Après un piratage, votre assurance peut refuser de payer. La raison va vous surprendre.

Vous avez souscrit une assurance contre les cyberattaques. Logique : en cas de coup dur, vous êtes couvert. Vous dormez tranquille.

Puis un jour, votre entreprise est piratée. Vous prévenez votre assureur, soulagé d’avoir pris vos précautions.

Et là, la douche froide : il refuse de payer.

Ce scénario n’a rien de rare. De plus en plus de dirigeants le découvrent — toujours au pire moment. Voici pourquoi, et surtout comment ne pas tomber dans le piège.

De plus en plus d’entreprises s’assurent. De plus en plus se font refuser.

Les cyberattaques ont explosé. Selon l’ANSSI, elles ont augmenté de 45 % en un an, et les sommes versées par les assureurs ont bondi de 62 % sur la même période.

Résultat : les assureurs ont serré la vis. Aujourd’hui, ils refusent d’indemniser les entreprises qu’ils jugent négligentes — et vont parfois jusqu’à résilier le contrat après une attaque.

Payer une cotisation ne suffit donc plus. Encore faut-il être réellement couvert. Et entre les deux, il y a un monde.

La vraie raison : vous avez promis des protections que vous n’aviez pas

Voici ce que personne ne vous explique clairement.

Quand vous signez une assurance cyber, vous remplissez un questionnaire. Vous y déclarez que votre entreprise dispose d’un certain nombre de protections : des sauvegardes, une double vérification à la connexion (ce fameux code reçu sur le téléphone), des logiciels à jour, etc.

Le jour de l’attaque, l’assureur envoie un expert vérifier. S’il constate que ces protections n’étaient pas là — ou qu’elles ne fonctionnaient pas — il peut refuser de vous indemniser. Pire encore : il peut garder les cotisations que vous avez déjà versées.

C’est exactement comme déclarer à votre assurance habitation que vous avez un détecteur de fumée… puis ne jamais l’installer. Le jour de l’incendie, elle ne paiera pas.

Le piège : vous croyez sincèrement les avoir

Le plus troublant, c’est que la plupart des dirigeants remplissent ce questionnaire en toute bonne foi. Ils cochent les cases, persuadés que tout est en place.

Mais en sont-ils vraiment sûrs ?

• Vos sauvegardes se déclenchent-elles réellement, chaque jour ? Et surtout : a-t-on déjà vérifié qu’on peut tout récupérer ?
• La double vérification à la connexion est-elle activée partout, sur tous les comptes importants ?
• Vos logiciels reçoivent-ils bien les mises à jour de sécurité ?
• Cette vieille machine dans un coin, qui tourne encore sur un système abandonné depuis des années, n’est-elle pas une porte grande ouverte ?

Souvent, personne ne le sait vraiment. Les règles de sécurité existent… dans la tête de deux ou trois personnes, et nulle part ailleurs. Le jour de l’attaque, c’est pourtant à vous de prouver que tout était en ordre. Sans preuve, pas d’indemnisation.

En France, un oubli de 72 heures peut tout annuler

Il existe une règle française que presque personne ne connaît. Pour être indemnisé après une cyberattaque, vous devez déposer plainte dans les 72 heures suivant sa découverte.

Trois jours. C’est court. Et au moment d’une attaque, quand vous êtes en pleine panique à essayer de sauver votre activité, déposer plainte n’est pas le premier réflexe qui vient.

Pourtant, passé ce délai, l’assureur peut refuser de payer. On estime que 60 % des entreprises mal préparées perdent ainsi leur couverture. Un simple oubli administratif, et des mois de cotisations partent en fumée.

La bonne nouvelle : ces protections, vous devriez les avoir de toute façon

Voici le bon côté des choses. Toutes ces protections que l’assureur exige ne servent pas seulement à être indemnisé. Ce sont exactement celles qui vous évitent l’attaque au départ.

Le vrai problème n’est donc pas de les connaître. C’est de les mettre en place, de les maintenir dans le temps, et de pouvoir le prouver le jour J.

C’est précisément notre métier. Nous installons ces protections, nous les surveillons en continu, nous testons vos sauvegardes pour de vrai, et nous gardons la trace de tout. Si une attaque survient, votre dossier tient debout — et votre assurance vous couvre vraiment.

Petit bonus appréciable : en prouvant à votre assureur que votre sécurité est sérieuse, vous payez souvent une cotisation moins chère. Certaines entreprises ont tout simplement divisé la leur par deux.

À retenir

• En 2026, payer une cyber-assurance ne suffit plus : l’assureur peut refuser de vous indemniser.
• La raison la plus fréquente : vous avez déclaré des protections (sauvegardes, double vérification, mises à jour) que vous n’aviez pas réellement — ou qui ne fonctionnaient pas.
• En France, vous devez déposer plainte dans les 72 heures après une attaque, sinon vous perdez votre indemnisation.
• C’est à vous de prouver que vos protections étaient en place. Sans preuve, pas d’indemnisation.
• Ces protections vous évitent l’attaque et valident votre assurance. Un partenaire qui les maintient et les documente vous couvre pour de vrai — et fait souvent baisser votre cotisation.

Êtes-vous vraiment couvert ?

Nos experts vérifient que vos protections sont bien réelles, les maintiennent dans le temps, et gardent les preuves qu’exige votre assureur. Pour qu’en cas d’attaque, vous soyez indemnisé — pas refusé.