Une fausse sécurité à cinq chiffres
Un ransomware paralyse votre infrastructure un vendredi à 17h30. Le DSI contacte l'assureur. Réponse lundi matin : le sinistre est exclu car les sauvegardes n'étaient pas isolées du réseau principal — clause 8.3.2 du contrat. Trois semaines d'arrêt, 120 000 CHF de pertes directes, et une prime annuelle de 6 400 CHF qui n'a rien remboursé. Ce scénario se reproduit régulièrement dans les PME romandes, non par malchance, mais par lecture insuffisante des conditions générales.
Anatomie d'une police cyber suisse
Ce que les assureurs incluent par défaut
Les produits commercialisés en Suisse par les grands assureurs (AXA, Helvetia, Zurich, Allianz) et les courtiers spécialisés convergent vers un socle commun :
- Frais de réponse à incident : investigation forensique, hotline 24/7, communication de crise. Plafonds typiques : 50 000 à 250 000 CHF selon la taille de l'entreprise.
- Perte d'exploitation : indemnisation du chiffre d'affaires non réalisé pendant l'interruption, avec un délai de carence de 8 à 24 heures selon les polices.
- Responsabilité civile cyber : dommages causés à des tiers (clients, partenaires) suite à une violation de données hébergées chez vous.
- Frais de notification : envoi de courriers aux personnes concernées, mise en place d'une hotline, monitoring de crédit pour les victimes.
- Rançon : prise en charge partielle ou totale du paiement d'une rançon, sous conditions strictes de négociation via un prestataire agréé.
Les garanties optionnelles à activer
Plusieurs couvertures critiques restent en option payante et sont souvent absentes des contrats souscrits à la va-vite :
- Amendes et pénalités réglementaires (FINMA, autorités cantonales) — souvent exclues par défaut.
- Cyber-extorsion sans chiffrement (vol de données avec menace de publication, dit double extorsion).
- Frais de remplacement matériel si le firmware des équipements est compromis.
- Attaques sur systèmes industriels ou OT (Operational Technology).
Ce que la nLPD change pour votre assurance
Entrée en vigueur le 01.09.2023, la nouvelle loi fédérale sur la protection des données (nLPD) impose aux entreprises suisses des obligations de notification et de documentation renforcées. Cette évolution a trois effets directs sur la cyberassurance.
Obligation de notification au PFPDT
Toute violation de données susceptible d'engendrer un risque élevé pour les personnes concernées doit être annoncée dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT). Certaines polices couvrent les frais juridiques liés à cette notification ; d'autres les excluent explicitement si le responsable du traitement a manqué à ses obligations préalables (registre des traitements absent, PIA non réalisé pour les traitements à risque élevé).
La faute préalable comme motif d'exclusion
La nLPD crée un standard de diligence : si votre PME n'a pas mis en œuvre de mesures techniques et organisationnelles proportionnées (chiffrement, gestion des accès, journalisation), l'assureur peut invoquer la négligence grave pour réduire ou refuser l'indemnisation. Ce n'est pas théorique : les questionnaires de souscription incluent désormais des points de contrôle nLPD explicites (registre des traitements, DPO désigné ou non, politique de mots de passe).
Sanctions pénales non assurables
Les amendes pénales prononcées à titre personnel contre le dirigeant (art. 60 nLPD, jusqu'à 250 000 CHF) ne sont pas assurables en droit suisse — une société ne peut pas prendre en charge la sanction personnelle d'un tiers. Seules les amendes administratives infligées à la personne morale peuvent théoriquement être couvertes, et encore, sous réserve de l'ordre public.
Exclusions critiques à auditer avant signature
La guerre et le terrorisme parrainé par un État
Depuis les attaques NotPetya (2017) et les procédures judiciaires qui ont suivi, la plupart des assureurs ont durci la clause d'exclusion guerre. Certains contrats excluent tout incident attribuable à un acteur étatique — ce qui, en pratique, couvre une large fraction des attaques sophistiquées. En 2022, Lloyd's of London a imposé à ses syndicats une exclusion explicite pour les cyberattaques attribuées à des États. Vérifiez si votre police suisse applique une formulation similaire ou si elle adopte une approche d'attribution plus restrictive.
Infrastructure cloud et SaaS tiers
Si votre sinistre découle d'une indisponibilité d'un fournisseur cloud (AWS, Microsoft 365, un hébergeur suisse) et non d'une intrusion directe dans votre SI, la perte d'exploitation est souvent exclue. La distinction entre cyber incident et défaillance de service tiers est contractuellement structurante. Certaines polices proposent une extension «dépendance cloud» — rarement souscrite spontanément.
Erreur humaine interne et fraude employé
Un collaborateur envoie une base de données clients à une mauvaise adresse e-mail : cela déclenche une obligation nLPD mais n'est pas couvert par toutes les polices cyber (certaines l'attribuent à l'assurance RC générale). La fraude interne (employé vendant des données) est quasi-universellement exclue ou renvoyée à une garantie séparée.
Systèmes non patchés et obsolètes
La clause la plus redoutable : si l'attaque exploite une vulnérabilité pour laquelle un patch était disponible depuis plus de 30 à 90 jours (selon les contrats), l'assureur peut refuser tout ou partie de l'indemnisation. Windows 7, Server 2008 R2, ou tout système en fin de vie étendue (EOL) sans dérogation documentée sont des marqueurs quasi-rédhibitoires lors de l'expertise post-sinistre.
Le questionnaire de souscription : un engagement juridique
Le questionnaire rempli à la souscription constitue une déclaration de risque au sens du Code des obligations (CO art. 28). Déclarer disposer d'une authentification multifacteur (MFA) sur tous les accès distants alors que deux VPN legacy en sont exemptés expose au risque de nullité du contrat pour réticence dolosive. Lors de l'expertise post-incident, le mandataire forensique de l'assureur vérifiera précisément ce que vous avez déclaré.
Les points de contrôle systématiquement vérifiés en 2024-2025 incluent : MFA sur messagerie et VPN, segmentation réseau documentée, politique de sauvegarde avec tests de restauration datés, EDR actif sur 100 % des endpoints, et existence d'un plan de réponse à incident écrit. Le NCSC publie des recommandations spécifiques aux entreprises qui constituent un référentiel utile pour aligner vos déclarations sur vos pratiques réelles.
Cas pratique : fiduciaire vaudoise, 38 endpoints
Contexte : Fiduciaire de 22 collaborateurs à Lausanne, 38 endpoints (28 Windows 11 22H2, 8 MacBook Pro sous macOS 14, 2 serveurs Windows Server 2022). Clients : PME locales, mandats de révision. Police cyber souscrite en mars 2023, prime annuelle 4 200 CHF, plafond 500 000 CHF.
Incident (15.11.2023) : Phishing ciblé visant un associé. L'attaquant exfiltre 4,2 Go de données clients via un compte Microsoft 365 compromis pendant 11 jours avant détection. Pas de chiffrement, pas de demande de rançon — double extorsion avec menace de publication sur un forum darkweb.
Déroulement de la déclaration de sinistre :
- J+0 (15.11) — DSI : isolation du compte compromis, révocation des tokens OAuth, signalement interne. Activation du plan de réponse à incident.
- J+1 — RSSI + juriste : évaluation du risque nLPD : données personnelles de clients (personnes physiques) concernées → obligation de notification au PFPDT probable. Déclaration au courtier d'assurance dans les 24h (délai contractuel).
- J+2 — Assureur : mission d'un cabinet forensique mandaté par l'assureur. Accès aux logs M365 (audit log activé — point positif).
- J+5 — Juriste + direction : notification au PFPDT via le formulaire en ligne. Rédaction des courriers aux 340 personnes concernées (frais de notification : 8 400 CHF).
- J+12 — Forensique : rapport remis. Vecteur : absence de MFA sur le compte administrateur M365 de l'associé senior. L'assureur identifie une déclaration inexacte : le questionnaire indiquait «MFA activé sur tous les comptes administrateurs».
- J+21 — Assureur : application d'une franchise majorée de 25 % pour déclaration inexacte (clause 14.1). Indemnisation réduite à 75 % des frais couverts.
Bilan financier :
- Frais forensiques : 18 000 CHF → couverts à 75 % = 13 500 CHF
- Frais de notification : 8 400 CHF → couverts à 75 % = 6 300 CHF
- Frais juridiques (PFPDT, conseils) : 9 600 CHF → couverts à 75 % = 7 200 CHF
- Perte d'exploitation : non applicable (pas d'interruption de service)
- Double extorsion (menace de publication) : exclue — non souscrite en option
- Reste à charge : environ 9 000 CHF + option non souscrite
Leçon opérationnelle : 4 200 CHF de prime n'ont pas évité 9 000 CHF de reste à charge et une réduction d'indemnisation due à une déclaration mal alignée sur la réalité technique. Activer le MFA sur tous les comptes M365 (y compris les comptes délégués) et souscrire l'extension double extorsion (~600 CHF/an supplémentaires) aurait changé substantiellement l'équation.
Récapitulatif opérationnel
- Auditez votre questionnaire de souscription contre votre configuration réelle : MFA, EDR, sauvegardes isolées, inventaire des systèmes EOL — avant chaque renouvellement.
- Vérifiez la clause «guerre et acteur étatique» : demandez une formulation restrictive de l'attribution ou une garantie «cyberterrorisme» explicite.
- Souscrivez l'extension double extorsion si vous traitez des données personnelles sensibles ou des données métier à forte valeur (mandats, plans, IP).
- Documentez vos mesures nLPD (registre des traitements, PIA si applicable, politique de sécurité) : elles constituent votre preuve de diligence en cas de litige avec l'assureur.
- Testez vos sauvegardes et conservez les rapports de restauration datés — un assureur demandera la date du dernier test réussi lors de l'expertise.
- Clarifiez le régime «cloud tiers» : si Microsoft 365, Google Workspace ou votre hébergeur tombe, êtes-vous couvert pour la perte d'exploitation ? Exigez une réponse écrite.
- Intégrez l'assureur dans votre plan de réponse à incident : délais de déclaration (souvent 24-72h), contacts d'urgence, prestataires forensiques agréés — tout doit être dans le runbook.
- Consultez les recommandations du NCSC pour les entreprises comme référentiel de contrôle avant souscription.
- Revoyez la police annuellement : votre périmètre change (nouveaux SaaS, télétravail, croissance), les clauses d'exclusion évoluent, et les assureurs durcissent les conditions à chaque renouvellement.
- Séparez la cyberassurance de la RC générale : les deux peuvent se chevaucher sur la fraude interne et la responsabilité tiers — clarifiez par écrit quelle police prime en cas de cumul.
SynGuard accompagne les PME romandes dans la préparation technique des questionnaires de souscription cyber et l'alignement de leur posture endpoint avec les exigences contractuelles des assureurs.
Sources
- Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — Texte consolidé de la LPD révisée, en vigueur depuis le 01.09.2023.
- Préposé fédéral à la protection des données et à la transparence (PFPDT) — Autorité de surveillance nLPD, procédures de notification et lignes directrices.
- NCSC — Informations pour les entreprises — Recommandations du Centre national pour la cybersécurité à destination des PME suisses.
- CIS Benchmarks — Center for Internet Security — Référentiels de configuration sécurisée des endpoints, utilisés comme standard de diligence technique.