Une petite équipe peut dépendre d’une messagerie, d’un logiciel de caisse ou d’un service en ligne pour toute son activité. Le dossier cyber commence par cette dépendance et par les mesures de prévention réellement appliquées.
La réponse utile
Préparez un inventaire des systèmes, données et prestataires, puis comparez les garanties avec les conditions de sécurité demandées. Une cyberassurance peut prévoir des services et indemnisations, selon ses clauses ; elle ne remplace ni la prévention ni les obligations de gestion d’une violation de données.
Guide documentaire — France. Sources consultées le 12 octobre 2026. Pas de devis ni de recommandation juridiquement définitive.
1. Décrire ce qui peut interrompre votre activité
Listez la messagerie, les postes, les comptes administrateurs, les logiciels métier et les services hébergés. Identifiez qui possède les accès et qui peut rétablir chaque service. Ajoutez les données personnelles, les contrats clients et les fonctions impossibles à réaliser si un outil devient indisponible.
ImpactCyber propose une sensibilisation officielle pour les TPE-PME [1]. Utilisez cette démarche pour préparer des réponses exactes au questionnaire, sans déclarer des sauvegardes ou des protections simplement prévues. Demandez à votre prestataire de confirmer les mesures qu’il gère réellement.
2. Vérifier les exigences et leurs preuves
- Sauvegardes séparées du système principal et test de restauration documenté.
- Mises à jour et suivi des équipements ou logiciels obsolètes.
- Authentification renforcée, gestion des comptes et retrait des accès inutiles.
- Consignes simples pour l’équipe et contacts de crise accessibles hors ligne.
- Répartition des tâches de sécurité entre entreprise et prestataires.
Les conseils de Cybermalveillance.gouv.fr détaillent notamment les mesures de prévention contre les rançongiciels [2]. Faites correspondre les termes du questionnaire à des preuves concrètes : date du dernier test, personne responsable et périmètre sauvegardé. Une réponse imprécise peut masquer un écart avec les conditions exigées.
3. Lire les services et garanties séparément
| Bloc à comparer | Contrôle documentaire |
|---|---|
| Assistance et intervention | Disponibilité, prestataires agréés, accès au service et accord préalable |
| Restauration et frais | Nature des dépenses, plafonds et conditions de prise en charge |
| Responsabilité et données | Tiers concernés, frais de défense, exclusions et obligations de notification |
| Interruption d’activité | Déclencheur, franchise temporelle, calcul et dépendance aux prestataires |
| Fraude et paiement | Garantie explicitement prévue ou exclusion : ne pas supposer son inclusion |
Une assistance téléphonique n’équivaut pas à une indemnisation de toutes les pertes. Vérifiez aussi les services cloud, les actes des prestataires, les incidents déjà connus et la portée territoriale. Les limites doivent être rapprochées de vos dépendances réelles.
4. Préparer trois démarches distinctes
En cas d’attaque, contactez les interlocuteurs prévus au contrat et suivez les consignes de traitement. Pour les pertes et dommages relevant de l’article L12-10-1, l’indemnisation d’une attaque informatique dans l’activité professionnelle est conditionnée à une plainte auprès des autorités compétentes dans les 72 heures de sa connaissance [3]. Ce délai ne remplace pas la déclaration à l’assureur.
Une violation de données personnelles doit aussi être documentée. La notification à la CNIL est requise lorsqu’elle présente un risque pour les droits et libertés, si possible sous 72 heures après connaissance ; l’information des personnes peut être nécessaire en cas de risque élevé [4]. Ces démarches ont des finalités distinctes.
Exemple fictif : une boutique perd l’accès à sa caisse et à sa messagerie. Elle fait qualifier l’incident, conserve les traces, sollicite l’assistance et examine les démarches applicables. Elle ne suppose pas que le prestataire informatique effectuera la plainte ou la notification en son nom.
Questions fréquentes
Une TPE sans site web est-elle exposée ?
Oui, elle peut dépendre de sa messagerie, de comptes et de logiciels. Le site public n’est qu’une partie du système.
Une sauvegarde suffit-elle pour être indemnisé ?
Non. Elle contribue à la résilience ; l’indemnisation reste liée au contrat, aux faits et aux démarches applicables.
La plainte et la notification CNIL sont-elles interchangeables ?
Non. Elles répondent à des cadres différents, auxquels s’ajoute la déclaration à l’assureur selon le contrat.
Sources officielles et portée
- Cybermalveillance.gouv.fr — ImpactCyber, sensibilisation des TPE-PME
- Cybermalveillance.gouv.fr — rançongiciels, conseils aux organisations
- Légifrance — Code des assurances, article L12-10-1
- CNIL — notifier une violation de données personnelles
Les numéros entre crochets renvoient aux références ci-dessus. Les grilles, questions et exemples fictifs sont des aides éditoriales de lecture ; ils ne reproduisent pas un contrat et ne tranchent pas une situation individuelle. Aucun examen par un juriste ou un assureur n’est revendiqué. Voir notre méthodologie.