Qu'est-ce qu'une assurance cyber ?
L'assurance cyber couvre les conséquences d'une atteinte à votre système d'information ou à vos données : intrusion, logiciel malveillant, vol d'identifiants, fuite de données, fraude rendue possible par un piratage.
Les contrats récents ne se limitent plus à indemniser. Ils associent trois volets : des outils de prévention qui surveillent vos failles tout au long de l'année, une équipe d'intervention joignable à toute heure dès qu'un incident survient, et l'indemnisation de vos pertes et de celles que vous causez à des tiers.
Pourquoi la construction est exposée
- Des virements importants et répétés. Situations de travaux, appels de fonds, règlements de sous-traitants : un courriel piraté suffit à glisser un faux RIB dans la chaîne de paiement.
- Une activité qui ne supporte pas l'arrêt. Plans, métrés, plannings, comptabilité, logiciel de suivi de chantier : sans eux, les chantiers ralentissent et les pénalités de retard courent.
- Des données personnelles sensibles. Pièces d'identité, avis d'imposition, offres de prêt des acquéreurs et maîtres d'ouvrage : leur fuite engage votre responsabilité au titre du RGPD.
- De nombreux intervenants. Architectes, bureaux d'études, entreprises, notaires, banques échangent par messagerie ; la compromission de l'un expose tous les autres.
Ce que couvre le contrat
| Volet | Ce qui est pris en charge |
|---|---|
| Assistance et gestion de crise | Experts en réponse à incident, enquête technique, remise en état des systèmes, restauration des données, conseil juridique, communication de crise |
| Vos propres pertes | Pertes d'exploitation et frais supplémentaires pendant l'arrêt, cyber-extorsion, frais de notification aux autorités et aux personnes concernées |
| Fraude | Virement détourné par faux RIB, faux ordre du dirigeant, usurpation d'identité — garantie le plus souvent optionnelle, avec son propre plafond |
| Responsabilité civile | Réclamations de tiers après une fuite de données, la transmission d'un virus ou une atteinte à la confidentialité ; frais de défense |
| Enquêtes et sanctions | Frais de défense devant une autorité de contrôle ; sanctions administratives lorsqu'elles sont légalement assurables |
Restent habituellement exclus : les faits connus avant la souscription, la faute intentionnelle de l'assuré, les dommages corporels et matériels, et les améliorations de votre informatique au-delà de la remise en état.
La prévention, incluse dans le contrat
Chez les assureurs spécialisés, la prime donne accès à des outils qui réduisent la probabilité du sinistre :
- Analyse régulière de vos accès exposés sur Internet (site, messagerie, accès distants) avec alerte en cas de faille ;
- Surveillance des identifiants compromis qui circulent après une fuite ;
- Campagnes de faux hameçonnage et sensibilisation des collaborateurs ;
- en option, surveillance des postes et serveurs 24 h/24 par un centre de sécurité.
Ces services servent aussi à préparer les exigences de sécurité que la directive NIS 2 étend à de nombreuses entreprises.
Que se passe-t-il en cas d'incident ?
- Vous appelez le numéro d'urgence, de jour comme de nuit. Des spécialistes prennent la main en quelques dizaines de minutes.
- L'attaque est contenue : les machines touchées sont isolées, l'origine de l'intrusion est recherchée.
- Les systèmes sont remis en route avec votre prestataire informatique, à partir des sauvegardes.
- Les démarches sont menées avec vous : dépôt de plainte, notification à la CNIL sous 72 heures en cas de violation de données personnelles, information des clients.
- Les pertes sont évaluées et indemnisées selon les garanties souscrites.
Attention au délai : depuis 2023, l'indemnisation d'une cyberattaque suppose une plainte déposée dans les 72 heures après en avoir eu connaissance (article L. 12-10-1 du Code des assurances).
Comment se déroule la souscription ?
Pour une PME, le parcours est court :
- l'identité de la société, son activité et son chiffre d'affaires ;
- le nom de domaine de l'entreprise, à partir duquel l'assureur analyse les accès visibles depuis Internet ;
- quelques questions de sécurité : sauvegardes, antivirus, double authentification, données personnelles traitées, filiales à l'étranger ;
- le choix du plafond de garantie, de la franchise et des options (fraude, surveillance 24 h/24).
Si l'analyse révèle une faille critique, elle doit être corrigée avant la prise d'effet ; le rapport vous est remis et reste utile même sans souscription. Les entreprises de plus grande taille font l'objet d'un questionnaire détaillé et d'un échange avec le souscripteur.
Notre partenaire : Stoïk
Pour l'assurance cyber, BF Caution est courtier partenaire de Stoïk, assureur européen spécialisé qui réunit dans un même contrat l'assurance, les outils de prévention et sa propre équipe de réponse à incident.
- Pour qui : les PME et ETI, avec un devis immédiat pour la plupart des entreprises et une étude sur mesure pour les plus grandes ;
- Plafond de garantie : jusqu'à 10 millions d'euros ;
- Porteurs de risque : Tokio Marine HCC, Swiss Re et Axeria IARD ;
- En cas d'attaque : une équipe interne d'experts joignable 24 h/24 et 7 j/7 ;
- Avant de souscrire : un rapport d'analyse de vos accès exposés sur Internet, remis sans frais.
Ces informations sont celles que publie Stoïk ; les garanties, plafonds et franchises applicables sont ceux de l'offre qui vous est remise.
Comment BF Caution vous accompagne
- Diagnostic. Nous faisons le point sur votre exposition : flux de paiement, outils, données détenues, contrats déjà en place.
- Demande de devis. Votre dossier est présenté à notre partenaire Stoïk et, si votre situation le demande, à d'autres assureurs spécialisés.
- Comparaison. Plafonds, franchises, garantie fraude, services de prévention : nous vous remettons une lecture claire des offres.
- Mise en place et suivi. Souscription en ligne, contrat disponible dans votre espace client, accompagnement en cas d'incident et au renouvellement.
L'assurance cyber complète les garanties propres à votre métier : garantie de livraison, garantie financière d'achèvement et dommages-ouvrage.
Questions fréquentes
L’assurance cyber est-elle obligatoire ?
Non. Aucun texte n'impose de la souscrire. En revanche, les obligations qui pèsent sur l'entreprise en cas d'incident — notification à la CNIL, information des personnes concernées, continuité des contrats en cours — existent, assurée ou non. L'assurance sert à y faire face avec des spécialistes et sans y laisser sa trésorerie.
Une petite entreprise du bâtiment est-elle vraiment visée ?
Oui. La plupart des attaques ne visent personne en particulier : elles exploitent automatiquement une messagerie mal protégée, un mot de passe réutilisé ou un accès distant ouvert. Les entreprises de construction manient en outre des virements importants et réguliers, ce qui en fait une cible de choix pour la fraude au faux RIB.
La rançon est-elle prise en charge ?
Le contrat peut couvrir les conséquences d'une cyber-extorsion. La loi subordonne toutefois toute indemnisation à un dépôt de plainte dans les 72 heures suivant la connaissance de l'attaque (article L. 12-10-1 du Code des assurances). Dans les faits, l'objectif des experts est de restaurer les systèmes sans payer.
La fraude au virement est-elle couverte ?
Elle l'est lorsque la garantie « cyber-fraude » ou « fraude par ingénierie sociale » est souscrite : faux RIB d'un fournisseur, faux ordre du dirigeant, usurpation d'identité d'un notaire ou d'un client. C'est une garantie à vérifier ligne par ligne, car son plafond est souvent inférieur à celui du reste du contrat.
Mon assurance responsabilité civile ne couvre-t-elle pas déjà ce risque ?
Très partiellement. La responsabilité civile indemnise les tiers ; elle ne paie ni la remise en état de votre informatique, ni vos pertes d'exploitation, ni les frais d'experts, et beaucoup de contrats excluent désormais expressément le risque cyber.
Combien coûte une assurance cyber ?
La prime dépend du chiffre d'affaires, de l'activité, du plafond et de la franchise choisis, et du niveau de sécurité constaté. Pour une PME, elle se compte généralement en centaines ou en quelques milliers d'euros par an. Un devis est le plus souvent obtenu rapidement, après quelques questions et une analyse de vos accès exposés sur Internet.
Que faut-il avoir mis en place pour être assurable ?
Les assureurs attendent un socle minimal : des sauvegardes régulières dont une copie déconnectée, un antivirus à jour, et de plus en plus la double authentification sur la messagerie et les accès à distance. Une faille critique détectée lors de l'analyse doit être corrigée avant la souscription.