Cyber-audit préalable : les questions posées par l'assureur

Le cyber-audit préalable est l’examen technique et organisationnel demandé par l’assureur avant l’émission d’une police d’assurance cyber. Il vise à objectiver le niveau de sécurité de l’entreprise et à identifier les mesures indispensables à la souscription.

L’assurance cyber n’est plus un produit accessible à tout candidat. Depuis la vague de rançongiciels de 2020 à 2023, les assureurs ont durci considérablement leurs pratiques de souscription. Un questionnaire déclaratif détaillé, parfois complété par un audit technique externe, conditionne l’accès à la garantie et le montant de la prime. Les Petites et Moyennes Entreprises (PME) doivent comprendre les critères observés pour préparer efficacement leur dossier. Ce guide 2026 décortique le questionnaire type, identifie les critères éliminatoires, explique l’impact sur le tarif et propose une méthode de préparation en amont de la démarche.

Le questionnaire type de l’assureur

Le questionnaire cyber standard rassemble entre 40 et 120 questions organisées en une dizaine de rubriques. Les principales thématiques abordées en 2026 sont désormais bien stabilisées.

La première rubrique concerne l’authentification. L’assureur demande si l’authentification multi-facteurs, dite MFA pour Multi Factor Authentication, est activée sur tous les accès distants, sur la messagerie professionnelle et sur les comptes à privilèges. La réponse négative sur les comptes administrateurs est systématiquement bloquante.

La deuxième rubrique porte sur la détection et la réponse aux incidents. L’assureur vérifie la présence d’un logiciel EDR (Endpoint Detection and Response) ou XDR (Extended Detection and Response) sur l’ensemble du parc bureautique et serveur. Il demande si les alertes sont surveillées en continu, en interne ou via un prestataire de type SOC managé.

La troisième rubrique traite des sauvegardes. La règle 3-2-1 est devenue la norme attendue : 3 copies de la donnée, sur 2 supports différents, dont 1 conservée hors ligne ou immuable. La question clé est celle du test de restauration périodique, souvent la principale cause de refus lorsque la réponse est négative.

Les autres rubriques abordent le cycle de patch, la sensibilisation des salariés, la gestion des tiers, le plan de continuité et de reprise d’activité, la conformité au Règlement Général sur la Protection des Données (RGPD), et la maturité globale du système d’information.

Les critères éliminatoires en 2026

Trois familles de critères sont désormais éliminatoires pour la plupart des assureurs du marché français. Une réponse négative sur l’un d’eux entraîne un refus de souscription, avec parfois une seconde chance sous condition de remédiation.

• Absence de MFA sur les accès administrateurs et sur la messagerie professionnelle.
• Absence de sauvegardes testées selon la règle 3-2-1, avec au moins une copie hors ligne.
• Absence d’EDR ou d’antivirus nouvelle génération sur les postes de travail utilisateurs.

Deux critères supplémentaires sont devenus discriminants sans être systématiquement éliminatoires. Le premier est le délai moyen de correction des vulnérabilités critiques, dit cycle de patch. Un délai supérieur à 30 jours pour les vulnérabilités classées critiques par l’éditeur pénalise nettement le dossier. Le second est l’absence totale de programme de sensibilisation des collaborateurs, notamment sur le phishing.

Enfin, un antécédent de sinistre non déclaré ou une déclaration inexacte au questionnaire entraîne la nullité rétroactive du contrat en cas de sinistre ultérieur, conformément à l’article L. 113-8 du Code des assurances. La sincérité déclarative est donc cruciale.

Les recommandations techniques applicables sont détaillées dans les référentiels publiés par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI). Consultez notamment le guide d’hygiène informatique de l’ANSSI.

Impact sur la prime et la franchise

Le résultat de l’audit se traduit directement dans les conditions tarifaires. Les assureurs pratiquent une modulation qui peut aller de moins 40 % à plus 200 % par rapport à un barème de référence pour une entreprise de taille comparable.

Un dossier de bonne maturité, avec MFA généralisée, EDR déployé, backups testés régulièrement, plan de continuité formalisé et sensibilisation active des collaborateurs, obtient les meilleures conditions du marché. La prime peut être réduite de 25 à 40 %, la franchise abaissée et les plafonds de garantie relevés.

Un dossier moyen, présentant quelques faiblesses non éliminatoires, sera accepté aux conditions standards. Une surcotisation de 15 à 30 % est fréquente, avec une franchise majorée sur le péril rançongiciel spécifiquement.

Un dossier fragile sera soit refusé, soit accepté avec des exclusions ciblées, notamment sur la garantie rançongiciel et sur les frais de gestion de crise. La prime augmente alors sensiblement, sans que la couverture soit pour autant complète.

À partir de (TTC) : 1 800 € par an pour une PME de 20 salariés bien préparée, 4 500 à 8 000 € par an pour une entreprise industrielle de 100 salariés avec plan de remédiation en cours.

Besoin d’un devis personnalisé pour votre entreprise ? Demander un devis gratuit en 24 h →

Se préparer efficacement à l’audit

La préparation en amont du questionnaire fait souvent la différence entre un dossier accepté et un refus. Une démarche méthodique en quatre étapes permet d’aborder sereinement la souscription.

La première étape consiste à réaliser un auto-diagnostic interne, en s’appuyant sur les référentiels publics de l’ANSSI et sur les recommandations de la Commission Nationale de l’Informatique et des Libertés (CNIL). Le résultat identifie les écarts par rapport aux attentes standards du marché.

La deuxième étape consiste à mettre en œuvre les mesures rapides à impact fort. Le déploiement de la MFA sur la messagerie et les accès distants peut être réalisé en quelques semaines. Le remplacement d’un antivirus vieillissant par un EDR moderne prend un à trois mois. Le test de restauration des sauvegardes doit être formalisé dans un procès-verbal daté, réutilisable auprès de l’assureur.

La troisième étape porte sur la documentation. Un plan de continuité d’activité formalisé, même succinct, une politique de sécurité écrite, un registre des traitements RGPD à jour et un journal des incidents constituent la base attendue. Ces documents rassurent l’assureur sur la maturité organisationnelle réelle.

La quatrième étape consiste à préparer un dossier de souscription complet, avec captures d’écran des consoles d’administration, extractions de journaux et preuves de formation. Un dossier bien étayé accélère la souscription et améliore la négociation tarifaire. Pour approfondir le périmètre de la garantie, consultez notre dossier assurance cyber entreprise protection complète.

Certifications et bonnes pratiques

Certaines certifications et labels sont particulièrement valorisés par les assureurs. La norme internationale ISO 27001 sur le management de la sécurité de l’information reste la référence pour les entreprises de taille significative. Elle atteste d’une approche systémique et régulièrement auditée.

Le label ExpertCyber, porté par le dispositif Cybermalveillance.gouv.fr, est reconnu pour les prestataires informatiques et les petites structures. Il apporte une garantie sur la compétence du prestataire retenu pour la maintenance et la remédiation.

La qualification SecNumCloud, délivrée par l’ANSSI, s’adresse aux fournisseurs de services cloud et rassure sur la souveraineté et le niveau de sécurité de l’hébergement.

L’adhésion à un centre opérationnel de sécurité mutualisé, dit SOC, est un signal fort auprès des assureurs pour les entreprises de taille intermédiaire. Elle démontre une capacité de détection continue, indépendante des ressources internes.

Enfin, la souscription à un service de veille sur les vulnérabilités publié par le CERT-FR et l’inscription à une plateforme de partage d’informations sectorielle contribuent à la maturité globale du dispositif de sécurité.

L’essentiel à retenir

• Le questionnaire cyber comporte de 40 à 120 questions organisées autour de la MFA, de l’EDR, des backups et de la sensibilisation.
• Trois critères sont éliminatoires en 2026 : absence de MFA, absence de backups testés, absence d’EDR sur les postes.
• La prime peut varier de moins 40 % à plus 200 % selon le résultat de l’audit préalable.
• Un plan de remédiation à 3 ou 6 mois permet de surmonter un audit initialement défavorable.
• La certification ISO 27001 et la qualification ANSSI apportent les meilleures conditions du marché.

Demander un devis assurance entreprise

Vous préparez la souscription d’une assurance cyber ou renouvelez un contrat existant et souhaitez optimiser votre dossier avant l’audit assureur ? Nos experts vous accompagnent dans la préparation du questionnaire, l’identification des mesures prioritaires et la négociation tarifaire. Demander un devis gratuit en 24 h →.