquement avéré2.
4Où en est l'application2 min
Les sources citées ici ne donnent pas d'état d'application d'un cadre légal propre à l'assurance cyber en France, ni d'obligation de souscrire. Ce qui est établi, c'est la notification à la CNIL prévue par le RGPD6.
Côté référentiels, le NIST présente son Cybersecurity Framework 2.0 comme un document destiné à réduire les risques de cybersécurité pour l'industrie, les administrations et les organisations7. Le NCSC rappelle le cycle de vie décrit par le NIST : identifier, protéger, détecter, répondre, rétablir5. Pour l'incident lui-même, la source américaine s'adresse aux professionnels de l'informatique : elle demande d'identifier les systèmes touchés et de les isoler immédiatement, de façon coordonnée, et de n'éteindre un appareil que s'il ne peut pas être déconnecté du réseau1. Elle conseille de communiquer par téléphone plutôt que par les outils peut-être surveillés1. Elle demande aussi de préserver les preuves volatiles (mémoire, journaux de sécurité, tampons de pare-feu) et de collecter les journaux utiles1. Elle prévoit d'informer les parties prenantes, dont l'assureur peut faire partie, et de signaler l'incident à des autorités américaines (CISA, FBI)1. En pratique, l'entreprise suit son propre plan de réponse. Si des données personnelles sont touchées, la notification à la CNIL doit être transmise dans les meilleurs délais, dans un délai de 72 heures si possible6. Pendant l'investigation, elle demande de chercher des traces de logiciels malveillants précurseurs (« dropper »), car une attaque par rançongiciel peut révéler une compromission antérieure non résolue du réseau1. Lors de la reprise, elle demande de veiller à ne pas réinfecter les systèmes sains1. Les équipes peuvent aussi examiner les journaux de l'antivirus ou de l'EDR pour repérer d'autres systèmes touchés1.
Fiche
- Identifiant
- CP-385
- Aile
- 6. Gouvernance et GRC
- Compétence Brain
- Protéger les données (safeguard_data)
- Réflexe Brain
- cr-063
- Schéma
- G3 · Coupe Anatomique
- Langues
- de, en, fr
- Sources
- 7 sources vérifiées le 3 novembre 2026
Sources7 sources
- CISA, « #StopRansomware Guide | CISA ». https://www.cisa.gov/stopransomware/ransomware-guide (consulté le 3 novembre 2026)
- Cybermalveillance.gouv.fr, « Pourquoi et comment bien gérer ses sauvegardes ? », 13 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/sauvegardes (consulté le 3 novembre 2026)
- CISA, « More than a Password ». https://www.cisa.gov/MFA (consulté le 3 novembre 2026)
- NCSC (Royaume-Uni), « Multi-factor authentication for your corporate online services », 26 septembre 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (consulté le 3 novembre 2026)
- NCSC (Royaume-Uni), « Incident management », 19 septembre 2019. https://www.ncsc.gov.uk/collection/incident-management (consulté le 3 novembre 2026)
- CNIL, « Notifier une violation de données personnelles », 24 mai 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (consulté le 3 novembre 2026)
- NIST, « Cybersecurity Framework ». https://www.nist.gov/cyberframework (consulté le 3 novembre 2026)
Citer cet article
Brain, « Assurance cyber », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp385_fr_2026,
author = {Brain},
title = {Assurance cyber},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/assurance-cyber-prerequis-sinistre/},
note = {CC BY 4.0}
}