Refus de souscription, primes en forte hausse, exclusions à la clause près : les assureurs exigent désormais MFA, EDR, sauvegardes testées et plan de reprise. Nous vous aidons à devenir assurable — et à négocier votre contrat en sachant exactement ce que vos réponses engagent.
Vous ne savez pas où vous en êtes ? Commencez par notre pré-diagnostic cybersécurité en 12 questions: il couvre déjà plusieurs exigences types des assureurs.
Ce que les assureurs exigent
Ces exigences recoupent largement les obligations de gouvernance et de gestion des incidents de la directive NIS2 — voir notre page mise en conformité NIS2.
Les questionnaires d'assureurs commencent presque toujours par les mêmes exigences : authentification multifacteur généralisée — y compris sur les accès distants et les comptes à privilèges — et détection sur les postes. Nous objectivons ce qui est réellement en place et comblons les écarts avant la souscription.
Un assureur ne demande plus si vous avez des sauvegardes, mais si vous les avez déjà restaurées. Sauvegardes isolées, tests de restauration documentés, plan de reprise d'activité écrit : c'est ce qui transforme une déclaration en preuve.
Politique de sécurité, sensibilisation des équipes, procédure en cas d'incident, interlocuteur identifié : les assureurs évaluent votre capacité à réagir. Un dossier structuré sur ces points fait baisser la prime — ou évite le refus.
Déroulé de l'accompagnement
Les durées sont indicatives : elles dépendent surtout de l'écart entre votre situation actuelle et les exigences de l'assureur. Le cadrage initial les confirme.
semaines 1 à 2
Revue de votre posture face aux exigences récurrentes des assureurs : MFA, EDR, sauvegardes, PRA, gouvernance. Nous récupérons aussi votre questionnaire ou votre contrat actuel pour identifier les clauses qui vous engagent.
semaines 3 à 8
Correction des écarts qui provoquent refus ou surprimes : déploiement du MFA, mise en place ou test des sauvegardes, formalisation du PRA, sensibilisation de base. Vos équipes ou votre infogéreur exécutent, nous pilotons et vérifions.
semaines 9 à 10
Constitution du dossier de souscription avec les preuves à l'appui, préparation aux questions de l'assureur et appui à la négociation des garanties, franchises et exclusions — en connaissance de cause.
Budget
Fourchette indicative pour le diagnostic assurantiel et la préparation du questionnaire, hors travaux de remédiation. Comparez avec les autres lignes de notre grille des prix cybersécurité.
Et si le sinistre survient ?
L'assureur indemnise, mais le confinement, l'éradication et la reprise demandent une équipe d'intervention. Découvrez notre réponse à incident cybersécurité, le complément opérationnel de votre police d'assurance.
Questions fréquentes
Les exigences reviennent dans presque tous les questionnaires : MFA généralisé, solution de détection sur les postes, sauvegardes isolées et testées, plan de reprise, sensibilisation des équipes et procédure de gestion d'incident. Sans ces éléments, les dossiers sont refusés ou fortement surprimés.
À titre indicatif, à partir de 2 500 € HT selon périmètre pour le diagnostic assurantiel et la préparation du questionnaire, hors travaux de remédiation. Le cadrage initial fixe un devis ferme après revue de votre situation.
Nous préparons les réponses avec vos équipes et les appuyons sur des preuves techniques, mais la déclaration finale reste la vôtre : une réponse inexacte peut rendre le contrat inopposable au moment du sinistre. C'est précisément pour éviter cela que nous vérifions chaque point avant envoi.
Non, et les assureurs sont les premiers à le rappeler : le contrat conditionne l'indemnisation au maintien des mesures déclarées. Si le MFA promis n'est plus actif le jour du sinistre, la garantie peut tomber. L'assurance transfère une partie du risque financier, elle ne supprime pas le risque.
Un refus ou une surprime signale presque toujours des écarts précis : MFA incomplet, sauvegardes non testées, PRA absent. Le diagnostic assurantiel identifie ces points, la remédiation les corrige, et un dossier documenté permet de redéposer une demande dans de bien meilleures conditions.
Les deux démarches se recoupent largement sans être identiques : NIS2 encadre la gestion des risques et des incidents, l'assureur évalue des mesures précises et des preuves. Un dossier NIS2 bien tenu est un excellent socle pour un questionnaire d'assurance, et inversement.
Témoignages et résultats
Un dossier cyberassurance solide repose sur des preuves : MFA déployé, sauvegardes restaurées en test, PRA écrit. C'est exactement ce que nos missions de conseil produisent au quotidien.
Bibliotheque interne: 9 temoignages anonymises et 9 cas resultats disponibles.
Nous avions besoin d'un vrai pilotage, pas d'un audit de plus. Le RSSI externalisé a remis de l'ordre, arbitré les priorités et rendu les sujets cyber enfin exploitables en comité de direction.
DSI
ETI industrielle · 250 à 500 collaborateurs
RSSI externalisé
Feuille de route 12 mois, comités structurés, remédiation suivie
Ce qui a fait la différence, c est la capacité à parler gouvernance, risque tiers et preuves attendues sans noyer les équipes dans un discours réglementaire abstrait.
Responsable risques et conformité
Banque / assurance · 300 à 800 collaborateurs
Trajectoire DORA / NIS2
Cadrage des écarts, plan de travail par priorité, sponsors identifiés
Cadre commercial
PME avec peu de ressources internes qui devait arbitrer entre audit ponctuel, accompagnement RSSI et besoin de détection.
Choix d un niveau d engagement cohérent avec la maturité, les contraintes et les objectifs de preuve.
Financement
Diagnostic financé obtenu, mais besoin d aller au-delà du livrable initial pour sécuriser l exécution et le suivi.
Passage d un état des lieux à une feuille de route exploitable avec responsabilités et séquencement.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.