Vidéo. Petite entreprise victime de ransomware : la perte d’exploitation cyber expliquée

Serveur chiffré, logiciel de caisse bloqué, site e-commerce hors ligne, messagerie inaccessible : pour une petite entreprise, un rançongiciel ne coûte pas seulement une remise en état informatique. Il coûte surtout des jours sans chiffre d’affaires. C’est précisément ce que couvre la perte d’exploitation cyber — à condition de respecter quelques règles dès les premières heures.

Les grandes attaques font la une, mais ce sont les petites structures qui paient le plus lourd tribut en proportion : l’ANSSI observe année après année que les TPE, PME et ETI constituent la catégorie de victimes la plus touchée par les rançongiciels. Une boutique avec un site marchand, un cabinet d’expertise comptable, une agence de voyages, un organisme de formation, une petite société de services : toutes dépendent aujourd’hui d’un logiciel de gestion, d’une messagerie et de fichiers partagés. Quand ils sont chiffrés, l’activité s’arrête. Decaux Assurances, courtier indépendant immatriculé à l’ORIAS et installé à Neuilly-sur-Seine, accompagne les petites entreprises dans le choix de leur assurance cyber auprès de partenaires assureurs spécialisés. Cet article se concentre sur la garantie qui fait le plus souvent la différence entre une crise surmontée et une entreprise fragilisée : la perte d’exploitation cyber. Comment elle se calcule, ce qu’elle couvre, et les conditions légales et contractuelles à respecter pour être indemnisé.

1. Ransomware dans une TPE : ce qui s’arrête vraiment

Le scénario type

Un vendredi soir, un salarié ouvre une pièce jointe piégée ou un attaquant exploite une vulnérabilité d’un équipement exposé sur Internet. Pendant le week-end, il se déplace dans le réseau, repère les sauvegardes et déclenche le chiffrement. Le lundi matin, plus rien ne fonctionne : les postes affichent une demande de rançon, le logiciel de gestion commerciale ne répond plus, la messagerie est inaccessible, parfois le site marchand renvoie une erreur. Les attaquants menacent en plus de publier les données volées.

Pour une petite entreprise, les conséquences s’enchaînent vite. Les commandes ne peuvent plus être saisies ni expédiées. Les rendez-vous ne peuvent plus être confirmés. Les factures ne partent plus. Le prestataire informatique habituel, souvent une petite structure lui aussi, n’a ni les outils ni la disponibilité pour mener seul une investigation et une restauration complète. Chaque journée d’arrêt se traduit par du chiffre d’affaires qui ne rentre pas, alors que les loyers, les salaires, les abonnements et les remboursements d’emprunt continuent de tomber.

L’ANSSI relève aussi un phénomène qui touche directement les petites structures : la compromission d’un prestataire (éditeur de logiciel, hébergeur) peut bloquer d’un coup tous ses clients. Votre entreprise peut donc subir un arrêt sans avoir été elle-même piratée.

Trois blocs de coûts à distinguer

Le premier bloc est celui des frais de réponse à incident : experts en investigation, restauration des systèmes, reconstitution des données, conseil juridique, et parfois communication de crise pour rassurer clients et partenaires. Ce sont des dépenses immédiates, qu’il faut engager dans l’urgence, souvent avant d’avoir une idée précise de l’étendue des dégâts.

Le deuxième bloc est la perte d’exploitation : la marge que l’entreprise n’a pas réalisée parce qu’elle ne pouvait plus travailler normalement, et les frais supplémentaires engagés pour limiter l’arrêt (location de matériel, heures supplémentaires, recours à un prestataire temporaire, saisie manuelle). C’est ce bloc que les dirigeants sous-estiment le plus, parce qu’il ne se voit pas sur une facture : il se voit sur le compte bancaire, plusieurs semaines après.

Le troisième bloc concerne les responsabilités : notification des personnes dont les données ont été exposées, réclamations de clients ou de partenaires, éventuelles enquêtes de l’autorité de contrôle. Une assurance cyber complète traite ces trois blocs. Mais pour une TPE, c’est le deuxième qui détermine souvent la capacité à passer le cap.

2. La perte d’exploitation cyber : comment elle se calcule

Les paramètres qui font l’indemnité

Comme en assurance de dommages classique, la perte d’exploitation cyber repose sur quelques paramètres qu’il faut comprendre avant la souscription. La période d’indemnisation est la durée maximale pendant laquelle les pertes sont prises en charge après l’incident. Le délai de carence, exprimé en heures, est la durée d’interruption en dessous de laquelle aucune perte n’est indemnisée : il évite de déclarer les micro-coupures. Le montant de garantie plafonne l’indemnité totale.

L’indemnité elle-même est généralement calculée à partir de la marge brute perdue : le chiffre d’affaires qui n’a pas été réalisé, diminué des charges que l’entreprise n’a pas eu à engager du fait de l’arrêt (achats de marchandises non consommées, par exemple). Autrement dit, l’assurance cherche à replacer l’entreprise dans la situation financière où elle se serait trouvée sans l’attaque, en tenant compte de sa saisonnalité et de sa tendance. S’y ajoutent les frais supplémentaires d’exploitation engagés pour continuer à fonctionner en mode dégradé.

Pour une TPE, deux points méritent une attention particulière. Le premier est la justification des pertes : sans comptabilité à jour, historique de ventes et tableaux de bord, il est plus difficile de démontrer la perte réelle. Le second est la durée : une restauration complète, avec des données partiellement perdues et des clients à reconquérir, prend souvent plus de temps que prévu. Une période d’indemnisation trop courte laisse une partie de la perte à votre charge.

Prenons l’exemple, purement illustratif, d’un commerce qui réalise l’essentiel de ses ventes en ligne. Après l’attaque, le site est coupé plusieurs jours, le temps de vérifier qu’il n’a pas été compromis. Une fois remis en ligne, les commandes reprennent lentement : une partie des clients est allée ailleurs, les campagnes marketing ont été suspendues, le service client doit répondre aux inquiétudes. La perte ne s’arrête donc pas le jour où les serveurs redémarrent. Un contrat bien calibré tient compte de cette phase de reprise, pendant laquelle l’activité reste inférieure à la normale.

La même logique vaut pour un cabinet de professions libérales. Sans accès aux dossiers, les rendez-vous sont reportés, les échéances clients ne sont pas tenues, les collaborateurs sont payés sans pouvoir produire. La perte de marge est alors réelle, même si le cabinet n’a « rien vendu » en moins au sens commercial. Le rôle du courtier est de traduire ce fonctionnement en paramètres d’assurance compréhensibles.

Erreur humaine, prestataires, indemnisation simplifiée

La perte d’exploitation cyber n’est pas réservée aux attaques malveillantes. Dans le contrat que nous proposons, elle couvre aussi l’interruption des systèmes causée par une erreur humaine, par exemple une mauvaise manipulation qui efface une base de données ou une mise à jour qui paralyse le réseau. C’est un point à vérifier dans tout contrat, car de nombreux incidents informatiques ne sont pas des attaques.

La défaillance d’un prestataire informatique (hébergeur, éditeur de logiciel en ligne) est un autre cas important, puisque votre activité peut s’arrêter à cause d’une attaque qui ne vous visait pas. Selon les contrats, cette extension est incluse ou proposée en option : elle doit être explicitement discutée lors de l’étude si vous dépendez d’un logiciel en ligne pour facturer, vendre ou prendre des rendez-vous.

Enfin, pour les plus petites entreprises, certains contrats — dont celui que nous proposons — prévoient un mode d’indemnisation simplifié de la perte d’exploitation, fondé sur un plafond journalier, avec une procédure allégée et la possibilité d’engager certains frais d’urgence sans attendre l’accord préalable de l’assureur. Les conditions d’accès (notamment le chiffre d’affaires) et les limites sont précisées lors de l’étude. Pour une TPE sans direction financière, cette simplicité est un atout réel.

3. Plainte, CNIL, assureur : les délais qui conditionnent l’indemnisation

La plainte sous 72 heures : une condition légale

La loi d’orientation et de programmation du ministère de l’Intérieur du 24 janvier 2023 a créé l’article L12-10-1 du Code des assurances. Il prévoit que le versement d’une indemnité en application d’une clause d’assurance couvrant les pertes et dommages causés par une atteinte à un système de traitement automatisé de données est subordonné au dépôt d’une plainte de la victime, au plus tard 72 heures après la connaissance de l’atteinte. Le texte vise les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle.

Concrètement, cela signifie que même avec le meilleur contrat du marché, une plainte déposée trop tard peut compromettre l’indemnisation. La plainte peut être déposée auprès d’un commissariat, d’une brigade de gendarmerie ou par écrit au procureur de la République. Le dispositif national d’assistance aux victimes, Cybermalveillance.gouv.fr, rappelle cette obligation et recommande de conserver toutes les preuves techniques de l’incident pour les enquêteurs.

Dans l’urgence d’un lundi matin sans informatique, cette démarche passe facilement au second plan. C’est pourquoi elle doit figurer noir sur blanc dans votre procédure de crise, avec le nom de la personne chargée de la mener.

CNIL, assistance, déclaration : l’ordre des priorités

Si l’attaque a pu exposer des données personnelles (clients, salariés, patients, stagiaires), le RGPD impose au responsable de traitement de notifier la violation à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes. Si le délai est dépassé, la notification doit expliquer les motifs du retard. La CNIL permet une notification initiale suivie d’un complément une fois les investigations avancées.

Côté assurance, le premier appel doit aller à la ligne d’assistance de votre contrat cyber si elle existe. Dans le contrat que nous proposons, une assistance est joignable 24 heures sur 24 et 7 jours sur 7 : elle mobilise un expert en sécurité informatique, un avocat et, si besoin, un spécialiste de la communication de crise. Ce sont ces experts qui vous aident à contenir l’attaque, à préserver les preuves, à préparer la plainte et la notification CNIL.

Enfin, la déclaration de sinistre formelle doit être faite dans le délai prévu au contrat. Votre courtier vous accompagne dans cette déclaration et dans le suivi du dossier ; c’est votre assureur qui gère le sinistre et indemnise.

4. La rançon : pourquoi ne rien payer avant d’avoir déclaré

Payer ne règle pas le problème

Face à des écrans bloqués et à un compte à rebours, la tentation de payer est compréhensible. Pourtant, Cybermalveillance.gouv.fr recommande clairement de ne pas payer. D’abord parce que rien ne garantit l’obtention d’une clé de déchiffrement fonctionnelle, ni la suppression des données volées. Ensuite parce qu’une entreprise qui a payé une fois est identifiée comme une cible rentable. Enfin parce que le paiement alimente l’écosystème criminel.

Surtout, payer ne dispense pas du travail de fond : il faut de toute façon identifier la porte d’entrée, nettoyer les systèmes, changer les accès et restaurer proprement. Une clé de déchiffrement ne fait pas disparaître l’attaquant du réseau. Les experts mobilisés par l’assistance d’un contrat cyber évaluent d’abord les possibilités de restauration à partir des sauvegardes, qui restent la meilleure réponse à un rançongiciel.

Il faut aussi savoir que beaucoup d’attaques pratiquent la « double extorsion » : les données sont chiffrées, mais aussi copiées, et les attaquants menacent de les publier. Payer pour éviter la publication ne donne aucune garantie que les données seront réellement supprimées. Dans ce cas, la priorité est de mesurer quelles données ont pu être exfiltrées, d’informer si nécessaire les personnes concernées et la CNIL, et de préparer la communication vis-à-vis des clients. Ce sont précisément les missions des avocats et spécialistes de la communication de crise mobilisés par l’assistance d’un contrat cyber.

Ce que prévoit l’assurance

Le Code des assurances ne prévoit pas d’interdiction générale d’assurer les conséquences d’une cyber-extorsion : l’article L12-10-1 encadre l’indemnisation en la subordonnant au dépôt de plainte. Certains contrats cyber comportent d’ailleurs une garantie « cyber-extorsion ». Mais cette garantie n’est pas un chèque en blanc : elle fonctionne en lien étroit avec l’assureur et ses experts, et les contrats excluent le paiement d’une rançon effectué avant la déclaration du sinistre.

La logique est simple : l’assureur doit pouvoir évaluer la situation, vérifier les alternatives (restauration, déchiffrement par d’autres moyens), et s’assurer que les démarches légales sont respectées. Un paiement effectué seul, sans déclaration préalable, prive l’assureur de cette possibilité et vous expose à un refus de garantie, non seulement pour la rançon elle-même mais potentiellement pour d’autres postes.

La règle pratique à inscrire dans votre procédure de crise est donc : aucun contact avec les attaquants, aucun paiement, avant d’avoir appelé l’assistance et déclaré le sinistre.

5. Ce que couvre un bon contrat cyber pour une petite entreprise

Les garanties à rechercher

Le contrat que nous proposons aux petites entreprises s’organise autour de quatre volets. L’assistance, d’abord, avec une ligne joignable en permanence et un panel d’experts (sécurité informatique, avocat, communication de crise, récupération de données). Les dommages subis, ensuite : frais liés à une violation de données (notification des personnes, centre d’appel), atteinte aux données, perte d’exploitation et frais supplémentaires. La responsabilité envers les tiers, pour les réclamations de clients ou de partenaires dont les données ont été exposées ou qui ont été touchés par un virus transmis depuis vos systèmes. Enfin, la défense et la prise en charge des sanctions légalement assurables en cas d’enquête d’une autorité.

La cyberfraude (faux ordre de virement, usurpation d’un fournisseur, fraude au président) est un risque distinct : selon les contrats, elle est proposée en option et doit être demandée explicitement. C’est souvent le premier sinistre cyber d’une petite entreprise, avant même le rançongiciel.

Attention enfin à la confusion fréquente avec la multirisque professionnelle. La perte d’exploitation d’une MRP est en général déclenchée par un dommage matériel (incendie, dégât des eaux). Une attaque informatique qui ne détruit rien physiquement ne l’active pas, sauf extension spécifique. De même, la RC Pro couvre votre responsabilité envers vos clients, pas vos propres pertes.

Pour les entreprises qui ont déjà une RC Pro auprès de nos partenaires, la garantie cyber peut, selon les cas, être souscrite dans la même police. Cette combinaison simplifie la gestion : un seul interlocuteur, une seule échéance, et moins de risque de « trou » entre ce que couvre la RC Pro (votre responsabilité quand un client subit un préjudice) et ce que couvre la cyber (vos propres pertes et vos obligations envers les personnes dont les données sont exposées). Qu’elle soit combinée ou autonome, l’essentiel est que les deux garanties soient pensées ensemble, avec des plafonds cohérents.

Les exclusions et conditions à connaître

Un contrat cyber n’est pas une garantie illimitée. Parmi les exclusions classiques : la reconstitution de données en l’absence de sauvegardes régulières (certains contrats exigent par exemple une sauvegarde au moins mensuelle), le paiement d’une rançon avant déclaration, les dommages matériels et corporels, les conflits armés, les défaillances des fournisseurs d’énergie ou de télécommunications, et les manquements purement contractuels. Le questionnaire de souscription porte aussi sur vos mesures de sécurité : sauvegardes, mises à jour, authentification, antivirus. Des réponses inexactes fragilisent la garantie.

C’est pourquoi passer par un courtier est utile : Decaux Assurances vous aide à répondre au questionnaire avec exactitude, à dimensionner la période d’indemnisation et le montant de garantie en fonction de votre chiffre d’affaires réel et de votre dépendance au numérique, et à choisir les options pertinentes (cyberfraude, défaillance de prestataire). Nous comparons les propositions de nos partenaires assureurs et vous expliquons ce qui est couvert et ce qui ne l’est pas. En cas de sinistre, votre assureur gère et indemnise ; nous restons à vos côtés pour la déclaration et le suivi.

Enfin, l’assurance ne remplace pas la prévention. Les services associés au contrat (outils d’évaluation, sensibilisation) et les conseils de l’ANSSI — sauvegardes déconnectées, mises à jour, double authentification — réduisent à la fois le risque et la durée d’un éventuel arrêt. Une entreprise qui restaure ses données en deux jours plutôt qu’en deux semaines divise sa perte d’exploitation d’autant.

Tableau récapitulatif — quel contrat indemnise quoi après un ransomware ?

Top 5 des erreurs à éviter face à un ransomware

FAQ — Perte d’exploitation cyber : 6 questions clés

N’hésitez pas à solliciter Decaux Assurances pour une étude personnalisée sans frais. Nous dimensionnons votre assurance cyber et votre perte d’exploitation selon votre dépendance au numérique, et nous étudions si besoin votre multirisque professionnelle, votre RC Pro et votre assurance-crédit. Courtier indépendant immatriculé à l’ORIAS et installé à Neuilly-sur-Seine.