Une attaque peut paralyser une PME en quelques heures : chiffrement des serveurs, blocage de la facturation, interruption du service client, fuite de données, extorsion.
Une attaque peut paralyser une PME en quelques heures : chiffrement des serveurs, blocage de la facturation, interruption du service client, fuite de données, extorsion.
L’impact se mesure en pertes d’exploitation, en coûts de remise en état, en charge de direction et en risque de réputation.
En Suisse romande, les PME sont exposées parce qu’elles dépendent d’outils en nuage, de prestataires et de chaînes de sous-traitance. La réponse à incident exige des compétences et des décisions rapides : isoler, analyser, restaurer, notifier si le cadre l’impose, et communiquer.
L’assurance cyber finance et organise cette réponse. Elle ne remplace pas la prévention : les conditions d’indemnisation dépendent de mesures que l’assuré doit pouvoir prouver.
L’assurance cyber protège contre les conséquences financières et opérationnelles d’un incident : rançongiciel, intrusion, compromission de comptes, fuite de données, attaque sur un fournisseur, interruption de services numériques.
En Suisse, le cadre de protection des données impose des actions spécifiques en cas d’atteinte à la sécurité, selon la nature de l’incident et le risque pour les personnes concernées. L’assurance ne remplace pas ces obligations, elle aide à les financer et à les organiser.
Les garanties qui concernent la PME elle-même : frais de réponse à incident — analyse, confinement, restauration, reconstitution de données —, frais d’urgence, et souvent une couverture de perte d’exploitation liée à l’interruption des systèmes, avec ses conditions propres : délai d’attente, durée maximale, méthode de calcul, dépendance à des services en nuage.
Certaines polices incluent les frais liés à l’extorsion, mais cela dépend fortement du contrat, des exigences de déclaration et des limites. Tous les paiements ne sont ni couverts ni recommandables.
Les garanties qui concernent la responsabilité envers des tiers : réclamations, coûts de notification, défense, et certains frais liés à une atteinte à des données ou à un service fourni. Les amendes sont un point délicat : selon leur nature, elles peuvent être non assurables.
Les exclusions. Actes intentionnels, fraude interne, absence des mesures minimales de sécurité déclarées, vulnérabilités connues non corrigées, guerre ou actes assimilés, et l’amélioration : lorsque la remise en état revient à porter l’infrastructure au-delà de son état initial, l’écart reste à votre charge.
Les sous-limites. Pertes d’exploitation, frais d’experts, notification, extorsion, incident chez un prestataire : chacun peut être plafonné séparément, bien en deçà de la garantie principale.
Les obligations de l’assuré. Déclaration rapide, coopération, conservation des preuves, et respect des mesures déclarées à la souscription : double authentification, sauvegardes, mises à jour.
La définition des systèmes couverts. Nuage, prestataires, outils en ligne, téléphonie, sites web. Le contrat doit refléter votre architecture réelle, faute de quoi l’incident se situera hors périmètre.
La documentation. Sans inventaire des systèmes, plan de sauvegarde, procédures et journaux, la réponse est plus lente et les coûts s’envolent.
Une assurance cyber efficace est celle que vous pouvez activer rapidement, avec des conditions que votre entreprise peut réellement respecter.
Les coûts invisibles, ceux qui explosent quand l’incident arrive.
Analyse forensique, restauration, nettoyage, récupération, gestion de crise : l’assurance finance des spécialistes et des coûts techniques.
Le point clé est la rapidité d’activation et la liste des prestataires agréés.
Un arrêt informatique entraîne une perte de chiffre d’affaires et des coûts de contournement.
Certaines polices couvrent cette perte et les frais supplémentaires, avec des délais d’attente et des méthodes de calcul spécifiques.
Si des données de tiers sont compromises, la PME fait face à des réclamations, à des coûts de notification et à des frais de défense.
La couverture dépend du contrat et du type de données. Les amendes, elles, ne sont pas toujours assurables.
Une PME genevoise de services, environ quarante-cinq collaborateurs, découvre un lundi matin que plusieurs serveurs et postes sont chiffrés. La messagerie est partiellement inaccessible, la facturation est bloquée, et un message d’extorsion apparaît.
La direction active son plan de crise et déclare immédiatement l’incident. Un point devient déterminant : la rapidité. L’assureur met en relation avec une cellule de réponse à incident. Les premières étapes s’enchaînent sans précipitation : isolement des systèmes, analyse forensique, vérification des sauvegardes, décision sur la stratégie de restauration.
En parallèle, un conseil juridique évalue si des notifications sont nécessaires, et une communication interne est structurée pour éviter les rumeurs.
La remise en état se fait par étapes : restauration des systèmes prioritaires, réinitialisation des comptes, renforcement de l’authentification, contrôle de l’intégrité des données. Les pertes d’exploitation sont documentées selon la méthode prévue au contrat, avec les preuves de l’arrêt et des coûts supplémentaires.
La résolution est positive mais réaliste : plusieurs jours sont nécessaires, et certaines améliorations restent à la charge de la PME dès lors qu’elles dépassent la simple remise en état.
La leçon est opérationnelle : une assurance cyber est utile si elle s’inscrit dans un plan, avec des sauvegardes testées, une procédure de déclaration et des décisions documentées.
Une PME suisse a besoin d’une assurance cyber dès qu’elle dépend d’outils informatiques pour facturer, produire ou communiquer, car elle subit les mêmes attaques automatisées que les grands groupes sans disposer des mêmes moyens de réponse. L’enjeu n’est pas la probabilité mais la capacité d’absorption : la partie la plus utile du contrat est l’accès immédiat à des experts forensiques, à des juristes et à des négociateurs.
Pratique de marché
Non, l’assurance cyber ne couvre pas systématiquement un rançongiciel. La couverture dépend du contrat, et le paiement de la rançon est souvent traité séparément des frais de restauration, avec un sous-plafond spécifique, voire exclu. Les conditions préalables — double authentification, sauvegardes hors ligne testées, correctifs à jour — fonctionnent comme des exclusions : leur non-respect réduit la prestation.
art. 4 et 6 LCA
Non, les pertes d’exploitation cyber sont la garantie la plus discutée en pratique. Leur indemnisation suppose un délai de carence dépassé, souvent de 8 à 12 heures, et une comptabilité capable de démontrer la marge brute réellement perdue par rapport à l’activité normale. Trois obstacles reviennent : une interruption plus courte que le délai de carence, une cause non qualifiée d’atteinte à la sécurité, et l’absence de données chiffrées.
Conditions générales du contrat
Non, les amendes prononcées au titre de la loi fédérale sur la protection des données ne sont pas couvertes : elles sont de nature pénale et ne sont pas assurables en droit suisse. Elles frappent la personne physique responsable, jusqu’à CHF 250'000.-. Ce qui est couvert pèse souvent plus lourd que l’amende elle-même : frais de défense, frais d’annonce au préposé fédéral et aux personnes concernées, et gestion de crise.
art. 60 à 63 LPD
Pour choisir une assurance cyber adaptée à une PME genevoise, quatre critères comptent plus que le prix : une assistance joignable vingt-quatre heures sur vingt-quatre en français avec intervention en Suisse, des limites calibrées sur la marge brute quotidienne de l’entreprise, une extension de dépendance fournisseur, et une couverture explicite des données de tiers. Le tissu genevois est dominé par des services qui hébergent des données de clients : une fuite y engage la responsabilité envers des tiers, parfois sous secret professionnel.
Pratique de marché
Mis à jour par MAGE & Associés le 05.08.2026
Les exclusions comptent autant que les garanties. Nous vous disons ce qui est réellement couvert, et sous quelles conditions.
Évaluer mes assurances