Questionnaire d’assurance cyber : les mesures qu’une PME s’engage à respecter

Chez la Mobilière, les obligations sont écrites dans les conditions générales de cyberassurance, édition 01.2024 : une section en énumère cinq, et elle commence par « Dans le cadre de la cyberassurance, vous êtes tenu de prendre les mesures ci-après ».

Ces deux assureurs actifs en Suisse publient donc leurs listes, et ces lignes sont des obligations contractuelles. Les deux contrats écrivent ce qui se passe quand elles ne sont pas tenues. Un dirigeant qui remplit un questionnaire d’assurance cyber, à la souscription comme au renouvellement, répond donc à des questions dont la portée est écrite ailleurs que sur le formulaire.

Où se trouve la liste que vous signez

Chez Helvetia, la brochure explique d’où viennent ces mesures : Helvetia écrit les avoir développées « dans le respect des recommandations de l’Office fédéral de la cybersécurité (OFCS) et en collaboration avec différents spécialistes en sécurité informatique et en protection des données ». La page 4 porte l’intitulé « Consignes de sécurité organisationnelles et techniques », qui se découpe en trois mesures organisationnelles puis six mesures techniques. La page 5 ajoute quatre points : la passerelle entre le système informatique et celui qui pilote les machines, la déclaration de protection des données du site Internet, les prestataires externes, et le contrôle périodique.

La même liste figure dans les conditions générales d’Helvetia, sous l’intitulé « Règles de sécurité organisationnelles et techniques », introduite par « En outre les exigences minimales de prévention des sinistres suivantes doivent être satisfaites ». La brochure précise que ces dispositions minimales s’appliquent « en fonction de la taille et de la nature de votre entreprise ». La brochure sert à préparer la réponse ; le contrat porte l’engagement.

Chez la Mobilière, les cinq obligations tiennent en une page des conditions générales, et le contrat ajoute un devoir plus large : « Vous avez un devoir de diligence. Cela signifie que vous devez protéger les données assurées en prenant toutes les mesures nécessaires. »

La gestion des accès, et la place de l’authentification multifacteur

Trois des mesures d’Helvetia portent sur les accès. La première demande la « définition et implémentation d’une gestion des autorisations avec différents niveaux de pouvoirs », avec pour exemple l’accès lié à la fonction à des données financières, personnelles ou relatives à la clientèle. La deuxième demande la « définition et mise en œuvre d’une politique d’accès (Access Policy) ». La troisième, classée parmi les mesures techniques, demande la « mise en œuvre technique de la politique d’accès définie (Access Policy) et de la gestion des autorisations ».

L’authentification multifacteur ne figure comme telle dans aucune de ces trois lignes. Elle apparaît dans la définition qu’Helvetia donne de l’Access Policy, au glossaire de ses conditions générales : la politique d’accès « comprend à la fois des politiques traditionnelles de mot de passe et des méthodes d’authentification alternatives telles que l’authentification multifactorielle (MFA) », et ces directives « doivent être mises en œuvre à tous les niveaux de l’organisation ».

Du côté de la Mobilière, la quatrième obligation demande que les mécanismes de protection soient « toujours conformes au dernier état de la technique ainsi qu’aux recommandations du fabricant, en particulier pour ce qui est des mots de passe, des configurations du système et des pare-feu ». Le contrat renvoie donc à ce que recommande le fabricant. Pour un environnement Microsoft 365, cette recommandation est écrite : Microsoft recommande d’exiger l’authentification multifacteur pour tous les utilisateurs, et particulièrement pour les administrateurs.

Sur les autorisations, Microsoft recommande d’utiliser les rôles dotés du moins d’autorisations possible et de limiter le nombre d’utilisateurs qui en disposent, en particulier pour le rôle Global Administrator, dont les détenteurs ont, écrit-il, un accès presque illimité aux réglages de l’organisation et à la plupart de ses données. Sur la répartition de ces rôles entre vous et vos prestataires, voir qui possède votre tenant Microsoft 365.

Un rapport de Microsoft Entra ID donne le nombre d’utilisateurs capables d’authentification multifacteur, c’est-à-dire ceux qui sont à la fois enregistrés pour une méthode d’authentification forte et autorisés par la politique à l’employer : c’est ce chiffre qu’il faut demander. Microsoft écrit lui-même la limite de ce chiffre : il ne reflète pas les utilisateurs enregistrés pour l’authentification multifacteur en dehors de Microsoft Entra ID. Accéder à ce rapport demande une licence Microsoft Entra ID P1 ou P2.

La sauvegarde, et la vérification semestrielle qu’Helvetia demande

Les deux contrats demandent une sauvegarde, mais ils ne demandent pas la même.

Helvetia ajoute trois exigences que le tableau ne reprend pas. La sauvegarde « ne peut pas être écrasée avant un délai d’une semaine ». « La qualité de la sauvegarde des données doit être vérifiée au moins tous les 6 mois », avec pour exemples la comparaison du volume de données et la vérification de la fonctionnalité par échantillonnage. Et « il faut garantir à tout temps un accès soit aux données originales, soit aux données de sauvegarde ». Une sauvegarde qui se termine sans erreur toutes les nuits ne suffit donc pas à cette ligne.

Pour les données hébergées dans Microsoft 365, Microsoft 365 Backup couvre les sites SharePoint, les comptes OneDrive et les boîtes Exchange, avec une fenêtre de récupération configurable à trois mois, six mois, un an ou deux ans, et une facturation à la consommation plutôt qu’à la licence par utilisateur. Le caractère inaltérable a une limite. Le stockage fonctionne en append-only : le service ajoute des points de restauration sans jamais modifier ceux qui existent. Mais l’administrateur de l’outil peut les supprimer en quittant le service, et une période de grâce fixe de quatre-vingt-dix jours permet alors de les récupérer. Demandez qui détient ce rôle chez vous.

Les correctifs, et les systèmes sans correctif disponible

Les deux contrats fixent un délai de pose des correctifs de sécurité. Chez Helvetia, ce délai est de trente jours, « sauf si pour garantir la compatibilité des correctifs il est nécessaire d’investir plus de temps », et le contrat ajoute une consigne pour le cas où il n’existe pas de correctif : « Doivent être isolés les logiciels/systèmes pour lesquels les correctifs/mises à jour de sécurité ne sont pas disponibles. » Chez la Mobilière, le délai est de trente jours pour une vulnérabilité modérée ou élevée, et de quatorze jours pour une vulnérabilité critique.

Cette ligne ne se vérifie pas à l’écran. Il faut d’abord inventorier les logiciels et les équipements, puis comparer cet inventaire aux dates de fin de support publiées par chaque éditeur. Du côté Microsoft, ces dates sont publiques et centralisées dans les pages de cycle de vie. Microsoft y écrit que les produits plus anciens peuvent ne pas satisfaire aux exigences de sécurité actuelles et qu’il peut se trouver dans l’incapacité de fournir des mises à jour de sécurité pour eux. Pour les produits soumis à la Fixed Lifecycle Policy, la même page indique que des mises à jour de sécurité restent disponibles au-delà de la fin de support par le programme Extended Security Updates. La Fixed Lifecycle Policy ne couvre pas tous les produits, et Microsoft écrit que la page de cycle de vie de chaque produit donne ses dates.

La Mobilière ajoute une obligation d’analyse : en cas de vulnérabilité critique, il faut aussi analyser les systèmes concernés pour déterminer s’ils ont été exposés à un logiciel malveillant, mettre en place les mesures qui s’imposent, et informer l’assureur dans les meilleurs délais si l’exposition est établie.

La formation, les prestataires et le contrôle périodique

La troisième mesure organisationnelle d’Helvetia demande une « sensibilisation régulière et formation à la sécurité des personnes assurées en matière de cyber-risques ». La brochure indique dans la foulée qu’Helvetia propose sur son site une formation à la sécurité gratuite pour les collaborateurs de ses assurés.

Sur les tiers, la page 5 demande trois choses. Quand des tiers — des fournisseurs, par exemple — ont accès à votre système informatique et à vos données numériques, ou quand vous travaillez avec des prestataires externes sur des données numériques, vous devez d’abord vous assurer qu’ils respectent les lois de protection des données et les autres directives applicables. Ensuite, « vous devez disposer d’une garantie écrite de vos partenaires commerciaux ». Enfin, lors de l’utilisation de services cloud critiques pour l’entreprise, il faut s’assurer que les prestataires externes qui les fournissent disposent d’un plan d’urgence et d’un plan de continuité d’activité. Helvetia définit ces services critiques : les services cloud utilisés pour les processus commerciaux principaux et dont la disponibilité conditionne plus de 30 % du chiffre d’affaires ou du produit d’exploitation annuel.

Le dernier point de la page 5 porte sur la durée : « Toutes les mesures de sécurité doivent faire l’objet d’une vérification périodique. La technologie et les mesures organisationnelles doivent impérativement être à jour en permanence. »

Le plan de réponse à incident de l’entreprise elle-même n’apparaît dans aucune de ces deux listes. Ce que les contrats prévoient à la place, ce sont des obligations à respecter le jour du sinistre. La Mobilière en énumère plusieurs : informer l’assureur immédiatement et demander sa garantie de frais, mandater une entreprise spécialisée ou autoriser l’accès à celle que l’assureur a mandatée, et sauvegarder le matériel, les logiciels et les données concernés pour les mettre à disposition aussi longtemps que nécessaire.

Ce qui se passe si une réponse est inexacte

Deux situations ne se traitent pas au même endroit : la Mobilière consacre un article à la déclaration inexacte au moment de la proposition, et les deux contrats traitent l’obligation non tenue pendant le contrat.

Une déclaration inexacte. Les conditions de la Mobilière emploient le terme de réticence : « Nous pouvons résilier le contrat d’assurance si vous avez commis une réticence. C’est le cas si vous avez omis de déclarer ou déclaré de manière inexacte un fait important dans la proposition d’assurance. » Le même article précise l’effet sur les sinistres déjà survenus : la résiliation met fin à l’obligation de prestation « dans la mesure où le fait important qui a été l’objet de la réticence a influé sur la survenance ou l’étendue du sinistre », et les prestations déjà perçues sont à rembourser. L’assureur dispose de quatre semaines pour résilier à partir du moment où il a connaissance de la réticence.

Une obligation non tenue. Ici, les deux contrats décrivent une réduction proportionnelle, pas une perte de couverture. La Mobilière écrit qu’en cas de violation fautive, la prestation est réduite « dans la même mesure où vos actes ont influencé la survenance ou l’étendue du sinistre », et qu’il n’y a pas de réduction en l’absence de faute. Helvetia écrit de même que l’indemnité est réduite « dans la mesure où la survenance ou l’étendue du dommage en a été influencée », et que l’assureur n’est pas libéré de ses engagements si la violation ne peut pas être considérée comme fautive, ou si le preneur d’assurance prouve qu’elle n’a eu aucune influence « ni sur la survenance du sinistre ni sur l’étendue des prestations dues par l’entreprise d’assurance ». Les deux membres de cette seconde condition se prouvent ensemble.

Il reste un troisième cas : une réponse exacte peut cesser de l’être. Les deux contrats demandent d’annoncer immédiatement toute modification d’un fait important pour l’appréciation du risque, et Helvetia précise que sont considérés comme importants tous les faits sur lesquels elle a demandé des renseignements dans le formulaire de proposition. Une réponse donnée lors d’une souscription antérieure engage donc encore, et un changement d’outil, de prestataire ou d’organisation la fait cesser d’être exacte.

Notre lecture

Un questionnaire d’assurance cyber arrive avec une échéance, il tient sur une page, et il ressemble à une formalité administrative. La liste est dans le document que le formulaire cite, pas sur le formulaire. Si vous faites l’inventaire ligne par ligne avant de remplir le formulaire, vous avez pour chaque case un état de fait écrit — et c’est l’ordre que nous retenons : d’abord le document cité, ensuite l’inventaire, le formulaire en dernier.

Sur le fond, nous tranchons : cocher « oui » sans avoir vérifié n’apporte rien. Les deux contrats mesurent la réduction de prestation à l’influence réelle de la violation sur le sinistre, et l’un d’eux ajoute une voie de résiliation pour déclaration inexacte. Une case cochée à la légère n’améliore donc pas la couverture ; elle ajoute un motif de discussion au moment de l’indemnisation.

Ce qui change la réponse, c’est l’ampleur du décalage. Si l’inventaire montre une ou deux lignes à mettre à niveau, c’est un chantier de quelques semaines et il se traite en interne avec le prestataire habituel, dans le cadre d’un mandat d’infogérance s’il en existe un. Si l’inventaire montre qu’aucune des mesures n’est en place, le questionnaire n’est plus le sujet : la remise à niveau devient un projet à part entière, avec son budget et son calendrier, et l’assurance vient après.

La portée d’une réponse relève de votre assureur ou de votre courtier, et d’eux seuls. Un prestataire informatique peut établir l’état de fait — quels comptes, quelles sauvegardes, quels systèmes sans correctif — et cet état de fait est ce qui vous manque pour répondre. Il ne peut pas vous dire ce que l’assureur fera de votre réponse, et une réponse construite sur une interprétation contractuelle improvisée expose au même risque de réponse inexacte.

Ce que vous pouvez vérifier aujourd’hui

1. Retrouvez le document que votre questionnaire cite et lisez-le en entier. Chez Helvetia, c’est la brochure sur la cybersécurité, pages 4 et 5. Chez la Mobilière, c’est la section des obligations des conditions générales. Chez un autre assureur, la question du formulaire indique où regarder.
2. Connectez-vous à votre messagerie professionnelle depuis un appareil que vous n’utilisez jamais et regardez si un second facteur vous est demandé. Ce test prend deux minutes et il ne demande aucun droit particulier.
3. Demandez la liste des comptes qui détiennent un rôle d’administration, et celle des comptes exemptés d’authentification multifacteur. Une exemption n’est pas anormale ; ne pas savoir lesquelles existent, oui.
4. Demandez la date de la dernière vérification de la qualité de vos sauvegardes et son résultat écrit. Ce n’est pas la même chose que la date de la dernière sauvegarde réussie.
5. Demandez où se trouve la copie de vos données qu’une cyberattaque sur vos systèmes n’affecterait pas, et qui a le droit de la supprimer.
6. Demandez la liste des logiciels et équipements pour lesquels l’éditeur ne publie plus de correctifs de sécurité.
7. Relisez les réponses données au contrat précédent. Si l’une d’elles a cessé d’être vraie, les deux contrats demandent de l’annoncer.

Le deuxième point se fait seul. Les six autres tiennent dans un message à la personne qui exploite votre informatique, et les réponses attendues sont des documents.

Les sources

• Helvetia Cyber-assurance – Spécial PME, formulaire de proposition, édition du 1er juillet 2026
• Helvetia, brochure Cyber-assurance : prévenir les risques et protéger efficacement les entreprises
• Helvetia, Broschüre Cyber-Versicherung
• Helvetia Cyber-assurance, conditions générales d’assurance
• La Mobilière, Cyberassurance : informations à la clientèle et conditions générales, édition 01.2024
• About administrator roles in the Microsoft 365 admin center
• Authentication methods activity
• Overview of Microsoft 365 Backup
• Fixed Lifecycle Policy