Quand son assureur lui a retourné le contrat de cyber-assurance à renouveler, la Dre Anne P. s'attendait à une simple signature. À la place, elle a trouvé un questionnaire de sécurité : la double authentification est-elle activée sur les boîtes mail du cabinet ? Les sauvegardes du dossier patient sont-elles testées ? Au secrétariat, Lucie F. a reconnu que personne n'avait jamais vérifié. Reste une question qui dérange : le jour d'un incident, l'assurance paierait-elle vraiment ?
Ce que la cyber-assurance couvre vraiment (et ce qu'elle laisse de côté)
Une cyber-assurance, c'est un contrat qui transfère à un assureur une partie du coût financier d'un incident informatique — une attaque, une fuite de données, une panne provoquée par un pirate. Elle ne remplace pas la sécurité : elle amortit le choc quand, malgré tout, quelque chose passe.
Concrètement, une bonne police prend généralement en charge trois familles de dépenses. D'abord, la gestion de crise : faire intervenir en urgence des spécialistes pour comprendre l'attaque, nettoyer les systèmes et récupérer les données. Pour un cabinet médical, cela peut vouloir dire remettre en état l'accès au dossier patient après un rançongiciel — un logiciel malveillant qui chiffre vos fichiers et réclame une rançon pour les rendre à nouveau lisibles. Ensuite, les pertes d'exploitation : le chiffre d'affaires perdu pendant que le cabinet tourne au ralenti, agendas et facturation à l'arrêt. Enfin, les frais annexes : notification aux personnes concernées, conseil juridique, communication, parfois l'accompagnement d'une demande d'un patient ou d'une autorité.
Un poste souvent sous-estimé mérite attention : les conséquences indirectes. Une fuite de données de santé, ce n'est pas qu'une facture de réparation — c'est une confiance abîmée, des patients qui hésitent, une réputation à reconstruire. Certaines polices couvrent une partie de ces effets (frais de communication, accompagnement), d'autres non. C'est un point à clarifier avant de signer, car il n'existe pas deux contrats identiques : ce qui suit décrit des tendances du marché, pas votre police à vous. Pour une décision ferme, votre courtier ou votre assureur reste le bon interlocuteur.
Mais un contrat se lit surtout à l'envers, par ses exclusions — les situations où l'assureur ne paie pas. Quatre reviennent presque toujours. L'acte intentionnel d'un collaborateur, un sabotage délibéré, n'est pas couvert. Une infrastructure obsolète ou laissée sans mises à jour non plus : si une faille connue depuis des mois n'a jamais été corrigée, l'assureur peut estimer que le risque n'était pas maîtrisé. Les actes de guerre et les attaques attribuées à un État sont exclus par principe. Et surtout — c'est le point aveugle des PME — le non-respect de vos propres engagements de sécurité.
Car une cyber-assurance n'est presque jamais inconditionnelle. Elle est le plus souvent conditionnée à une hygiène minimale : au moment de souscrire, vous déclarez un certain nombre de mesures en place. Si, le jour de l'incident, ces mesures n'existaient pas réellement, l'indemnisation peut être réduite, voire refusée. C'est exactement ce que teste le questionnaire reçu par la Dre Anne P. : l'assureur ne vend pas un filet de sécurité aveugle, il vérifie que vous avez tendu le vôtre.
Ajoutez à cela des limites chiffrées qu'on oublie de lire. Le plafond, d'abord : le montant maximum que l'assureur remboursera. La franchise, ensuite : la part qui reste à votre charge à chaque sinistre. Parfois, un délai de carence avant que la couverture ne s'active. Une police plafonnée à quelques dizaines de milliers de francs ne couvrira pas l'arrêt de plusieurs semaines d'un cabinet de groupe.
La différence se joue au moment de la réclamation. Prenez deux structures de soins touchées le même lundi par un rançongiciel. La première avait déclaré la double authentification et des sauvegardes testées, et les avait vraiment en place : son assureur prend en charge l'intervention d'urgence, les jours d'activité perdus et les frais juridiques, et le cabinet redémarre en confiance. La seconde avait coché les mêmes cases sur le papier, mais l'authentification n'était activée que sur une partie des comptes et la dernière sauvegarde datait de plusieurs mois, jamais testée. Résultat : une indemnisation rognée, des discussions pénibles, et une facture largement à sa charge. Même contrat, même sinistre — deux issues opposées, décidées bien avant l'attaque.
Ce qu'il faut retenir
Trois idées suffisent à changer le regard sur le sujet.
La cyber-assurance est un amortisseur, pas un bouclier. Elle intervient après l'incident pour limiter la casse financière ; elle n'empêche pas l'attaque et ne remplace aucune mesure de protection. La présenter à ses associés comme « on est couverts, donc c'est réglé » est le plus sûr moyen de se tromper.
Elle se mérite. La plupart des contrats exigent une base d'hygiène cyber — double authentification, sauvegardes testées, systèmes à jour, gestion des accès — et peuvent refuser de payer si cette base n'existait pas. Autrement dit, les gestes qui vous rendent assurable sont exactement ceux qui réduisent le risque : vous ne travaillez jamais pour rien.
Le contrat se lit dans le détail. Plafonds, franchises, exclusions, obligations déclarées : ce sont ces lignes-là, et non l'argumentaire commercial, qui déterminent ce que vous toucherez vraiment. En Suisse, un incident touchant des données de santé relève aussi de la nLPD, la loi fédérale sur la protection des données, qui impose au responsable de traitement — ici, le cabinet — des mesures « appropriées » et l'annonce de certaines violations à l'autorité. Aucune assurance ne vous décharge de cette responsabilité-là.
Les gestes à installer cette semaine
Pas besoin de budget ni d'informaticien pour avancer. Trois gestes concrets, à la portée de la Dre Anne P. et de Lucie F.
1. Sortir le contrat et lire les exclusions
Ouvrez la police — ou demandez-la à votre courtier — et repérez trois choses : le plafond, la franchise, et la liste des exclusions et des conditions. Notez les phrases qui commencent par « à condition que » ou « sous réserve que » : ce sont vos obligations. Si une clause exige la double authentification ou des sauvegardes, elle vous engage. Un courtier n'est pas là que pour vendre : il peut vous expliquer, sans jargon, ce que vous avez réellement signé.
2. Cocher les prérequis de base
Reprenez le questionnaire de l'assureur comme une check-list. Activez la double authentification (MFA) sur les boîtes mail et l'accès au dossier patient : en plus du mot de passe, une seconde preuve, par exemple un code sur le téléphone. Vérifiez qu'une sauvegarde récente existe et qu'on sait la restaurer — une sauvegarde jamais testée est une sauvegarde qu'on espère. Passez les mises à jour en attente sur les postes du secrétariat. Ces trois gestes couvrent l'essentiel de ce que l'assureur regarde.
3. Garder une trace
Le jour d'un sinistre, l'assureur demandera des preuves : qui avait accès à quoi, quand la sauvegarde a été testée, quand tel correctif a été posé. Ouvrez un simple document partagé et notez-y, au fil de l'eau, les mesures en place et leurs dates. Cette mémoire écrite vaut de l'or au moment d'une réclamation — et elle rassure aussi un patient ou une autorité qui poserait des questions.
Où en êtes-vous vraiment ?
La cyber-assurance ne se décide pas dans le vide : elle se négocie d'autant mieux qu'on connaît sa propre posture. Savoir où votre cabinet est solide et où il repose sur la confiance, c'est précisément ce qui vous permet de répondre honnêtement au questionnaire de l'assureur — et d'obtenir une meilleure couverture, au bon prix.
C'est là qu'intervient l'auto-évaluation Cyber Passport. Elle ne certifie rien et ne vend aucune police : elle vous montre, question par question, l'état réel de vos mesures face aux bonnes pratiques reconnues et aux attentes de la nLPD. De quoi aborder votre prochain renouvellement de cyber-assurance les yeux ouverts, sans mauvaise surprise le jour où ça compte.
