Votre entreprise peut être parfaitement assurée sur le papier et se voir refuser l’indemnisation. La cause est presque toujours la même : une mesure déclarée comme en place lors de la souscription, et qui ne l’était pas le jour de l’attaque. C’est vous qui signez ce déclaratif, pas votre prestataire.
Faire relire votre questionnaire avant de signer
Nous vérifions point par point que vos déclarations correspondent à votre réalité technique. C’est ce document qui sera relu le jour du sinistre.
Le recoupement entre NIS2 et le questionnaire assureur
Le recoupement est massif : sur les mesures de gestion du risque listées par la directive, la grande majorité figure déjà dans les questionnaires de souscription cyber du marché. Ce n’est pas un hasard, les deux poursuivent le même objectif, réduire la probabilité d’un sinistre majeur.
La conséquence est directe. Une entreprise qui prépare NIS2 devient mécaniquement plus assurable. Une entreprise qui a déjà négocié un contrat cyber sérieux a déjà fait une partie du chemin réglementaire.
| Exigence NIS2 | Traduction dans le contrat cyber |
|---|---|
| Politique d’analyse des risques | Questionnaire de souscription et tarification |
| Gestion des incidents | Condition d’accès à la cellule de crise 24 heures sur 24 |
| Continuité et sauvegardes | Condition de garantie sur la perte d’exploitation |
| Sécurité de la chaîne d’approvisionnement | Extension aux prestataires et exclusions fournisseurs |
| Authentification multifacteur | Condition de garantie, souvent rédhibitoire |
| Formation et sensibilisation | Critère de tarification, parfois de recevabilité |
Rapprochement établi entre l’article 21 de la directive (UE) 2022/2555 et les questionnaires de souscription cyber observés sur le marché français en 2026.
Les huit points que tout assureur vérifie
Quel que soit l’assureur, le socle est stable. Si vous ne deviez préparer que huit choses avant de demander un devis cyber, ce sont celles-ci.
- Authentification multifacteur sur les accès distants, la messagerie et les comptes à privilèges.
- Sauvegardes testées, dont au moins une copie déconnectée du réseau ou immuable.
- Correctifs appliqués sur les systèmes exposés, avec un délai maximal documenté.
- Détection sur les postes, un antivirus de nouvelle génération au minimum.
- Séparation des rôles : plus personne ne travaille au quotidien avec un compte administrateur.
- Procédure de virement à double validation, pour la fraude au président.
- Plan de reprise écrit et testé au moins une fois.
C’est le point de rupture du marché. Depuis la vague de rançongiciels, l’absence d’authentification multifacteur sur les accès distants conduit soit à un refus, soit à une franchise majeure, soit à une exclusion spécifique. Ce n’est plus négociable, et c’est aussi la mesure la moins coûteuse à déployer.
Cabinet indépendant près de Rennes, nous présentons votre dossier à plusieurs compagnies sur un cahier des charges identique. Un même profil peut recevoir des réponses très différentes selon l’appétit du moment de chaque assureur.
Le piège du questionnaire mal rempli
Le contrat cyber repose sur vos déclarations. Une réponse inexacte peut entraîner une réduction d’indemnité, voire la nullité du contrat en cas de fausse déclaration intentionnelle, conformément aux articles L. 113-8 et L. 113-9 du Code des assurances.
Le problème est rarement la mauvaise foi. C’est l’approximation. Le dirigeant coche « oui » à la question sur les sauvegardes parce qu’il sait qu’il en a. Personne n’a vérifié qu’elles se restaurent, ni qu’elles échappent au chiffrement en cas d’attaque.
La situation. Un bureau d’études de 60 personnes en Ille-et-Vilaine souscrit une garantie cyber avec 500 000 euros de plafond. Le questionnaire indique une authentification multifacteur généralisée.
L’incident. Un compte de maintenance, créé par un prestataire et resté hors du périmètre multifacteur, sert de porte d’entrée. Les serveurs sont chiffrés un jeudi soir.
Le dénouement. L’assureur ne conteste pas le principe de la garantie, mais discute l’étendue de l’indemnisation au regard du déclaratif. Un inventaire des comptes à privilèges avant souscription aurait évité toute la discussion.
Un déclaratif juste vaut mieux qu’un plafond élevé
Nous cadrons votre exposition réelle avant de remplir quoi que ce soit, puis nous mettons plusieurs assureurs en concurrence.
Ce que l’assurance couvre et que la conformité ne couvre pas
La conformité réduit la probabilité de l’incident. Elle ne paie rien le jour où il survient. C’est toute la différence, et elle explique pourquoi les deux démarches ne se substituent pas.
Une entreprise parfaitement conforme à NIS2 peut être arrêtée neuf jours par une faille inconnue. Ce sont alors les frais de réponse à incident, la perte de marge, la reconstitution des données et la gestion de la réputation qui pèsent. Aucun de ces postes n’est couvert par la conformité.
Perte de marge brute causée par l’interruption d’activité consécutive à un incident informatique. Sur un contrat cyber, elle se déclenche au-delà d’un seuil exprimé en heures d’arrêt, souvent entre 8 et 24 heures, et non en euros. Source : France Assureurs.
Les amendes NIS2 sont-elles assurables ?
Non, en règle générale. Les sanctions administratives sont considérées comme non assurables en droit français, au nom du caractère personnel de la peine. Le raisonnement vaut pour les amendes CNIL comme pour celles qui découleront de NIS2.
Ce que le contrat prend en charge, ce sont les frais périphériques : honoraires d’avocat, frais de défense devant l’autorité, coûts de notification, accompagnement en communication de crise. Ce n’est pas rien, ces postes représentent souvent la majorité de la facture. Mais un courtier qui vous promet la couverture de l’amende elle-même vous vend une illusion.
« Le nombre d’entités régulées passe d’environ 500 sous NIS1 à environ 15 000 sous NIS2, réparties sur dix-huit secteurs. »
Synthèse des travaux parlementaires sur le projet de loi résilience, Sénat, 2025
La méthode pour traiter les deux en une fois
Menez le chantier dans cet ordre, il évite de payer deux fois le même travail.
Commencez par l’inventaire : systèmes, données sensibles, prestataires, coût d’une journée d’arrêt. Ce chiffre-là détermine à la fois votre niveau d’exigence NIS2 et le plafond de perte d’exploitation à négocier. Passez ensuite le questionnaire assureur comme grille d’auto-évaluation, il est plus court et plus opérationnel que n’importe quel référentiel. Corrigez les écarts. Puis seulement, mettez les assureurs en concurrence.
Demandez toujours à votre assureur ce qui se passe si une mesure déclarée tombe en panne après la souscription, par exemple une sauvegarde qui échoue pendant trois mois sans alerte. Les contrats diffèrent beaucoup sur ce point, et c’est un excellent révélateur de leur qualité réelle. Nous posons systématiquement cette question dans nos mises en concurrence, détaillées sur notre page assurance cyber et dans notre article sur le périmètre de NIS2.
Nous faisons le pont entre votre conformité et votre contrat, parce que les deux se nourrissent.
- Relecture du questionnaire de souscription avant signature
- Mise en concurrence de plusieurs compagnies
- Suivi du sinistre, de la déclaration à l’expertise
Une étude cyber gratuite, sous 48 heures
Comparatif garanties, plafonds, franchises et conditions de garantie sur votre profil réel.
Questions fréquentes
Une assurance cyber rend-elle conforme à NIS2 ?
Non. L’assurance transfère les conséquences financières d’un incident, elle ne remplace aucune mesure de sécurité. Aucun assureur ne délivre d’attestation de conformité NIS2. En revanche, le questionnaire de souscription constitue une excellente grille d’auto-évaluation.
Peut-on assurer une amende NIS2 ?
En règle générale non, les sanctions administratives sont considérées comme non assurables en droit français. Les frais de défense, de notification et de gestion de crise le sont, et ils représentent souvent la plus grosse part de la facture.
L’authentification multifacteur est-elle vraiment obligatoire pour s’assurer ?
Elle n’est pas obligatoire au sens légal, mais elle est devenue une condition de garantie chez la plupart des assureurs cyber pour les accès distants et les comptes à privilèges. Sans elle, attendez-vous à un refus, une surprime ou une exclusion.
Que se passe-t-il si une mesure déclarée n’était pas en place ?
Selon la gravité et l’intention, l’assureur peut réduire l’indemnité proportionnellement ou, en cas de fausse déclaration intentionnelle, invoquer la nullité du contrat. Les articles L. 113-8 et L. 113-9 du Code des assurances encadrent ces situations.
Faut-il attendre la loi française pour s’assurer ?
Non, les deux calendriers sont indépendants. Le risque cyber ne se met pas en pause pendant la navette parlementaire. Anticiper permet de négocier dans de bonnes conditions, plutôt que sous la pression d’une échéance réglementaire ou d’un client qui exige une attestation.
Mon prestataire informatique peut-il répondre au questionnaire à ma place ?
Il peut vous aider à le renseigner, et c’est même recommandé sur les aspects techniques. Mais la déclaration engage l’entreprise souscriptrice, donc son dirigeant. Faites-vous confirmer par écrit chaque point technique que vous ne pouvez pas vérifier vous-même.
Combien de temps prend une mise en concurrence cyber ?
Comptez 48 heures pour une première indication tarifaire une fois le questionnaire complet, et deux à trois semaines pour un dossier abouti avec plusieurs compagnies, surtout si des mesures correctives sont à déployer entre-temps.
Expert en Responsabilité Civile Professionnelle
Courtier spécialisé en RC Pro et en assurance cyber, Nicolas accompagne les indépendants, professions libérales et dirigeants d’entreprises dans la protection de leur activité.