Question 1

Que couvre une assurance cyber ?

Accepted Answer

Une assurance cyber couvre deux familles de conséquences : les dommages subis par la collectivité elle-même (gestion de crise, expertise, restauration des données, frais supplémentaires de fonctionnement) et sa responsabilité envers les tiers dont les données ont été exposées. Elle inclut souvent une assistance d'urgence.
Selon le guide de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) sur les rançongiciels, les contrats fournissent en cas de sinistre une assistance juridique et une couverture financière du préjudice, matériel comme immatériel. Dans le détail, les garanties proposées sur le marché se rangent ainsi :

dommages propres : intervention d'experts en investigation numérique, cellule de crise, restauration des systèmes et des données, frais supplémentaires pour maintenir les services (heures supplémentaires, prestataires, location de matériel), frais de notification des personnes concernées, conseil en communication de crise ;
responsabilité civile : réclamations des usagers, agents ou partenaires dont les données ont été divulguées, et frais de défense ;
assistance : numéro d'urgence qui mobilise les experts mandatés par l'assureur dès la déclaration.

Chaque garantie a son plafond, ses sous-limites, sa franchise et ses exclusions. L'ANSSI relevait que la jurisprudence sur l'activation des clauses d'exclusion restait à construire : la lecture de ces clauses compte autant que la liste des garanties.
Une condition s'impose à toutes les polices : depuis le 24 avril 2023, l'article L12-10-1 du code des assurances subordonne l'indemnisation d'une atteinte à un système d'information à une plainte déposée au plus tard 72 heures après sa connaissance par la victime. La collectivité assurée intègre donc le dépôt de plainte à sa procédure de crise.

Question 2

Pourquoi prendre une assurance cyber ?

Accepted Answer

Pour financer une crise dont le coût dépasse souvent les moyens d'une collectivité, et pour disposer dès les premières heures d'experts techniques, juridiques et de communication mobilisés par l'assureur. Le contrat ne remplace pas la sécurité informatique : il en couvre le risque résiduel.
Le premier intérêt est financier. Une attaque par rançongiciel oblige à reconstruire des serveurs, à payer des prestataires en urgence et à ressaisir des données. Le rapport du Sénat de décembre 2021 sur la cybersécurité des collectivités cite une commune dont la remise en état des serveurs a coûté 58 000 euros, dont 13 000 euros pris en charge par l'assureur.
Le deuxième intérêt est l'accompagnement. Une petite collectivité n'a ni juriste spécialisé ni expert en investigation numérique. Le guide de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) sur les rançongiciels rapporte le témoignage d'une entreprise dont l'assureur a mis en relation, juste après l'attaque, avec des juristes et des experts en sécurité qui ont identifié l'origine de l'incident.
Le troisième intérêt est indirect. La souscription impose de répondre à un questionnaire sur les sauvegardes, l'authentification multifacteur ou les mises à jour : cet exercice révèle les faiblesses et pousse à les corriger. L'ANSSI range d'ailleurs l'évaluation de l'opportunité d'une assurance cyber parmi les mesures de réduction du risque.
Les limites existent. Le contrat ne rend pas les données, ne rétablit pas la confiance des usagers et ne couvre pas un risque mal déclaré. Le rapport du Sénat de mars 2024 cite le cas de Rueil-Malmaison, qui a renoncé à assurer le risque cyber sur le conseil de son assistant à maîtrise d'ouvrage, faute d'un marché suffisamment mûr. La décision relève donc d'une analyse de risques propre à chaque collectivité.

Question 3

Quel est le prix d'une assurance cyber ?

Accepted Answer

Aucune source publique ne donne de tarif de référence pour les collectivités territoriales. La prime dépend de la taille de la collectivité, de son budget, du nombre de postes, des plafonds et franchises demandés, et du niveau de sécurité déclaré dans le questionnaire de souscription.
Les données publiques disponibles portent sur les entreprises. L'étude LUCY 2026 de l'Association pour le management des risques et des assurances de l'entreprise (AMRAE), publiée en juillet 2026, observe pour 2025 une baisse marquée des taux de prime, de 32 % pour les grandes entreprises, et une diminution des franchises, dans un marché plus concurrentiel. Elle juge cet équilibre fragile face à la hausse des sinistres. Ces chiffres ne se transposent pas aux collectivités.
Pour les acheteurs publics, le rapport du Sénat de mars 2024 sur les problèmes assurantiels des collectivités décrit un marché de l'assurance des collectivités atrophié, avec des consultations infructueuses et des hausses tarifaires. Il porte d'abord sur l'assurance des biens, mais le même rapport cite une commune qui a renoncé à couvrir le risque cyber faute de marché suffisamment mûr.
Le prix réel se découvre donc par la mise en concurrence. Plusieurs paramètres le font varier :

le plafond de garantie, exprimé en euros par sinistre et par année d'assurance ;
la franchise, en euros ou en heures d'interruption avant prise en charge des frais supplémentaires ;
les sous-limites propres à certaines garanties ;
les mesures de sécurité en place : sauvegardes hors ligne, authentification multifacteur, outil de détection sur les postes.

Un groupement de commandes entre collectivités, ou le recours à une centrale d'achat, élargit le volume assuré et peut améliorer les conditions.

Question 4

Quelle assurance couvre les cyberattaques ?

Accepted Answer

Un contrat d'assurance cyber dédié est la solution la plus lisible. Les contrats classiques de dommages aux biens ou de responsabilité civile d'une collectivité couvrent mal ou pas du tout les conséquences d'une cyberattaque, ou le font de façon ambiguë : il faut vérifier leurs clauses avant tout sinistre.
Le rapport de la direction générale du Trésor de septembre 2022 sur le développement de l'assurance du risque cyber fait de la clarification des clauses des contrats traditionnels sa première priorité. Ces contrats ne mentionnent pas toujours le risque cyber, ni pour l'inclure ni pour l'exclure. En cas de sinistre, l'assuré découvre alors l'étendue réelle de sa couverture au moment où il en a besoin.
Pour une collectivité, trois situations se rencontrent :

un contrat cyber autonome, qui regroupe dommages propres, responsabilité civile et assistance, avec des plafonds et exclusions propres au risque numérique ;
une extension cyber ajoutée à un contrat de responsabilité civile ou de dommages aux biens, souvent avec des plafonds plus bas ;
aucune couverture, par choix ou faute de proposition des assureurs. Le rapport du Sénat de mars 2024 cite Rueil-Malmaison, qui a renoncé à assurer ce risque sur le conseil de son assistant à maîtrise d'ouvrage.

Quel que soit le contrat, l'article L12-10-1 du code des assurances s'applique : l'indemnisation d'une atteinte à un système de traitement automatisé de données exige une plainte déposée dans les 72 heures qui suivent sa connaissance. Ce texte vise les personnes morales, donc les collectivités, et les personnes physiques dans le cadre de leur activité professionnelle.
Avant de souscrire, la collectivité recense ses contrats existants et demande à son courtier ou à son assistant à maîtrise d'ouvrage une analyse écrite des garanties cyber qu'ils contiennent déjà.

Question 5

Qu'est-ce que l'assurance cyber responsabilité civile ?

Accepted Answer

C'est le volet d'une assurance cyber qui prend en charge les réclamations de tiers après un incident : usagers, agents ou partenaires dont les données personnelles ont été divulguées, ou victimes d'un virus propagé depuis le système de la collectivité. Elle couvre les indemnités dues et les frais de défense.
Une cyberattaque ne cause pas seulement un dommage à la collectivité. Elle peut en causer à d'autres :

des usagers dont l'état civil, la situation sociale ou les coordonnées bancaires sont publiés après un vol de données ;
des agents dont les données de paie ou de santé sont exposées ;
des partenaires (communes membres, fournisseurs, associations) contaminés par des courriels piégés envoyés depuis la messagerie compromise.

Ces personnes peuvent rechercher la responsabilité de la collectivité. Le guide publié en 2022 par Cybermalveillance.gouv.fr et la Commission nationale de l'informatique et des libertés (CNIL) juge plausible, à l'avenir, la mise en cause de la responsabilité administrative pour faute d'une collectivité qui n'aurait pas pris de mesures de sécurité suffisantes.
La garantie de responsabilité civile cyber finance la défense et les indemnités dans la limite du plafond. Elle se distingue de la responsabilité civile générale de la collectivité, qui vise les dommages corporels et matériels classiques et dont les clauses peuvent exclure les atteintes aux données.
Les amendes et sanctions pénales restent personnelles et ne sont pas assurables. Les élus et agents poursuivis sur le plan pénal, par exemple au titre de l'article 226-17 du code pénal sur la sécurité des données, relèvent d'autres mécanismes, comme la protection fonctionnelle.

Question 6

Quelle est la différence entre la cyberassurance et la cybersécurité ?

Accepted Answer

La cybersécurité réduit la probabilité et la gravité d'une attaque par des mesures techniques et organisationnelles. La cyberassurance transfère à un assureur une partie des conséquences financières de l'attaque qui a réussi malgré ces mesures. La première protège les systèmes, la seconde le budget.
Les deux ne se substituent pas l'une à l'autre :

la cybersécurité regroupe les sauvegardes, les mises à jour, l'authentification multifacteur, le cloisonnement du réseau, la supervision et la sensibilisation des agents. Elle évite l'incident ou en limite l'ampleur ;
la cyberassurance intervient après l'incident. Elle finance l'expertise, la restauration, les frais supplémentaires et les réclamations, dans la limite des plafonds et hors exclusions.

Elles sont pourtant liées. Le guide de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) sur les rançongiciels range l'évaluation d'une assurance cyber parmi les mesures de réduction du risque, au même titre que la sauvegarde ou le cloisonnement. Les assureurs, de leur côté, conditionnent la souscription et le tarif au niveau de sécurité déclaré : sans sauvegarde hors ligne ni authentification multifacteur, l'accès au marché devient difficile.
Une déclaration inexacte dans le questionnaire de souscription peut aussi réduire ou supprimer l'indemnisation. La cyberassurance rend donc visible, en euros, le niveau de cybersécurité de la collectivité.
Enfin, aucune assurance ne rend les données perdues ni ne rétablit un service à la place de l'équipe informatique. Le rapport de la direction générale du Trésor de 2022 recommande d'ailleurs de renforcer la sensibilisation au risque cyber en parallèle du développement de l'assurance. Une collectivité commence par sa sécurité, puis assure le risque qui subsiste.

Cas d’usage	Description	Bénéfices pour les collectivités
Passer un marché d'assurance cyber	Une collectivité fait appel à un assistant à maîtrise d'ouvrage pour définir ses besoins, recense les garanties cyber déjà présentes dans ses contrats et recourt à la procédure avec négociation, seule ou en groupement de commandes. Retour d'expérience à venir sur ce cas d'usage.	Un contrat ajusté au profil de risque, moins de consultations infructueuses.
Préparer le questionnaire de souscription	Avant de consulter les assureurs, une collectivité vérifie ses sauvegardes hors ligne, active l'authentification multifacteur et documente ses mesures de sécurité. Retour d'expérience à venir sur ce cas d'usage.	Un niveau de sécurité relevé et une déclaration exacte qui protège l'indemnisation.
Activer la garantie après une attaque	Une collectivité victime dépose plainte dans les 72 heures, déclare le sinistre et s'appuie sur les experts mandatés par l'assureur pour l'investigation et la restauration. Retour d'expérience à venir sur ce cas d'usage.	Une crise financée et accompagnée dès les premières heures.

Recherches récentes

Recherches populaires

Parcourir par étape

Autres ressources

Recherches populaires

Assurance cyber

Définition simple : qu'est-ce que l'assurance cyber pour une collectivité ?

Les enjeux de l'assurance cyber pour les collectivités

Définition technique : garanties et paramètres d'un contrat d'assurance cyber

Définition juridique et réglementaire de l'assurance cyber

Une souscription facultative

La plainte sous 72 heures, condition de l'indemnisation

Un marché public d'assurance

Questions fréquemment associées à Assurance cyber

Loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur (article 5 : assurance des risques de cyberattaques)

Rapport d'information sur les problèmes assurantiels des collectivités territoriales

Le développement de l'assurance du risque cyber

Attaques par rançongiciels, tous concernés : comment les anticiper et réagir en cas d'incident ?

Code de la commande publique, article R2124-3 : procédure avec négociation

Cybersécurité

RGPD

Comment la commune de Fumel (47) a-t-elle limité l'impact d’une cyberattaque grâce à son assurance ?

Pourquoi recourir à une assurance cyber pour limiter l’impact des cyberattaques ?

Vous souhaitez en savoir plus sur le numérique et l'IA ?

Votre avis nous intéresse

Si vous acceptez d'être recontacté au sujet de ce commentaire, merci de préciser votre email (politique de confidentialité)

Définitions