Une police que peu de dirigeants ont vraiment lue
L'assurance cyber est devenue une quasi-obligation pour les PME, souvent exigée par un client ou un prêteur. Mais entre l'achat et la réclamation, beaucoup d'entreprises découvrent que leur couverture ne correspond pas à ce qu'elles imaginaient.
Voici comment lire une police cyber, ce qui compte vraiment, et ce qui peut faire refuser une réclamation.
Les deux grandes familles de couverture
La couverture de première partie : vos propres pertes
La couverture de tierce partie : les réclamations des autres
Pour une PME, l'interruption d'activité est souvent le poste le plus important, et celui dont les limites sont les plus vite atteintes.
Ce qu'il faut regarder avant le prix
Les limites, et surtout les sous-limites
Une police annoncée à un million peut comporter des sous-limites bien plus basses pour l'extorsion ou la gestion de crise. C'est le détail qui compte.
Le délai de carence en interruption d'activité
Plusieurs polices ne commencent à indemniser qu'après un certain nombre d'heures d'arrêt. Si votre couverture démarre après 12 heures et que votre incident dure 10 heures, vous n'êtes pas couvert.
Les exclusions
Les plus fréquentes, et les plus lourdes de conséquences :
Le soutien post-incident
Beaucoup d'assureurs imposent leurs propres intervenants. Vérifiez-le avant l'incident : engager votre propre expert sans autorisation peut rendre ces frais non remboursables.
Le questionnaire est devenu un audit
C'est le grand changement des dernières années. Les assureurs ne se contentent plus de questions générales : ils exigent des contrôles précis, et le MFA ainsi que la détection sur les postes (EDR) sont en tête de liste. Nous détaillons ces attentes dans notre article sur le renouvellement d'assurance cyber.
Le point le plus important de tout cet article : ce que vous déclarez doit être vrai. Cocher « MFA activé partout » alors que trois comptes administrateurs en sont dépourvus est une fausse déclaration, et c'est le motif le plus courant de refus d'une réclamation. Vérifiez avant de signer, pas après le sinistre.
Le lien avec la Loi 25
Un incident touchant des renseignements personnels déclenche des obligations québécoises : évaluation du risque, avis à la Commission d'accès à l'information, avis aux personnes concernées, registre des incidents. Ces démarches ont un coût, et votre police devrait le couvrir explicitement.
Notez aussi que les sanctions administratives ne sont pas toujours assurables. La procédure complète est décrite dans notre article sur la déclaration d'un incident de confidentialité.
Comment se préparer, concrètement
1. Documentez vos mesures de sécurité avant de remplir le questionnaire. C'est exactement l'objet de notre checklist gratuite d'admissibilité à l'assurance cyber.
2. Corrigez les écarts évidents, en commençant par le MFA et l'EDR, qui influencent à la fois votre prime et votre assurabilité.
3. Préparez un plan de réponse aux incidents, souvent demandé et de toute façon indispensable. Notre modèle gratuit sert de point de départ.
4. Faites relire les exclusions par quelqu'un qui les comprend, pas seulement le prix par votre courtier.
Et si un incident survient : réussir sa réclamation
La rapidité compte : la plupart des polices imposent un délai de notification court, souvent de 24 à 72 heures. La marche à suivre technique est détaillée dans les 24 premières heures après une cyberattaque. Du côté de l'assurance, voici ce qui fait la différence entre une réclamation payée et une réclamation contestée.
Avant l'incident
Pendant l'incident
Après l'incident
En résumé
L'assurance cyber n'est pas un substitut à la sécurité, c'est un filet pour ce que la sécurité n'a pas pu empêcher. Regardez les sous-limites, le délai de carence et les exclusions avant le prix, et surtout, assurez-vous que ce que vous déclarez est exact.
AIKI Secure aide les PME québécoises à documenter et mettre en place les contrôles que les assureurs exigent. Pour une évaluation, communiquez avec nous ou appelez le 514-939-3222.
