Souscrire ou renouveler une cyber assurance ne consiste plus simplement à déclarer que l’entreprise dispose d’un antivirus, de sauvegardes et de quelques procédures.
Les questionnaires assureurs sont devenus plus précis. Ils portent désormais sur la couverture réelle de la MFA, la protection des sauvegardes, les tests de restauration, la gestion des correctifs, les accès administrateurs, la sensibilisation ou encore la capacité à réagir à un incident.
Le problème pour les PME n’est pas toujours l’absence de mesures. Il est souvent plus simple : les contrôles existent, mais les preuves sont dispersées, incomplètes ou trop anciennes pour répondre sereinement.
Avant de remplir un questionnaire d’assurance cyber, il faut donc éviter les réponses approximatives. Une affirmation comme « la MFA est activée » ou « les sauvegardes sont testées » doit pouvoir être reliée à un périmètre précis et à une preuve récente.
Le bon objectif n’est pas de présenter une sécurité parfaite. Il est de fournir une image fidèle, cohérente et démontrable de l’état de maîtrise réel de l’entreprise.
La cyber assurance couvre généralement certains coûts liés à une attaque, une violation de données, une interruption d’activité ou une réponse à incident. L’assureur doit donc évaluer la probabilité et l’impact potentiel d’un sinistre.
Cette évaluation repose notamment sur les réponses données dans le questionnaire de souscription ou de renouvellement.
Les formulaires publics de plusieurs assureurs montrent que les questions portent fréquemment sur :
Ces contrôles ne sont pas choisis au hasard. Ils correspondent à des facteurs qui peuvent fortement influencer la capacité de l’entreprise à prévenir une attaque, limiter sa propagation ou reprendre son activité.
Allianz indique par exemple que, dans plus de 80 % des sinistres cyber importants analysés, les décisions prises par l’entreprise ont influencé l’ampleur des pertes, et que de nombreux incidents auraient pu être évités ou contenus grâce à des mesures de base comme les correctifs, la segmentation, les sauvegardes et la MFA.
Un questionnaire d’assurance cyber n’est pas un simple formulaire administratif.
Les réponses peuvent servir à :
Il faut donc éviter trois erreurs.
Une mesure partiellement mise en œuvre ne doit pas être présentée comme totalement généralisée.
Par exemple, si la MFA protège Microsoft 365 mais pas le VPN, les comptes administrateurs ou certains outils cloud, répondre simplement « oui » peut masquer une couverture incomplète.
Le responsable qui remplit le questionnaire ne connaît pas toujours l’ensemble du périmètre. Il peut ignorer certaines exceptions, les résultats du dernier test de restauration ou la fréquence réelle des correctifs.
Une politique de sauvegarde ne démontre pas que les sauvegardes fonctionnent. Une procédure de réponse à incident ne prouve pas qu’elle a été testée.
Les réponses doivent donc être validées par les personnes qui connaissent réellement les contrôles : IT, prestataire, RSSI, DPO, direction ou responsables métiers selon le sujet.
Les attentes varient selon l’assureur, le secteur, la taille de l’entreprise et son exposition. Il n’existe donc pas une liste universelle.
En revanche, certains domaines reviennent très régulièrement.
La MFA est l’un des premiers contrôles examinés, notamment pour :
Il ne suffit pas de montrer que la fonctionnalité existe. Il faut pouvoir démontrer son périmètre réel.
La MFA est-elle réellement obligatoire sur tous les accès mentionnés dans le questionnaire ?
Une couverture partielle doit être expliquée clairement.
Les assureurs ne demandent plus seulement si des sauvegardes existent.
Ils peuvent chercher à comprendre :
Les questionnaires publics de Chubb et Beazley demandent notamment si les sauvegardes sont hors ligne ou immuables, si leurs accès sont protégés par MFA et si des tests de restauration complets sont réalisés.
Un service de synchronisation de fichiers ne remplace pas nécessairement une vraie stratégie de sauvegarde et de restauration.
La preuve la plus convaincante reste le résultat documenté d’un test réel.
Le questionnaire peut aussi demander :
L’assureur peut chercher à comprendre ce qui se passe si le système d’information devient indisponible.
Les questions peuvent porter sur :
Un plan qui n’a jamais été testé reste largement théorique.
Il vaut mieux présenter un dispositif simple mais testé qu’un document très complet jamais confronté à un scénario réel.
Les assureurs veulent souvent savoir si l’entreprise est capable de réagir rapidement en cas de ransomware, de compromission de compte ou de violation de données.
Le plan doit notamment préciser :
Le facteur humain reste très présent dans les questionnaires, notamment sur le phishing, les fraudes au président et les compromissions de messagerie.
Le questionnaire peut faire la différence entre :
Selon le profil de l’entreprise, l’assureur peut demander la présence :
La question importante n’est pas seulement de savoir si l’outil est acheté. Il faut aussi savoir s’il est déployé, supervisé et maintenu.
Les comptes administrateurs constituent un point de risque important.
Une revue récente et documentée vaut davantage qu’une procédure générale non exécutée.
Certains questionnaires abordent aussi :
Le meilleur moyen de gagner du temps est de créer un dossier ou registre structuré avant de commencer à répondre.
Pour chaque contrôle, il faut pouvoir retrouver :
| Élément | Contenu attendu |
| Contrôle | MFA, sauvegarde, patching, PRA, etc. |
| Périmètre | Utilisateurs, systèmes, sites ou entités concernés |
| Responsable | Personne qui valide l’information |
| État réel | En place, partiel, en cours ou absent |
| Preuve | Export, rapport, procédure, test ou compte rendu |
| Date | Date de production ou de dernière revue |
| Limite | Exception ou périmètre non couvert |
| Action prévue | Correction ou amélioration en cours |
Ce registre évite de rechercher les mêmes informations à chaque renouvellement.
Il est généralement préférable d’être précis plutôt que de chercher à donner la réponse la plus rassurante.
Une réponse solide peut suivre cette structure :
La MFA est obligatoire pour Microsoft 365, les comptes administrateurs et les accès distants. Deux applications métiers ne la supportent pas encore. Leur accès est limité au réseau interne et une migration est prévue au prochain trimestre.
Cette réponse est plus crédible qu’un simple « oui », car elle décrit :
L’objectif n’est pas d’exposer inutilement toutes les faiblesses. Il est de fournir une réponse exacte et défendable.
Un assureur ou un courtier peut s’intéresser à l’existence d’un contrôle, mais aussi à sa régularité.
Il est donc utile de conserver :
Cet historique montre que les mesures ne sont pas seulement mises en place ponctuellement pour répondre au questionnaire.
Il permet également de répondre plus rapidement lors du renouvellement suivant.
Le questionnaire doit être validé par les responsables techniques et métiers concernés.
Une configuration datant de deux ans ne démontre pas nécessairement l’état actuel.
La politique indique ce qui devrait être fait. Elle ne démontre pas toujours ce qui est réellement appliqué.
Les comptes, applications ou sites non couverts peuvent devenir un point critique.
Il faut conserver :
Cela permet d’éviter les contradictions au renouvellement.
Les garanties, exclusions et conditions varient selon les contrats. La présence d’un contrôle ne garantit pas à elle seule l’indemnisation d’un sinistre.
Les réponses doivent être cohérentes avec la situation réelle et le contrat doit être analysé avec le courtier, l’assureur et, si nécessaire, un conseil juridique.
Avant de transmettre le questionnaire, vérifiez que vous disposez au minimum de :
La difficulté n’est pas seulement de produire une preuve pour le questionnaire actuel. Elle est de retrouver cette preuve, vérifier sa fraîcheur et conserver une réponse cohérente dans le temps.
CompliKey permet de centraliser :
L’objectif n’est pas de garantir l’acceptation d’un dossier d’assurance ni de remplacer l’analyse de l’assureur.
Il est de permettre à la PME de démontrer plus facilement son état réel de maîtrise, de repérer les preuves manquantes et de préparer ses réponses sans reconstruire son dossier à chaque renouvellement.
Les questionnaires portent fréquemment sur la MFA, les sauvegardes, les tests de restauration, la gestion des correctifs, la protection des postes, la sensibilisation et la réponse à incident.
Non. Elle montre l’intention de l’entreprise, mais elle doit généralement être complétée par des preuves de mise en œuvre : exports, configurations, rapports, tickets, tests ou comptes rendus.
Il faut répondre précisément selon le périmètre réel. Une couverture partielle peut être accompagnée des mesures compensatoires et du plan de déploiement prévu.
La fréquence dépend du risque et du contrat, mais les assureurs peuvent demander la date et le résultat du dernier test. Un test régulier et documenté est donc indispensable.
Une réponse inexacte ou trop générale peut créer une incohérence avec la situation réelle. Les conséquences exactes dépendent du contrat et du droit applicable ; il est donc important de faire valider les réponses et de conserver les preuves utilisées.
Le questionnaire de cyber assurance ne doit pas être préparé la veille de son envoi.
Il doit être considéré comme une vérification de la capacité de l’entreprise à démontrer ses contrôles de sécurité.
Une PME bien préparée ne se contente pas de répondre « oui » ou « non ». Elle sait montrer :
Cette discipline facilite la souscription et le renouvellement, mais elle apporte surtout une vision plus fiable de la sécurité réelle de l’entreprise.
