Cyberassurance suisse : couverture et exclusions

Une PME suisse paie entre 3 000 et 15 000 CHF par an pour une cyberassurance, puis découvre au moment du sinistre que le ransomware n'est couvert qu'à 60 % parce que le MFA n'était pas activé sur tous les comptes. Décryptage des clauses qui font la différence.

Une fausse sécurité à cinq chiffres

Le marché suisse de la cyberassurance a doublé de volume entre 2020 et 2024 : primes totales estimées à plus de 200 millions CHF en 2023. Pourtant, les taux de refus ou de réduction d'indemnisation restent élevés — entre 20 % et 35 % des sinistres déclarés font l'objet d'une contestation partielle ou totale de la part de l'assureur, selon les données de marché publiées par plusieurs courtiers spécialisés suisses. La principale raison : un écart entre ce que la direction pense être couvert et ce que le contrat prévoit effectivement.

Ce que couvre généralement une cyberassurance suisse

Les polices commercialisées en Suisse s'alignent sur les standards européens tout en intégrant des spécificités locales. Voici les postes de couverture usuels — avec les nuances contractuelles qui conditionnent le versement effectif.

Frais de réponse à incident

C'est le bloc le plus universellement couvert : forensic numérique, notification aux parties prenantes, gestion de crise (cellule de communication, hotline juridique). Les montants varient de 50 000 à 500 000 CHF selon la prime annuelle et la taille du parc assuré. Attention : la plupart des polices imposent un prestataire de réponse à incident référencé par l'assureur. Faire appel à votre propre équipe ou à un tiers non validé avant d'avoir obtenu l'accord de l'assureur peut annuler le remboursement de ces frais.

Pertes d'exploitation (Business Interruption)

La couverture BI est souvent le poste le plus conflictuel. Elle s'enclenche généralement après une période de franchise temporelle — 8 à 72 heures selon les polices — et ne couvre que la perte de marge brute prouvée, pas le chiffre d'affaires brut. Pour une PME de 50 employés avec un CA de 8 millions CHF, la perte journalière de marge peut atteindre 15 000 à 20 000 CHF. Si la franchise est de 48 heures et que l'incident dure 5 jours, seuls 3 jours sont indemnisables — et encore, sous réserve que les conditions de sécurité contractuelles soient satisfaites.

Rançon (ransomware)

Les polices suisses couvrent généralement le paiement de rançon en crypto-actifs, mais avec trois conditions cumulatives fréquentes : (1) l'assureur doit donner son accord préalable au paiement, (2) un prestataire de négociation mandaté doit intervenir, (3) le paiement ne doit pas violer les sanctions internationales en vigueur (OFAC, UE). Cette dernière condition est critique : si le groupe d'attaquants figure sur une liste de sanctions, l'assureur refusera le remboursement et la PME s'expose elle-même à des poursuites. En pratique, environ 30 % des groupes de ransomware actifs en 2024 ont des connexions avec des entités sanctionnées.

Responsabilité civile cyber

Couvre les dommages causés à des tiers à la suite d'une violation de données hébergées par l'assuré. Pertinent pour les fiduciaires, les cabinets médicaux, les MSP qui gèrent les systèmes de leurs clients. La couverture inclut généralement les frais de défense et les dommages et intérêts, mais exclut les amendes administratives prononcées par une autorité de surveillance. Ce point devient central avec l'entrée en vigueur de la nLPD (nouvelle Loi fédérale sur la protection des données), qui prévoit des amendes pénales jusqu'à 250 000 CHF à l'encontre des personnes physiques responsables.

Notification aux personnes concernées et au PFPDT

Depuis le 01.09.2023, la nLPD impose une notification au Préposé fédéral à la protection des données et à la transparence (PFPDT) en cas de violation de données présentant un risque élevé. Les polices couvrent généralement les frais de rédaction et d'envoi des notifications, mais pas les amendes encourues en cas de notification tardive ou insuffisante. Certains assureurs proposent une hotline juridique 24/7 dédiée à ce flux de notification — à vérifier impérativement dans les annexes du contrat.

Les exclusions qui surprennent au moment du sinistre

La clause de guerre et cyberguerre

La Lloyd's of London a modifié ses clauses en 2023 pour exclure explicitement les cyberattaques attribuables à des États-nations. Plusieurs assureurs suisses ont suivi. La difficulté : l'attribution est rarement certaine et souvent contestée. La clause est formulée de manière à placer la charge de la preuve côté assuré — il faut démontrer que l'attaque n'est pas d'origine étatique. En pratique, un ransomware exploitant une vulnérabilité CVE connue utilisée par des groupes APT peut déclencher cette exclusion.

Négligence grave et non-conformité aux pré-requis

C'est la clause la plus fréquemment invoquée pour réduire ou refuser une indemnisation. Les polices listent des mesures de sécurité minimales que l'assuré garantit maintenir : MFA sur les accès distants et les comptes administrateurs, correctifs de sécurité appliqués dans un délai maximal (souvent 30 jours pour les CVE critiques, CVSS ≥ 9.0), segmentation réseau, sauvegardes testées. Si l'enquête post-incident révèle qu'un accès VPN sans MFA était ouvert sur TCP/443 et que c'est le vecteur d'entrée, l'assureur peut invoquer la non-conformité et réduire l'indemnisation de 40 à 100 %.

Systèmes hors périmètre déclaré

La police est souscrite sur la base d'un inventaire déclaré à la date de souscription : nombre d'endpoints, systèmes exposés sur Internet, prestataires cloud. Si un incident implique un système non déclaré — une instance cloud non répertoriée, un NAS en DMZ oublié, un switch IoT connecté directement à Internet — le sinistre peut être exclu. Les polices avec audit annuel de périmètre sont plus protectrices mais aussi plus onéreuses (+15 à 25 % de prime).

Amendes réglementaires et sanctions administratives

Les amendes prononcées par le PFPDT, la FINMA ou le Centre national pour la cybersécurité (NCSC) ne sont pas indemnisables par une cyberassurance — c'est une règle générale du droit des assurances suisse : on n'assure pas une sanction punitive. Même logique pour les pénalités contractuelles imposées par un client dans un contrat de service. Ces postes doivent être provisionnés en interne, pas externalisés vers l'assureur.

Attaques internes et fraude de l'assuré

Les actes malveillants d'employés sont couverts dans certaines polices via un avenant spécifique (souvent libellé « actes malveillants d'initiés »), mais rarement dans les contrats de base pour PME. La fraude du preneur d'assurance lui-même est universellement exclue. La nuance importante : une erreur de configuration par un administrateur interne (mauvaise règle firewall ouvrant une plage IP) n'est pas une fraude, mais selon la rédaction de la clause de négligence, elle peut être assimilée à une faute grave.

Cadre légal suisse applicable aux sinistres cyber

Les cyberassurances suisses sont régies par la Loi sur le contrat d'assurance (LCA, RS 221.229.1) et les conditions générales de chaque assureur. Il n'existe pas encore de standard sectoriel imposé par la FINMA pour les cyberassurances destinées aux PME non régulées — contrairement aux établissements financiers qui doivent satisfaire à la circulaire FINMA 2023/1 sur les risques opérationnels. Pour les PME, la négociation des clauses reste libre, ce qui amplifie les écarts de couverture entre contrats.

Du côté de la protection des données, la nLPD impose depuis le 01.09.2023 une obligation de notifier le PFPDT « dans les meilleurs délais » en cas de violation de données susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées. La doctrine actuelle interprète « meilleurs délais » comme 72 heures, par alignement avec le RGPD européen — même si la loi suisse ne fixe pas de délai chiffré. Les coûts de gestion de cette notification (juridique, technique, communication) sont en principe couverts par la police cyber, mais la procédure doit être engagée immédiatement, sans attendre la confirmation de l'assureur.

Cas pratique : fiduciaire vaudoise, 35 employés, sinistre ransomware

Contexte : Cabinet fiduciaire à Lausanne, 35 employés, 280 endpoints (postes Windows 11 23H2 + MacBook), serveur de fichiers on-premise sous Windows Server 2022, accès distant via VPN SSL sur TCP/443. Prime cyberassurance annuelle : 8 400 CHF, franchise : 10 000 CHF, plafond : 500 000 CHF.

Incident (vendredi 14h00) : Un compte administrateur VPN sans MFA est compromis via credential stuffing. Le groupe déploie LockBit 3.0 sur 60 % des endpoints et chiffre le serveur de fichiers. La détection intervient à 17h30 (3h30 après l'intrusion initiale). Le système de sauvegarde Veeam sur NAS est partiellement chiffré car il était accessible depuis le même segment réseau.

Procédure étape par étape :

Vendredi 17h45 — Isolation : DSI coupe les accès VPN, isole le segment réseau du serveur de fichiers. Les 35 postes clients encore sains sont déconnectés du réseau interne.
Vendredi 18h00 — Déclaration à l'assureur : Appel à la hotline 24/7. L'assureur mandate un prestataire forensic référencé (délai d'intervention contractuel : 4 heures). Ne pas payer de rançon ni contacter les attaquants sans accord préalable.
Samedi matin — Forensic : Le prestataire identifie le vecteur (VPN sans MFA, compte compromis). Rapport préliminaire en 24h. L'assureur est informé du vecteur : la clause MFA est potentiellement déclenchée.
Lundi matin — Notification PFPDT : Le juriste mandaté par l'assureur rédige la notification au PFPDT. Les données fiduciaires (bilans, données salariales de clients) constituent des données sensibles au sens de la nLPD. Notification envoyée à J+3 de la découverte.
J+4 — Évaluation de l'indemnisation : L'assureur ouvre une procédure de vérification de conformité. Le MFA n'était pas activé sur le compte VPN compromis, mais il l'était sur 32 des 35 comptes. L'assureur applique une réduction de 30 % de l'indemnisation pour « non-conformité partielle ».
J+7 — Restauration : Depuis les sauvegardes off-site (bande hebdomadaire externalisée), perte de données de 5 jours. Reprise partielle à J+5, complète à J+7.

Décompte financier :

Forensic + réponse à incident : 42 000 CHF (couvert à 70 % après réduction, soit 29 400 CHF remboursés)
Perte d'exploitation 5 jours (marge estimée 2 200 CHF/jour) : 11 000 CHF, franchise temporelle 48h déduite → 6 600 CHF indemnisables, réduction 30 % → 4 620 CHF remboursés
Frais juridiques notification PFPDT : 3 500 CHF (couvert à 70 % → 2 450 CHF remboursés)
Franchise contractuelle : 10 000 CHF à charge du cabinet
Total remboursé par l'assureur : ~36 470 CHF sur ~56 500 CHF de frais réels
Reste à charge : ~20 030 CHF, dont 10 000 CHF de franchise et ~10 000 CHF de décote pour non-conformité MFA

La leçon chiffrée : l'activation du MFA sur 3 comptes supplémentaires (coût technique nul avec Azure AD/Entra ID ou Duo) aurait économisé ~10 000 CHF de découvert et potentiellement évité l'incident.

Récapitulatif opérationnel

Lire les annexes techniques du contrat avant la souscription : lister chaque pré-requis de sécurité (MFA, patching, backup) et vérifier que votre configuration actuelle y est conforme. Documenter cette conformité.
Maintenir un inventaire d'endpoints à jour (périmètre déclaré) : tout système non déclaré peut invalider la couverture sur le sinistre impliquant ce système. Réviser l'inventaire à chaque renouvellement annuel et à chaque changement majeur d'infrastructure.
Ne jamais contacter les attaquants ni payer sans accord écrit de l'assureur : ce point est non négociable dans la quasi-totalité des polices suisses. Conserver le numéro de hotline sinistre accessible hors du système d'information (imprimé, sur téléphone personnel).
Activer le MFA sur tous les accès distants et comptes à privilèges : c'est le pré-requis le plus fréquemment invoqué pour réduire l'indemnisation. TCP/443 VPN, RDP, interfaces d'administration cloud — aucune exception.
Tester les sauvegardes trimestriellement et stocker une copie off-segment : une sauvegarde sur le même réseau que le système de production sera chiffrée par le ransomware. La règle 3-2-1 (3 copies, 2 supports, 1 hors-site) est souvent une condition contractuelle explicite.
Préparer le flux de notification nLPD en amont : identifier le juriste ou le DPO qui rédigera la notification au PFPDT, disposer d'un modèle de notification pré-rempli, connaître le délai de 72h comme seuil opérationnel même s'il n'est pas légalement fixé en Suisse.
Négocier la clause d'attribution étatique : demander une définition contractuelle précise de « cyberguerre » et exiger que la charge de la preuve repose sur l'assureur en cas d'ambiguïté d'attribution.
Provisionner séparément les risques non assurables : amendes PFPDT jusqu'à 250 000 CHF, pénalités contractuelles clients, pertes de contrats liées à la réputation — ces postes ne seront jamais remboursés par une police cyber.
Simuler un sinistre une fois par an (tabletop exercise) en incluant le contact avec l'assureur dans le scénario : identifier les lacunes de procédure avant qu'elles coûtent des dizaines de milliers de francs.

Pour les PME qui souhaitent évaluer leur posture de sécurité avant de souscrire ou renouveler une police, un audit de conformité des endpoints (selon les CIS Benchmarks niveau 1 pour Windows 11 et macOS 14) fournit une base documentaire solide à présenter à l'assureur et peut réduire la prime de 10 à 20 %. SynGuard accompagne ce type de démarche pour des parcs de 20 à 150 endpoints.

Sources

Fedlex — Loi fédérale sur la protection des données (nLPD, RS 235.1) — Texte consolidé de la nouvelle LPD en vigueur depuis le 01.09.2023, incluant les obligations de notification et les sanctions pénales.
Préposé fédéral à la protection des données et à la transparence (PFPDT) — Autorité de surveillance suisse compétente pour les violations de données et les notifications nLPD.
Centre national pour la cybersécurité (NCSC) — Ressources officielles suisses sur la gestion des incidents cyber, recommandations PME et formulaire de signalement.
Autorité fédérale de surveillance des marchés financiers (FINMA) — Circulaire 2023/1 sur les risques opérationnels et de cybersécurité pour les établissements financiers régulés.
CIS Benchmarks — Center for Internet Security — Référentiels de configuration sécurisée pour Windows, macOS et systèmes serveurs, utilisés comme base de pré-requis contractuels par plusieurs assureurs.

Cyberassurance suisse : couverture réelle, exclusions et pièges contractuels