Sommaire
- Assurance cyberrisque ou responsabilité professionnelle numérique
- Ce que couvre une assurance cyberrisque
- Les obligations légales qui changent le calcul
- Les exclusions et conditions qui font échouer une réclamation
- Les facteurs qui déterminent le prix de votre couverture
- Bâtir votre assurance cyberrisque étape par étape
- FAQ
Une assurance cyberrisque paraît superflue quand on se croit trop petit pour intéresser qui que ce soit. « On est trop petits, personne ne s’intéresse à nous » reste pourtant la phrase la plus coûteuse qu’un dirigeant de PME puisse prononcer.
Les attaques les plus fréquentes ne visent personne en particulier. Elles balaient le réseau à la recherche d’une porte ouverte, et une PME de douze employés en offre autant qu’une multinationale, souvent avec moins de surveillance.
L’assurance cyberrisque existe justement pour ce scénario. Encore faut-il savoir ce qu’elle couvre, ce qu’elle exclut, et à quelles conditions un assureur accepte de l’offrir. Voici le portrait.
Assurance cyberrisque ou responsabilité professionnelle numérique
Une distinction s’impose d’entrée de jeu, parce qu’elle cause beaucoup de confusion.
L’assurance cyberrisque est transversale. Elle concerne toute entreprise qui détient des données ou qui dépend de systèmes informatiques, peu importe son secteur. Un garage, une clinique dentaire et un grossiste alimentaire y sont exposés de la même façon.
La responsabilité professionnelle numérique, elle, s’adresse aux entreprises dont le produit est technologique. Un éditeur de logiciels dont le code cause une perte à son client engage sa responsabilité professionnelle, pas son cyberrisque.
Une PME peut avoir besoin des deux, mais pour des raisons différentes. Si votre activité relève du second cas, la page sur les entreprises technologiques traite de cet angle précis.
Ce que couvre une assurance cyberrisque
Une police de cyberrisque se divise habituellement en deux blocs.
Le premier concerne vos propres pertes. Il comprend généralement les frais d’enquête informatique, la restauration des données et des systèmes, la perte de revenus pendant l’interruption des activités, les frais de notification aux personnes touchées et l’accompagnement en gestion de crise. Selon les contrats, il peut aussi inclure la fraude par virement et le paiement d’une rançon.
Le second concerne votre responsabilité envers les tiers. Il répond des réclamations de clients, de partenaires ou d’employés dont les renseignements personnels ont fuité, ainsi que des frais de défense et des sanctions réglementaires assurables.
Ce deuxième bloc prend une importance particulière au Québec depuis l’entrée en vigueur des nouvelles règles sur la protection des renseignements personnels. Le Bureau d’assurance du Canada propose d’ailleurs une présentation des protections offertes en cyberassurance et des réflexes de base attendus d’une entreprise.
Les obligations légales qui changent le calcul
La Loi 25 impose des responsabilités à toutes les entreprises privées québécoises, quelle que soit leur taille. Trois éléments touchent directement la gestion d’un incident.
Vous devez désigner un responsable de la protection des renseignements personnels, dont le titre et les coordonnées sont publiés sur votre site web. Vous devez tenir un registre des incidents de confidentialité. Et lorsqu’un incident présente un risque de préjudice sérieux, vous devez en aviser par écrit la Commission d’accès à l’information ainsi que les personnes concernées.
Ces obligations transforment un incident technique en processus administratif et juridique. Notifier des centaines de clients, produire les avis conformes, gérer les questions et documenter le tout représente un coût réel, même sans poursuite. C’est précisément ce que la portion frais de notification d’une police vise à absorber.
Un détail administratif a des conséquences concrètes. Le registre des incidents doit pouvoir être transmis à la Commission sur demande. Une PME qui gère un incident sans le documenter se retrouve donc en défaut, même si l’incident lui-même a été bien contenu sur le plan technique.
À noter aussi, confier vos données à un fournisseur externe ne vous décharge pas de vos obligations. La Commission précise que l’entreprise demeure responsable des mesures à prendre, du registre à tenir et des avis à émettre.
Pour faire le point sur votre exposition et vos obligations, vous pouvez demander une soumission ou en discuter avec un courtier en assurance de dommages.
Les exclusions et conditions qui font échouer une réclamation
C’est ici que les mauvaises surprises se concentrent. Le tableau suivant présente les points à vérifier dans un contrat de cyberrisque.
| Élément | Traitement habituel |
| Frais d’enquête et restauration des données | Généralement couverts |
| Interruption des activités | Couverte, souvent après un délai de carence en heures |
| Frais de notification et gestion de crise | Généralement couverts |
| Responsabilité pour fuite de renseignements personnels | Généralement couverte |
| Paiement d’une rançon | Variable selon le contrat et souvent plafonné |
| Fraude par virement bancaire | Souvent en option distincte |
| Défaut de maintenir les mesures de sécurité déclarées | Motif de refus fréquent |
| Vulnérabilité connue et non corrigée | Généralement exclue |
| Amélioration ou modernisation des systèmes | Exclue |
| Perte de réputation et valeur de marque | Généralement exclue |
| Dommages matériels aux équipements | Relève de la police des biens |
La ligne sur les mesures de sécurité déclarées est la plus importante du tableau. Par exemple, si vous avez indiqué au questionnaire de souscription que l’authentification multifacteur est active et que ce n’était pas le cas, la protection peut être remise en question.
Autrement dit, le formulaire de souscription n’est pas une formalité administrative. C’est une déclaration sur laquelle l’assureur s’appuie.
Les facteurs qui déterminent le prix de votre couverture
Aucun tarif fixe n’existe en cyberrisque, et pour une raison simple : deux PME de taille identique peuvent présenter des profils de sécurité radicalement différents.
Les éléments suivants pèsent le plus lourd :
- le volume et la sensibilité des renseignements personnels détenus
- votre secteur d’activité, la santé et les services financiers étant plus exposés
- le chiffre d’affaires, qui détermine l’ampleur d’une interruption
- la présence d’authentification multifacteur sur les accès à distance
- la fréquence et l’isolement de vos sauvegardes
- l’existence d’un plan de réponse aux incidents documenté
- la formation du personnel sur l’hameçonnage
- votre historique d’incidents
Les éléments techniques de cette liste, soit l’authentification multifacteur, les sauvegardes et les correctifs, sont devenus des conditions d’accès chez plusieurs assureurs, et non de simples facteurs de rabais. Sans eux, certains marchés refusent tout simplement de souscrire.
Deux éléments non techniques pèsent aussi lourd, soit la formation du personnel et la présence d’un plan de réponse écrit. Savoir qui appelle qui, dans quel ordre, et qui détient l’autorité d’arrêter les systèmes change radicalement l’ampleur d’un incident. C’est également l’un des rares éléments qu’une PME peut mettre en place sans budget technologique.
La bonne nouvelle, c’est que ces mesures sont largement à la portée d’une PME. Améliorer son profil de sécurité améliore aussi son accès à la protection.
Bâtir votre assurance cyberrisque étape par étape
Une assurance cyberrisque n’est pas un substitut à la sécurité informatique. Les deux fonctionnent ensemble, et les assureurs le reconnaissent explicitement en conditionnant la couverture à des mesures minimales.
L’ordre logique est donc le suivant. D’abord documenter ce que vous détenez comme données et où elles se trouvent. Ensuite mettre en place les mesures de base attendues par le marché. Puis répondre au questionnaire de souscription avec exactitude, en évitant d’affirmer ce qui n’est pas encore en place. Enfin réviser le contrat chaque année, puisque les exigences évoluent vite dans ce secteur.
Un dernier repère utile. Le cyberrisque évolue plus vite que la plupart des autres branches, et une protection négociée il y a trois ans peut ne plus correspondre ni aux menaces actuelles ni aux attentes des assureurs.
Pour discuter de votre exposition et des protections disponibles, parlez-en à un courtier en assurance de dommages.
FAQ
Une PME a-t-elle vraiment besoin d’une assurance cyberrisque?
Dès qu’une entreprise détient des renseignements personnels de clients ou d’employés, ou qu’elle dépend de systèmes informatiques pour fonctionner, une assurance cyberrisque devient pertinente. Les obligations québécoises de notification s’appliquent d’ailleurs à toutes les entreprises privées, sans aucun seuil de taille. Le besoin réel dépend donc bien moins du nombre d’employés que du volume de données détenues et du degré de dépendance envers vos systèmes.
L’assurance cyberrisque couvre-t-elle le paiement d’une rançon?
Plusieurs contrats prévoient cette protection, mais elle est presque toujours encadrée. Le montant est généralement plafonné à une portion de la limite globale, et le paiement doit être autorisé au préalable par l’assureur, souvent après l’intervention d’un négociateur spécialisé. Certaines polices l’excluent entièrement. C’est un point à vérifier explicitement avec votre courtier avant de signer le contrat, et non après un incident.
Que se passe-t-il si mes mesures de sécurité ne correspondent pas à ma déclaration?
L’assureur peut réduire l’indemnité ou refuser la réclamation, selon l’écart constaté et son incidence sur le sinistre. Le questionnaire de souscription en cyberrisque porte sur des éléments vérifiables comme l’authentification multifacteur, les sauvegardes et les correctifs. Mieux vaut déclarer une situation imparfaite et ajuster la protection en conséquence plutôt que de surestimer son niveau de sécurité réel au moment de la souscription.
