{"id":19196,"date":"2026-09-08T15:00:15","date_gmt":"2026-09-08T13:00:15","guid":{"rendered":"https:\/\/citalid.com\/?p=19196"},"modified":"2026-09-30T12:01:35","modified_gmt":"2026-09-30T10:01:35","slug":"cyber-insurance-renewal-2026","status":"publish","type":"post","link":"https:\/\/citalid.com\/fr\/resources\/cyber-insurance-renewal-2026\/","title":{"rendered":"Renouvellement assurance cyber : le guide RSSI 2026"},"content":{"rendered":"Chaque ann\u00e9e, le renouvellement de la police cyber est trait\u00e9 comme un exercice budg\u00e9taire : on compare la prime, on n\u00e9gocie la franchise et on signe. Le probl\u00e8me, c’est que la plupart des mauvaises surprises ne se r\u00e9v\u00e8lent pas \u00e0 la souscription. Elles se r\u00e9v\u00e8lent au moment du sinistre, quand l’assureur invoque une exclusion, une sous-limite ou une exigence de s\u00e9curit\u00e9 non respect\u00e9e que personne n’avait relue et contextualis\u00e9e avec la r\u00e9alit\u00e9 op\u00e9rationnelle de l’entreprise. Le renouvellement est pourtant le seul moment de l’ann\u00e9e o\u00f9 RSSI et Direction des risques et des assurances ont un vrai levier pour \u00e9viter ce sc\u00e9nario, \u00e0 condition de poser les bonnes questions avant de reconduire le contrat plut\u00f4t qu’apr\u00e8s avoir subi une attaque.\r\n

La police d’assurance correspond-elle encore \u00e0 l’entreprise telle qu’elle est aujourd’hui ?<\/h2>\r\nUne souscription cyber photographie l’organisation \u00e0 un instant donn\u00e9 : son syst\u00e8me d’information, ses prestataires critiques, son exposition. Entre deux renouvellements, cette photographie devient rapidement obsol\u00e8te. Une migration cloud, l’arriv\u00e9e d’un nouveau prestataire SaaS en position critique, l’int\u00e9gration d’outils d’IA dans des processus sensibles, ou simplement une croissance du p\u00e9rim\u00e8tre par acquisition, tout cela change la nature du risque sans que la police ne soit syst\u00e9matiquement r\u00e9vis\u00e9e en cons\u00e9quence. Le renouvellement doit \u00eatre l’occasion de v\u00e9rifier que l’assurance est un miroir du risque que l’entreprise souhaite partager.\r\n

Des clauses d’exclusions qui peuvent tout changer le jour o\u00f9 elles s’appliquent<\/h2>\r\nDeux cat\u00e9gories de clauses m\u00e9ritent une relecture attentive, et pas seulement en cas de doute.\r\n\r\nLa premi\u00e8re concerne les exclusions, en particulier les clauses de guerre et cyberguerre qui se sont largement g\u00e9n\u00e9ralis\u00e9es sur le march\u00e9 ces derni\u00e8res ann\u00e9es, reflet d’un march\u00e9 de l’assurance cyber encore en qu\u00eate de maturit\u00e9<\/a>. Bien qu’en \u00e9volution afin d’apporter plus de coh\u00e9rence et de compr\u00e9hension pour les parties, ces clauses peuvent rester des sources d’incertitude qui doivent \u00eatre questionn\u00e9es avant signature et non pas en cas de crise. Notons par ailleurs que les clauses relatives aux sanctions internationales ou \u00e0 la non-conformit\u00e9 r\u00e9glementaire co-existent avec des garanties relatives aux \u00e9v\u00e8nements cyber impliquant le paiement d’une ran\u00e7on, que certaines entreprises sont tent\u00e9es de payer. L\u00e0 aussi, il convient de comprendre les proc\u00e9dures en place d\u00e8s les premiers \u00e9changes avec l’assureur pour saisir l’\u00e9tendue de ces clauses. Des litiges existent entre les parties, comme en 2023 o\u00f9 une soci\u00e9t\u00e9 victime d’un ran\u00e7ongiciel a demand\u00e9 l’indemnisation pr\u00e9vue par son assurance cyber. L’assureur a refus\u00e9 de payer, estimant que les pirates \u00e9taient li\u00e9s au groupe russe Evil Corp, vis\u00e9 par des sanctions am\u00e9ricaines. Les tribunaux suisses ont jug\u00e9 que ce lien n’\u00e9tait pas suffisamment prouv\u00e9 et qu’il n’existait pas de risque concret de sanction. L’assureur a donc \u00e9t\u00e9 contraint de verser l’indemnit\u00e9 (source : Centre de droit bancaire et financier, cdbf.ch\/fr\/1303<\/a>).\r\n\r\nLa seconde cat\u00e9gorie touche au d\u00e9clenchement de la garantie : la d\u00e9finition contractuelle de ce qui est consid\u00e9r\u00e9 comme un \u00e9v\u00e8nement cyber ou tout \u00e9v\u00e8nement de nature \u00e0 \u00eatre garanti. Un sinistre parfaitement r\u00e9el peut se retrouver hors du champ de la police simplement parce qu’il ne correspond pas, au sens strict du contrat, \u00e0 la d\u00e9finition retenue.\r\n

Les engagements de s\u00e9curit\u00e9, un contrat dans le contrat<\/h2>\r\nLa plupart des polices d’assurance cyber conditionnent la garantie au respect d’un socle de mesures de s\u00e9curit\u00e9 d\u00e9clar\u00e9es lors de la souscription : authentification multi-facteurs g\u00e9n\u00e9ralis\u00e9e, EDR d\u00e9ploy\u00e9, sauvegardes immuables et test\u00e9es, gestion des comptes \u00e0 privil\u00e8ges. Ces engagements sont un contrat dans le contrat. Le pi\u00e8ge classique n’est pas de d\u00e9guiser son niveau de s\u00e9curit\u00e9 au moment de la souscription, mais plut\u00f4t de ne pas maintenir dans le temps ce qui a \u00e9t\u00e9 d\u00e9clar\u00e9, par d\u00e9rive progressive plut\u00f4t que par d\u00e9cision. Un assureur qui d\u00e9couvre, lors de l’expertise post-incident, que le MFA n’\u00e9tait pas r\u00e9ellement g\u00e9n\u00e9ralis\u00e9 sur le p\u00e9rim\u00e8tre d\u00e9clar\u00e9 dispose d’un motif solide pour r\u00e9duire ou refuser l’indemnisation. Le renouvellement est le moment de v\u00e9rifier, avec les \u00e9quipes techniques, que la r\u00e9alit\u00e9 op\u00e9rationnelle correspond toujours \u00e0 ce qui a \u00e9t\u00e9 sign\u00e9, et pas seulement de renouveler la d\u00e9claration sur la base de l’ann\u00e9e pr\u00e9c\u00e9dente.\r\n\r\n

Votre plafond de garantie refl\u00e8te-t-il votre exposition r\u00e9elle, ou la reconduction du montant de l'ann\u00e9e derni\u00e8re ?<\/p>Quantifiez votre exposition financi\u00e8re<\/a><\/div><\/section>\r\n

Le montant de garantie, l’intuition vs les chiffres<\/h2>\r\nBeaucoup d’entreprises reconduisent leur plafond de garantie d’une ann\u00e9e sur l’autre sans le remettre en question, ou l’ajustent \u00e0 la marge en fonction du budget disponible plut\u00f4t que de l’exposition r\u00e9elle. Le r\u00e9flexe du benchmark sectoriel a ses limites. Savoir combien souscrivent des entreprises comparables donne une indication du march\u00e9 qui ne refl\u00e8te pas une mesure de son propre risque. Deux organisations du m\u00eame secteur peuvent avoir une d\u00e9pendance tr\u00e8s diff\u00e9rente au num\u00e9rique, une surface d’exposition distincte, ou une capacit\u00e9 financi\u00e8re \u00e0 absorber un sinistre qui n’a rien de comparable.\r\n\r\nPrenons un exemple simple : deux entreprises du m\u00eame secteur, de taille comparable, souscrivent chacune dix millions d’euros de garantie. Une \u00e9valuation quantifi\u00e9e bas\u00e9e sur des sc\u00e9narios de risque r\u00e9alistes peut r\u00e9v\u00e9ler que l’une est expos\u00e9e \u00e0 une perte maximale probable de vingt-cinq millions en cas d’interruption prolong\u00e9e de son activit\u00e9, quand l’autre, moins d\u00e9pendante du num\u00e9rique, plafonne \u00e0 six millions. Le m\u00eame montant de garantie prot\u00e8ge la seconde et laisse la premi\u00e8re largement sous-couverte, sans qu’aucune des deux ne le sache avant d’avoir fait le calcul.\r\n\r\nLe montant que les entreprises d’un m\u00eame secteur ach\u00e8tent refl\u00e8te leurs propres arbitrages, sans garantie que ce choix soit lui-m\u00eame adoss\u00e9 \u00e0 une \u00e9valuation rigoureuse de leur exposition. C’est pourtant l’un des axes o\u00f9 le dialogue avec l’assureur ou le courtier peut le plus \u00e9voluer si l’entreprise pr\u00e9pare une estimation bas\u00e9e sur une \u00e9valuation des risques \u00e0 jour et quantifi\u00e9e<\/a>. Cette m\u00eame logique s’applique lorsqu’il s’agit de d\u00e9montrer la robustesse de son organisation devant les assureurs. Une organisation capable de documenter factuellement son niveau de risque et sa trajectoire de r\u00e9duction dispose d’un argumentaire de n\u00e9gociation bien plus solide que ses pairs.\r\n

Le jour du sinistre, le contrat prouve ce qu’il vaut vraiment<\/h2>\r\nDeux derniers points ne se jouent pas sur le papier mais dans l’urgence d’une crise r\u00e9elle. D’abord, le dispositif de gestion de crise pr\u00e9vu par l’assureur : panel de prestataires impos\u00e9 ou libre choix, expert d\u00e9sign\u00e9, d\u00e9lais de mobilisation garantis. Un incident majeur laisse peu de place \u00e0 l’improvisation, et d\u00e9couvrir en pleine crise que le forensic impos\u00e9 par l’assureur n’est pas celui avec qui l’entreprise a l’habitude de travailler ajoute une friction. Ensuite, l’articulation entre la police cyber et les autres polices de l’entreprise : responsabilit\u00e9 civile professionnelle, D&O, dommages ou fraude. Un sinistre cyber touche rarement un seul p\u00e9rim\u00e8tre de risque, et l’absence de coordination entre plusieurs assureurs peut ralentir consid\u00e9rablement l’indemnisation, voire cr\u00e9er des zones grises o\u00f9 chaque contrat renvoie vers l’autre.\r\n\r\nAvant de signer un renouvellement, ces questions m\u00e9ritent une r\u00e9ponse formalis\u00e9e :\r\n