Réponse rapide

Une cyber-assurance PME prend en charge, après un incident (rançongiciel, fuite de données, fraude), les frais de réponse (experts, restauration, notification), les pertes d'exploitation et certaines responsabilités envers des tiers. En Belgique, la couverture reste conditionnée à des mesures de sécurité de base : sans MFA, sauvegardes testées et détection à jour, l'assureur peut réduire ou refuser l'indemnisation.

Que couvre une cyber-assurance pour une PME ?

La plupart des contrats distinguent deux grandes familles de garanties. Les garanties dites de « premier volet » couvrent vos propres pertes : intervention d'experts en réponse à incident, restauration des systèmes et des données, pertes d'exploitation pendant l'arrêt, frais de communication de crise et, souvent, la gestion d'une demande de rançon. Les garanties de « second volet » couvrent votre responsabilité envers des tiers dont les données ont fuité, y compris les frais de défense juridique.

Concrètement, une bonne police pour une PME belge inclut généralement l'assistance à la notification d'une violation de données. Le RGPD impose en effet d'avertir l'Autorité de protection des données dans les 72 heures dans de nombreux cas, une obligation détaillée par l'Autorité de protection des données belge. L'assurance finance alors l'accompagnement juridique et technique de cette démarche, souvent lourde pour une petite structure.

Attention toutefois : le périmètre varie fortement d'un assureur à l'autre. Deux polices affichées au même tarif peuvent couvrir des choses très différentes. La fraude au président (transfert bancaire frauduleux), par exemple, n'est pas toujours incluse dans le volet cyber et relève parfois d'une garantie « fraude » distincte.

Conditions, exclusions et prérequis techniques

C'est le point le plus mal compris. Souscrire une couverture cyber n'est pas une alternative à la sécurité : c'est un filet en complément de mesures que l'assureur exige au préalable. Depuis la vague de rançongiciels de ces dernières années, les questionnaires de souscription sont devenus stricts.

Les prérequis techniques les plus fréquemment demandés à une PME sont :

Authentification multifacteur (MFA) sur les accès distants, la messagerie et les comptes à privilèges. C'est souvent une condition non négociable, comme le rappelle notre audit cybersécurité et RGPD pour PME.
Sauvegardes régulières, isolées et testées, idéalement immuables ou hors ligne, avec une restauration vérifiée. Une sauvegarde jamais testée est un risque, pas une garantie.
Détection et réponse sur les postes (EDR) ou une solution de supervision équivalente, tenue à jour.
Correctifs appliqués dans des délais raisonnables et fin de vie des systèmes non supportés.
Sensibilisation du personnel au hameçonnage.

Les exclusions courantes méritent une lecture attentive du contrat. Reviennent souvent : les incidents liés à une vulnérabilité connue et non corrigée depuis trop longtemps, les fausses déclarations dans le questionnaire, les actes d'un dirigeant, les sanctions réglementaires (une amende RGPD n'est en principe pas assurable) et parfois les événements dits « systémiques » ou attribués à un État. Selon le panorama des menaces publié par l'agence européenne de cybersécurité ENISA, le rançongiciel et les fuites de données restent en tête des sinistres, ce qui explique la sévérité de ces clauses.

Ces conditions rejoignent les bonnes pratiques que le Centre pour la Cybersécurité Belgique (CCB) et son portail Safeonweb diffusent auprès des entreprises. Elles recoupent aussi largement les exigences de la directive NIS2, dont le champ d'application est expliqué par le Parlement européen et détaillé dans notre guide sur la conformité NIS2 des PME belges.

Comment le montant de la prime est-il fixé ?

La prime n'a pas de barème public : elle est calculée au cas par cas. Les assureurs pondèrent principalement quelques facteurs. Le chiffre d'affaires et le secteur d'activité comptent beaucoup, car une entreprise qui traite des données de santé ou des paiements présente un profil de risque plus élevé. La maturité de sécurité pèse ensuite lourd : une PME disposant de MFA, d'un EDR et de sauvegardes testées obtient de meilleures conditions qu'une structure sans ces contrôles, quand cette dernière parvient à se faire assurer.

Le montant des garanties souhaitées (le plafond d'indemnisation), le niveau de franchise et l'historique de sinistres complètent l'équation. Les tarifs évoluent régulièrement selon le marché du risque cyber, il serait donc trompeur d'annoncer un montant fixe : demandez plusieurs devis comparés à garanties équivalentes. Une prime basse cache parfois des exclusions larges ou un plafond insuffisant.

Faut-il assurer sa PME et quand souscrire ?

Pour une PME belge, la question n'est plus vraiment « faut-il » mais « à quelles conditions ». Le bon moment pour souscrire est après avoir mis à niveau vos fondamentaux, pas avant : vous obtiendrez une meilleure couverture, une prime plus juste, et surtout vous éviterez un refus d'indemnisation le jour d'un sinistre. Souscrire sans MFA ni sauvegardes fiables revient souvent à payer pour une protection qui pourrait ne jamais jouer.

En pratique, l'ordre logique est : évaluer votre exposition réelle, corriger les manques prioritaires, documenter vos mesures, puis mettre en concurrence deux ou trois assureurs. Ce travail de mise à niveau est précisément ce que nous structurons chez ITOPS.be selon une logique Blueprint puis Build : d'abord cartographier le risque et les prérequis assurables, ensuite déployer les contrôles attendus. L'assurance devient alors le dernier maillon d'une posture cohérente, et non un pansement acheté dans l'urgence.

Un dernier repère : les garanties, franchises et exclusions varient d'un assureur à l'autre et évoluent dans le temps. Faites relire le contrat par un conseiller et vérifiez que le périmètre correspond bien à vos scénarios de risque avant de signer.

Sources

ENISA : ENISA Threat Landscape 2024
Autorité de protection des données (Belgique) : Obligations des responsables de traitement
Parlement européen : La directive NIS2 sur la cybersécurité dans l'UE
Commission européenne : Directive NIS2