Assurance cyber : pourquoi l'assureur demande si votre VPN exige un double facteur
Ou : le questionnaire de souscription n’est pas une formalité, c’est la première pièce que l’assureur relira après le sinistre.
La réponse courte : les assureurs cyber conditionnent la couverture à quelques contrôles précis, et le double facteur sur l’accès distant en fait partie. Dans une note de 2021, le courtier Marsh place l’authentification multifacteur en tête des contrôles qu’il juge prioritaires pour rester assurable, devant la détection et la réponse sur les postes (EDR), des sauvegardes chiffrées, isolées et testées, la gestion des comptes à privilèges et le filtrage des courriels et du web. Le VPN n’est pas une exigence en soi ; ce qui compte, c’est qu’on ne puisse pas s’y connecter avec un simple mot de passe. Le questionnaire de souscription engage l’assuré, et une réponse inexacte peut coûter la couverture entière. C’est l’une des exigences les plus concrètes parmi les preuves de conformité qu’une PME doit fournir.
Le cas d’école vient des États-Unis. En 2022, International Control Services, une entreprise américaine, avait répondu « oui » à la question du double facteur dans l’attestation exigée par son assureur, Travelers, qui demandait le MFA pour tout accès distant au réseau, qu’il s’agisse d’employés, de sous-traitants ou de prestataires. Après une attaque par rançongiciel en mai 2022, l’enquête a montré que le double facteur ne protégeait que le pare-feu. Travelers a demandé l’annulation du contrat, et le tribunal fédéral a déclaré la police nulle depuis l’origine le 30 août 2022, sur accord des deux parties et non au terme d’un procès. La leçon vaut partout : cocher « oui » pour le double facteur engage sur l’ensemble des accès, pas sur un seul équipement.
Assurance cyber : les exigences sur le VPN, le MFA et les sauvegardes
| Contrôle attendu | Ce que l’assureur veut savoir | Ce qu’on peut montrer |
|---|---|---|
| Double facteur sur tout accès distant | Aucun accès au réseau, à la messagerie ou à l’administration par mot de passe seul | Réglages du VPN et du fournisseur d’identité, liste des exceptions |
| Sauvegardes chiffrées, isolées et testées | Une restauration possible sans payer de rançon | Planning, dernier test de restauration |
| Détection sur les postes (EDR) | Une attaque repérée avant le chiffrement | Console de l’outil, couverture du parc |
| Comptes à privilèges séparés | L’administration hors des comptes de tous les jours | Liste des comptes d’administration |
| Filtrage des courriels et du web | Moins d’hameçonnage réussi | Configuration de la messagerie |
En France, la loi ajoute une condition qui ne dépend pas du contrat. Depuis le 24 avril 2023, l’article L. 12-10-1 du Code des assurances subordonne toute indemnisation d’une atteinte à un système informatique au dépôt d’une plainte « au plus tard soixante-douze heures après la connaissance de l’atteinte ». Le texte ne vise pas seulement les rançons : c’est toute la prise en charge d’une cyberattaque qui en dépend, pour les personnes morales comme pour les professionnels. France Assureurs rappelle cette obligation dans sa brochure de 2026 destinée aux TPE et PME, qui recommande aussi de ne pas payer de rançon et cite les sauvegardes régulières et les mises à jour parmi les obligations de sécurité à vérifier avant de signer.
Les prix, eux, ont baissé pour les grandes structures. Le rapport LUCY 2026 de l’AMRAE, l’association française des gestionnaires de risques, relève une baisse des taux de prime de 32 % pour les grandes entreprises et de 23 % pour les ETI en 2025, alors que le montant des sinistres a augmenté de 53 %, à 83,2 millions d’euros. Il donne aussi des repères moyens pour les petites structures : une micro-entreprise paie environ 645 euros par an pour 627 000 euros de couverture et 1 076 euros de franchise ; une petite entreprise, 1 600 euros pour 701 000 euros. Le rapport reconnaît toutefois être moins précis sur les plus petites entreprises, et ne publie pas de taux d’équipement des PME.
En Belgique, nous n’avons pas trouvé de condition légale équivalente à la plainte sous 72 heures : les exigences dépendent de chaque contrat. Certains ordres professionnels négocient des conditions pour leurs membres, comme l’ITAA, dont la police collective de responsabilité civile ouvre des conditions favorables pour une couverture cyber.
NIS2, l’autre questionnaire
Les exigences des assureurs recoupent largement celles de NIS2 et des CyberFundamentals belges. La comparaison est dans NIS2 et les obligations des PME.
La fiduciaire et son assurance
Les experts-comptables belges peuvent passer par la police collective de leur institut. Leur situation est décrite dans le VPN de la fiduciaire.
Le certificat qui ne suffit pas
Une certification ISO 27001 ne répond pas à toutes les questions d’un assureur, qui vérifie des contrôles précis. Les mesures de la norme sont détaillées dans ISO 27001 et le contrôle d’accès.