Pourquoi une couverture standard laisse des vides opérationnels
En 2025, les petites et moyennes entreprises et les entreprises de taille intermédiaire ont concentré 48 pour cent des victimes de cyberattaques suivies par l’Agence nationale de la sécurité des systèmes d’information, abrégée ANSSI. Un contrat cyber ne remplace ni la prévention ni la continuité d’activité. Il ne couvre pas non plus, par défaut, tous les scénarios qui coûtent cher à une ETI française. Cinq angles morts reviennent systématiquement à l’examen des polices standard.
Passons aux points où l’écart entre le risque et la garantie est le plus fréquent.
Angle mort 1, la fraude au virement et la manipulation des paiements
Mécanisme technique
La fraude dite au faux président ou la manipulation de paiement vise les processus de trésorerie. Le scénario typique en ETI est le changement d’IBAN fournisseur après interception d’un échange, ou l’ordre de virement urgent avec une pression hiérarchique simulée.
Risque réel pour l’entreprise
Les dossiers vus ces deux dernières années montrent des montants de 150 000 à 1,2 million d’euros, parfois en plusieurs virements successifs dans une même semaine.
Regard du marché de l’assurance
La plupart des garanties cyber standard couvrent l’attaque informatique avérée, pas toujours la fraude sociale pure. Si la police exige la preuve d’un accès non autorisé au système pour déclencher l’indemnisation, un simple piège par email peut rester hors garantie. Les extensions fraude existent, mais elles sont souvent avec une sous-limite à 50 000 ou 100 000 euros, avec des franchises spécifiques et des conditions de contrôle à respecter, par exemple double validation hors email et rappel téléphonique sur un numéro vérifié.
Cas concret. Dans un dossier d’ETI industrielle, le souscripteur a demandé le descriptif des contrôles de virement, le réglage des validations dans l’outil bancaire et les preuves de tests trimestriels. La police initiale couvrait uniquement les détournements consécutifs à une compromission de messagerie prouvée. L’ajout d’une clause de fraude par ingénierie sociale, avec protocole de double vérification, a débloqué une limite à 500 000 euros, contre 100 000 au départ.
- Vérification à faire. Repérer le libellé exact de la garantie fraude et ses conditions probatoires. L’email seul comme vecteur ne suffit pas toujours à déclencher la garantie.
Angle mort 2, l’arrêt d’exploitation réel, pas seulement la remise en route informatique
Mécanisme technique
Après un rançongiciel, le redémarrage des systèmes ne suffit pas.
Risque réel pour l’entreprise
Le coût principal est souvent la perte de marge liée au retard de production, à la désorganisation des flux logistiques, aux remises consenties aux clients, et au redémarrage par paliers. Un arrêt de 10 jours sur un site avec 8 millions d’euros de chiffre d’affaires mensuel, c’est un impact brut de 2,6 millions d’euros avant amortissement par les stocks et les reports.
Regard du marché de l’assurance
Beaucoup de polices standard couvrent les frais de restauration et d’investigation, mais rattachent la perte d’exploitation à une atteinte directe aux systèmes assurés. On voit souvent 30 jours de franchise et 3 mois de période d’indemnisation.
Cas concret. Dans une ETI agroalimentaire, l’assureur a demandé les rapports de tests de restauration sur 12 mois, le temps de reprise cible par application et la liste des postes de coûts retenus pour la perte d’exploitation. La négociation a abouti à une période d’indemnisation de 6 mois au lieu de 3, avec une franchise ramenée de 20 à 10 jours, sous condition d’un test de PRA, Plan de Reprise d’Activité, annuel consigné et validé par la direction. C’est cette pièce, un compte rendu de test avec temps observés, qui a débloqué l’accord.
- Vérification à faire. Lire la clause perte d’exploitation, sa franchise en jours, la durée d’indemnisation et le traitement des dépendances externes.
Angle mort 3, la chaîne de sous-traitance et les prestataires critiques
Mécanisme technique
Une ETI dépend d’éditeurs et d’infogérants pour son progiciel de gestion intégré, abrégé ERP, sa paie, son hébergement et ses interfaces clients.
Risque réel pour l’entreprise
Le blocage d’un ERP en mode SaaS pendant 5 jours peut interrompre la production faute de planification et de traçabilité.
Regard du marché de l’assurance
Les garanties de dépendance aux prestataires existent, mais elles sont souvent optionnelles, avec une liste limitée de fournisseurs déclarés et des sous-limites dédiées. Sans déclaration nominative, pas d’indemnisation.
Cas concret. Pour une ETI de services numériques, l’assureur a demandé la cartographie des dépendances critiques, les clauses de réversibilité avec l’hébergeur et la preuve d’un test de bascule. La police a intégré une extension dépendance externe à 1 million d’euros, couvrant trois prestataires nommés, contre 250 000 euros génériques au départ. La liste nominative a été déterminante, avec adresses de services et RTO, pour Recovery Time Objective, temps de reprise cible.
- Vérification à faire. Identifier les 5 prestataires qui, s’ils tombent, arrêtent l’activité. Les nommer au contrat avec une limite par fournisseur.
Angle mort 4, la responsabilité réglementaire et la gouvernance
Mécanisme technique
Les grandes lignes communiquées pour 2026 prévoient une alerte rapide en moins de 24 heures, une notification plus détaillée sous 72 heures et un rapport final en moins d’un mois. Ce rythme implique une gouvernance écrite, avec rôles, critères d’escalade, et communication vers les autorités.
Risque réel pour l’entreprise
Le risque n’est pas seulement financier. Il touche la responsabilité de l’organisation et la continuité des contrats.
Regard du marché de l’assurance
Les assureurs attendent des preuves de gouvernance. Les garanties de responsabilité civile après atteinte aux données existent, mais elles supposent une conformité raisonnable aux obligations réglementaires.
Cas concret. Une ETI de santé numérique a obtenu une amélioration tarifaire et l’ajout d’une garantie défense et sanctions administratives, dans le cadre autorisé, après présentation d’un plan de conformité NIS2 avec jalons, matrices RACI et preuves de réunions trimestrielles. Sans ces éléments, le même dossier avait reçu une offre limitée avec exclusion des amendes et une franchise doublée.
- Vérification à faire. Formaliser un processus de notification incident avec minutage 24 heures, 72 heures, 30 jours, et le nom du responsable de chaque étape.
Angle mort 5, la gestion de crise et les frais cachés
Mécanisme technique
Un sinistre cyber active immédiatement plusieurs métiers, investigation numérique, remise en état, restauration de données, conseil juridique, communication de crise, relation avec les autorités, hotline clients. Vous ne lisez pas le plan pendant l’incendie.
Risque réel pour l’entreprise
Les frais de crise s’additionnent vite. Un cabinet d’investigation numérique à 1 400 euros la journée, une agence de communication à 15 000 euros sur une semaine, une plateforme de notification clients à 3 euros par personne, un avocat spécialisé à 350 euros de l’heure, des renforts techniques de nuit.
Regard du marché de l’assurance
Les polices standard diffèrent sur quatre points. Les sous-limites par type de frais. La possibilité d’utiliser ses prestataires habituels avec approbation.
Cas concret. Dans une ETI de distribution, la police initiale prévoyait 250 000 euros de frais de crise, sous-limité à 50 000 euros pour la communication. Le même dossier, après justification d’un plan de gestion de crise, d’un exercice de simulation et d’une liste de prestataires pré-approuvés, a obtenu 500 000 euros, avec activation 24 heures sur 24, week-end compris. Ce sont les comptes rendus d’exercice et le plan de crise qui ont convaincu, pas un argument tarifaire.
- Vérification à faire. Lire les sous-limites par poste, investigation numérique, juridique, communication, notification, et la clause d’activation.
Ce que le durcissement du marché change concrètement en 2026
Les exigences de base sont désormais non négociables si vous voulez une couverture utile. MFA, authentification multi-facteurs, sur les accès administrateurs et les accès distants. Sauvegardes déconnectées et testées. Gestion des correctifs avec délais cibles, par exemple 15 jours pour les failles critiques. Séparation des accès à privilèges. Supervision des prestataires critiques. Plan de continuité documenté et testé.
Cinq vérifications prioritaires avant de se dire correctement couvert
- Cartographier vos scénarios de sinistre majeurs. Rançongiciel qui touche les serveurs de production, fraude au paiement par changement d’IBAN, arrêt d’exploitation avec effet domino sur les clients, perte ou chiffrement des données critiques, compromission d’un prestataire ERP ou paie.
- Pointer les exclusions et sous-limites sensibles. Fraude par ingénierie sociale, perte d’exploitation et sa période d’indemnisation, frais de crise par poste, dépendances informatiques externes nommées.
- Préparer l’activation de la police. Numéro d’assistance 24 heures sur 24, prestataires agréés, procédure d’engagement des dépenses, plafond par typologie de coûts, décisionnaire habilité la nuit et le week-end.
Ce que vous pouvez mesurer et documenter dans les 90 prochains jours
Je privilégie les preuves simples et vérifiables. Elles rassurent un souscripteur et structurent une crise.
- Un test de restauration complet d’une application critique, avec temps mesurés et écarts au RTO cibles. Joindre le rapport au dossier d’assurance.
- Un audit de processus de paiement, avec séparation des tâches, double validation hors email, et preuve de rappel téléphonique sur numéro référencé. Mesurer le temps moyen de vérification et formaliser la procédure en une page.
- Une cartographie des cinq prestataires critiques avec, pour chacun, l’état MFA, les SLA, Service Level Agreements, engagements de service, contractuels, les modalités de réversibilité et un contact d’astreinte. Les nommer dans une clause de dépendance externe si la police le permet.
Point de vue et ligne rouge
Un risque nouveau n’est pas inassurable. Il est refusé parce qu’il est mal expliqué ou mal documenté. Les assureurs travaillent avec de l’historique. Quand il n’existe pas, il faut le fabriquer par la mesure et la preuve. Le sérieux d’un dossier technique, tests de restauration, procédures de paiement, cartographie des dépendances, fait davantage pour une souscription robuste que n’importe quelle négociation de prime.
Si votre police coche toutes les cases de périmètre mais reste pauvre en pertes d’exploitation, en dépendances externes et en frais de crise, vous couvrirez la remise en route technique et laisserez le cœur de l’impact hors garantie. C’est précisément ce que l’on évite en alignant les garanties sur des scénarios chiffrés et vérifiés.
Sources
