Assurance cyber pour TPE et indépendants : garanties, exclusions et points à vérifier

Une assurance cyber prend en charge, dans les limites du contrat, les conséquences d’une attaque informatique ou d’un incident touchant vos données : intervention technique, arrêt d’activité, réclamations de tiers. Pour une petite entreprise, un cabinet ou un indépendant, la question n’est pas seulement « suis-je une cible ? », mais « combien de jours puis-je travailler sans mes fichiers, ma messagerie ou mon logiciel métier ? ».

Ce guide présente les garanties habituellement proposées, les exclusions fréquentes et les conditions à respecter, dont le dépôt de plainte sous 72 heures imposé aux professionnels.

Rédaction : MME Assurances — Informations vérifiées le 5 novembre 2026.

Ce qu’une assurance cyber peut couvrir

Les contrats du marché combinent généralement trois blocs. Leur contenu exact, les plafonds et les franchises varient d’un assureur à l’autre.

Certains contrats ajoutent des options : fraude au virement ou à l’ingénierie sociale (faux fournisseur, faux dirigeant), atteinte à l’image, cyber-extorsion. Lisez leur définition : une option peut n’intervenir que si un système informatique a été compromis, et non lorsqu’un salarié a été trompé par un simple appel téléphonique.

Les exclusions et limites fréquentes

• Mesures de sécurité non respectées : de nombreux contrats exigent des prérequis (sauvegardes, mises à jour, authentification renforcée). Une déclaration inexacte au moment de la souscription peut avoir des conséquences sur l’indemnisation.
• Faits antérieurs : une intrusion commencée avant la prise d’effet du contrat peut être exclue.
• Sanctions et amendes : les sanctions administratives, notamment celles d’une autorité de contrôle, sont généralement exclues ou très encadrées.
• Pannes sans attaque : une panne technique ou une erreur de manipulation n’est pas toujours couverte ; certains contrats la prévoient explicitement, d’autres non.
• Défaillance d’un prestataire : l’indisponibilité d’un hébergeur ou d’un éditeur de logiciel en ligne peut relever d’une garantie spécifique, à vérifier.
• Actes de guerre et attaques d’ampleur : les clauses d’exclusion liées aux conflits ou aux événements systémiques se sont développées ; leur rédaction doit être lue attentivement.

La condition du dépôt de plainte sous 72 heures

Depuis le 24 avril 2023, l’article L. 12-10-1 du code des assurances subordonne l’indemnisation des pertes et dommages causés par une cyberattaque au dépôt d’une plainte au plus tard 72 heures après la connaissance de l’atteinte. La règle s’applique aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle, indépendants compris. La FAQ de la Direction générale du Trésor précise qu’elle vise toutes les cyberattaques : rançongiciel, hameçonnage, vol de données, déni de service, défiguration de site…

Le délai court à partir du moment où vous constatez les dommages. Nous détaillons les démarches dans le guide cyberattaque : porter plainte sous 72 heures pour être indemnisé.

Et la rançon ?

La loi encadre la prise en charge d’une rançon par la même condition de plainte ; elle ne la rend pas automatique. Beaucoup de contrats l’excluent ou la soumettent à l’accord préalable de l’assureur. Les autorités recommandent de ne pas payer : la fiche réflexe de Cybermalveillance.gouv.fr rappelle qu’un paiement ne garantit ni la récupération des données, ni l’absence de publication des informations volées.

RC Pro, multirisque et assurance cyber

Une RC Pro couvre les dommages causés à des tiers dans l’exercice de l’activité. Elle n’a pas été conçue pour les frais de reprise informatique ni pour vos propres pertes d’exploitation après une attaque. Certains contrats multirisques ou RC Pro comportent un petit volet cyber ; d’autres excluent expressément les risques numériques. Le guide RC Pro ou assurance cyber : quelles différences ? aide à faire le point sur vos contrats actuels.

Les questions à poser avant de souscrire

1. Quels sont les prérequis de sécurité exigés, et que se passe-t-il s’ils ne sont pas respectés le jour de l’incident ?
2. Quel numéro appeler en cas d’attaque, à quelle heure, et qui intervient ?
3. Comment sont calculées les pertes d’exploitation, et après quelle franchise (heures ou jours d’arrêt) ?
4. Les données de vos clients, patients ou salariés sont-elles couvertes en cas de fuite ?
5. La fraude au virement et l’usurpation d’identité d’un fournisseur sont-elles incluses ou en option ?
6. Les prestataires (hébergeur, logiciel en ligne, infogérant) sont-ils pris en compte ?
7. Quels plafonds par sinistre et par année, et quelles sous-limites par garantie ?

Exemple fictif : un cabinet de trois personnes voit ses postes chiffrés un lundi matin. Il coupe le réseau, appelle l’assistance du contrat et dépose plainte le jour même. Le contrat peut alors prendre en charge l’intervention technique et, après la franchise prévue, une partie de la perte d’activité. Sans plainte dans les 72 heures, cette indemnisation pourrait être refusée, même avec un contrat adapté.

Questions fréquentes

L’assurance cyber est-elle obligatoire ?

Aucune obligation générale ne l’impose aux entreprises. Un client, un donneur d’ordre ou un contrat de sous-traitance peut toutefois l’exiger. Vérifiez vos engagements contractuels.

Un indépendant seul a-t-il besoin d’une assurance cyber ?

Tout dépend de sa dépendance à ses outils et des données qu’il détient. Un professionnel qui facture via un logiciel en ligne, stocke des dossiers clients ou reçoit des virements peut subir une perte réelle en cas d’attaque. Évaluez le nombre de jours d’arrêt supportables et le type de données conservées.

Faut-il déclarer une attaque à l’assureur et à la police ?

Oui, ce sont deux démarches distinctes, auxquelles peut s’ajouter une notification à la CNIL en cas de violation de données personnelles. Voir notre guide sur la fuite de données en entreprise.

Pour les autres protections de votre activité, consultez nos guides sur la responsabilité civile professionnelle, l’assurance décennale des artisans et la prévoyance des indépendants, ou l’ensemble de nos guides mutuelle, prévoyance et autres assurances.

Cette information générale ne remplace ni la lecture des conditions générales et particulières d’un contrat, ni un conseil juridique ou technique adapté à votre situation.