Maîtriser votre cyber-assurance : Franchise, plafonds, exclusions

Naviguer dans les eaux complexes de la cyber-assurance : les clés pour bien comprendre

Le cyber-risque est omniprésent. En 2023, 82% des PME françaises ont été cibles de cyberattaques, selon le rapport de Cybermalveillance.gouv.fr. Face à cette menace grandissante, la cyber-assurance n'est plus une option, mais une nécessité. Cependant, souscrire à une police sans en comprendre les subtilités, c'est comme conduire une voiture sans lire le manuel : potentiellement dangereux. Chez Cyberutik, nous voulons vous armer des connaissances nécessaires pour lire votre contrat d'assurance cyber comme un professionnel. Plongeons ensemble dans les notions de franchise, de plafonds (ou limites) de garantie et d'exclusions.

Comprendre ces trois piliers est fondamental pour éviter les mauvaises surprises au moment d'un sinistre. Une police mal comprise peut transformer une supposée protection en un fardeau financier supplémentaire. Notre mission est de démocratiser ces termes techniques pour vous permettre de prendre des décisions éclairées.

Franchise : La part de risque que vous assumez

La franchise est la somme qui reste à la charge de l’assuré en cas de sinistre. En d'autres termes, avant que votre assureur n'intervienne financièrement, vous devrez payer ce montant. C'est un élément clé qui influence directement le coût de votre prime d'assurance : plus la franchise est élevée, plus votre prime est généralement faible, et vice-versa.

Pourquoi existe-t-il une franchise en cyber-assurance ?

• Pour responsabiliser l'assuré : En assumant une partie du coût, les entreprises sont incitées à maintenir de bonnes pratiques de sécurité.
• Pour réduire les petits sinistres : La franchise décourage les déclarations de sinistres de faible montant, qui généreraient des coûts administratifs disproportionnés pour l'assureur.
• Pour limiter les risques de l'assureur : Elle permet aux assureurs de mieux maîtriser leurs engagements financiers.

Comment est-elle fixée ?

La franchise peut être exprimée de différentes manières :

• Un montant fixe : Par exemple, 5 000 euros par sinistre. C'est le plus courant en cyber-assurance.
• Un pourcentage du montant du dommage : Par exemple, 10% du coût total du sinistre. Certains contrats peuvent combiner les deux, avec un minimum et un maximum.
• Un pourcentage et un montant minimum : Par exemple, 10% des dommages avec un minimum de 3 000 euros.

Exemple concret : Votre PME est victime d'un ransomware qui vous coûte 50 000 euros en frais de remédiation et perte d'exploitation. Si votre contrat prévoit une franchise de 5 000 euros, l'assureur prendra en charge 45 000 euros, et les 5 000 euros restants seront à votre charge.

Lors de la souscription, ne vous contentez pas de comparer les primes. Vérifiez attentivement le montant de la franchise et assurez-vous qu'elle est en adéquation avec la capacité financière de votre entreprise à l'assumer en cas de coup dur. D'après un rapport d'Allianz de 2023, le coût moyen d'une cyberattaque pour une PME peut se chiffrer à plusieurs dizaines de milliers d'euros ; une franchise mal calibrée peut mettre votre entreprise en péril.

Plafonds de garantie (sous-limites, limites) : Jusqu'où va la couverture ?

Le plafond de garantie, ou limite d'indemnisation, est le montant maximum que l'assureur s'engage à verser pour un sinistre donné ou pour l'ensemble des sinistres sur une période contractuelle. Il ne s'agit pas d'un montant global unique pour l'ensemble de votre contrat. En cyber-assurance, il existe souvent des plafonds spécifiques pour différentes catégories de dommages, appelés 'sous-limites'.

Distinction entre plafond global et sous-limites

• Plafond global : C'est la somme maximale que l'assureur paiera pour l'ensemble des sinistres sur la durée du contrat (généralement un an). Par exemple, un contrat pourrait avoir un plafond global de 2 millions d'euros.
• Sous-limites : Ce sont des montants maximaux spécifiques appliqués à certaines garanties. C'est ici que la lecture attentive est primordiale.

Exemples de sous-limites courantes en cyber-assurance :

• Frais de remédiation numérique et investigation : Coût des experts en cybersécurité, des informaticiens pour restaurer les systèmes, etc. Peut être plafonné à 500 000 euros.
• Perte d'exploitation suite à un cyber-incident : Indemnisation des pertes de bénéfices pendant la période d'inactivité. Peut être limité à 300 000 euros.
• Frais de notification (RGPD) : Coût lié à l'information des personnes concernées par une fuite de données, comme l'exige le Règlement Général sur la Protection des Données (RGPD) encadré par la CNIL en France. Peut être plafonné à 100 000 euros, ce qui peut être rapidement atteint pour des milliers d'enregistrements.
• Frais de rançon (négociation et paiement) : Si couverts, ces frais sont souvent soumis à une sous-limite stricte, par exemple 150 000 euros.
• Frais de restauration et de reconstruction des données : Coûts pour récupérer ou recréer les données perdues ou corrompues.
• Responsabilité civile cyber : Montant maximum pour les dommages que votre entreprise pourrait causer à des tiers suite à un incident cyber (par exemple, la fuite de données de vos clients).

Piège à éviter : Ne vous fiez pas uniquement au plafond global affiché. Un contrat avec un plafond global élevé mais des sous-limites très basses sur des postes clés (comme la perte d'exploitation ou les frais de notification) pourrait s'avérer insuffisant. Selon une étude de Hiscox de 2022, la perte d'exploitation est souvent le poste de dépense le plus important après une cyberattaque, souvent sous-estimé dans les contrats.

Exclusions : Ce qui n'est ABSOLUMENT PAS couvert

Les exclusions sont les clauses d'un contrat d'assurance qui listent les situations, les événements ou les dommages pour lesquels l'assureur ne garantira aucune indemnisation. C'est la partie de votre contrat que vous devez lire avec la plus grande vigilance. Une exclusion peut annuler toute la protection que vous pensiez avoir.

Exclusions courantes en cyber-assurance :

• Acte de guerre ou de terrorisme : La plupart des polices excluent les dommages résultant directement ou indirectement d'actes de guerre, de mutinerie, de terrorisme ou d'hostilités. Les attaques sponsorisées par des États peuvent tomber sous cette exclusion.
• Négligence grave (ou faute inexcusable) : Certains contrats peuvent exclure les sinistres résultant d'une négligence grave, c'est-à-dire d'un manquement délibéré et inexcusable aux règles de sécurité élémentaires que toute entreprise raisonnable aurait dû respecter. Par exemple, l'absence totale de mises à jour de sécurité pendant des années, l'utilisation de mots de passe '123456', ou l'absence de toute solution antivirus.

  Il est crucial de comprendre la distinction entre 'négligence simple' et 'négligence grave'. Une négligence simple (ex: un employé qui clique par inadvertance sur un lien de phishing) est généralement couverte. La négligence grave, en revanche, peut être une cause d'exclusion. Chez Cyberutik, nous vous aidons à évaluer ce risque.

• Systèmes non maintenus ou obsolètes : L'absence de mises à jour critiques, l'utilisation de logiciels sans support éditeur ou de matériel obsolète peut entraîner des exclusions.
• Non-respect des lois et réglementations : Les amendes ou sanctions imposées par une autorité de régulation (comme la CNIL pour le RGPD) suite à un manquement délibéré aux exigences légales sont souvent exclues.
• Sinistres intentionnels : Un acte malveillant commis par l'assuré lui-même ou par un dirigeant avec l'intention de causer un dommage ne sera jamais couvert.
• Actes illégaux : Les activités criminelles de l'assuré ou l'utilisation des systèmes pour des activités illégales.
• Défaut de sauvegardes : Certaines polices peuvent prévoir des exclusions si l'entreprise n'avait pas de sauvegardes adéquates et régulièrement testées. C'est une mesure de sécurité de base souvent attendue.
• Pré-existence : Les incidents survenus avant la souscription du contrat ne sont pas couverts.

Conseil PME : L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) publie régulièrement des guides de bonnes pratiques en matière de cybersécurité. Adhérer à ces recommandations peut vous aider à démontrer que vous avez mis en œuvre des mesures raisonnables et à éviter d'être frappé par une clause d'exclusion pour négligence grave.

Comment lire et négocier votre police comme un pro ?

Maintenant que vous maîtrisez les concepts, voici quelques conseils pratiques pour aborder votre contrat de cyber-assurance :

1. Lisez attentivement l'intégralité des Conditions Générales et Particulières : Ne vous contentez jamais du résumé ou des points forts. Chaque mot compte.
2. Posez des questions : N'hésitez pas à demander des clarifications à votre courtier ou à l'assureur pour chaque point que vous ne comprenez pas. Demandez des exemples concrets pour les franchises et exclusions.
3. Évaluez vos besoins réels : Estimez le coût potentiel d'une interruption d'activité, les frais de remédiation, les amendes potentielles, etc. Cela vous aidera à dimensionner les plafonds de garantie nécessaires. L'INSEE peut vous aider à évaluer votre chiffre d'affaires quotidien et estimer l'impact d'une inactivité.
4. Vérifiez la compatibilité avec vos mesures de sécurité : Assurez-vous que les clauses d'exclusion pour faute grave ou absence de maintenance ne contredisent pas vos pratiques actuelles. Un audit de sécurité peut vous aider à identifier les lacunes.
5. Négociez : Les franchises et les sous-limites ne sont pas toujours gravées dans le marbre. Discutez avec votre courtier de la possibilité de les ajuster en fonction de votre budget et de votre appétit pour le risque.
6. Mettez à jour régulièrement : Vos besoins évoluent. Votre contrat doit être revu annuellement pour s'adapter à la croissance de votre entreprise, à l'évolution de vos systèmes IT et aux nouvelles menaces.

La cyber-assurance est un filet de sécurité indispensable, mais son efficacité dépend de votre compréhension de ses termes. En tant que courtier spécialisé en cyber-assurance pour les PME françaises, Cyberutik s'engage à rendre ces sujets accessibles et à vous accompagner dans le choix de la meilleure protection.

Protégez votre PME aujourd'hui avec Cyberutik

Ne laissez pas les termes techniques vous empêcher d'obtenir la protection dont votre entreprise a besoin. Chez Cyberutik, nous simplifions la complexité pour vous offrir une cyber-assurance transparente et adaptée. Nous vous aidons à décrypter les franchises, les plafonds et les exclusions pour que votre couverture soit une véritable carapace face aux menaces cyber. Découvrez comment bien vous protéger et obtenez une proposition personnalisée en quelques clics.

Obtenir un devis personnalisé ou Tester mon exposition au risque cyber