Guide
Ce que demandent les questionnaires d’assurance cyber
Double authentification, droits d’administration, correctifs, systèmes obsolètes, sauvegardes : les questionnaires d’assurance cyber reviennent sur les mêmes thèmes. Voici ce qu’on vous demande, qui doit y répondre, et la règle des 72 heures le jour du sinistre.
Mis à jour le 18 octobre 2026 · Les chiffres sont sourcés en bas de page ; les appréciations sont celles d’IT CyberWall.
Pourquoi le questionnaire compte
Pour assurer un risque cyber, l’assureur vous demande de décrire vos protections. Vos réponses fondent le contrat : elles doivent être exactes, et vous devez pouvoir les démontrer après un sinistre. Les courtiers le disent : les assureurs attendent un « niveau de maturité suffisant » avant de couvrir une entreprise[1].
Ce qu’on vous demande
Les questions varient selon l’assureur. Un questionnaire publié par l’assureur Hiscox pour les entreprises de moins de 50 M€ de chiffre d’affaires porte notamment sur[2] :
| Thème | Exemple de question | Qui s’en occupe |
|---|---|---|
| Double authentification | Est-elle active pour les accès à distance et la messagerie en ligne ? | IT CyberWall |
| Droits d’administration | Sont-ils limités aux personnes qui en ont besoin ? | IT CyberWall |
| Correctifs | Les mises à jour de sécurité sont-elles installées sous 30 jours ? | IT CyberWall |
| Systèmes obsolètes | Utilisez-vous encore Windows XP ou Windows 7 ? | IT CyberWall |
| Paiements | Un virement exige-t-il une double validation ? | Votre organisation |
| Sauvegardes | Fréquence, copie déconnectée ou dans le cloud | WeDoBack |
Ce questionnaire date de 2019 ; ceux d’aujourd’hui sont en général plus détaillés, mais couvrent les mêmes thèmes. Les courtiers citent aussi la formation des salariés, le cloisonnement du réseau et un plan de réponse à incident[1]. Pour les journaux d’activité et la détection, préparez de quoi montrer ce qui est enregistré et qui le surveille.
Répondre juste
- Ne répondez pas « oui » par défaut. Une mesure partiellement en place (la double authentification sur la messagerie, mais pas sur le VPN) se décrit comme telle.
- Gardez les preuves : captures des réglages, liste des comptes d’administration, rapport de supervision des correctifs.
- Faites relire par votre prestataire les réponses techniques avant de signer.
Les questions sur les sauvegardes
Les exigences de sauvegarde et de reprise (fréquence, copie déconnectée, tests de restauration, délai de reprise) relèvent de votre prestataire de sauvegarde. WeDoBack explique dans son guide protéger ses sauvegardes contre un ransomware ce qu’il faut pouvoir démontrer.
Le jour du sinistre
Depuis le 24 avril 2023, l’indemnisation d’une atteinte à votre système d’information est conditionnée au dépôt d’une plainte dans les 72 heures suivant sa connaissance (article L. 12-10-1 du code des assurances)[3][4]. Notre guide rançongiciel : que faire dans les premières heures détaille la conduite à tenir.
Ce que fait IT CyberWall
Nous relisons avec vous les questions techniques, mettons en place ce qui manque (double authentification, comptes d’administration, correctifs, remplacement des systèmes obsolètes) et vous fournissons les preuves à joindre.
Votre assureur vous envoie un questionnaire ?
Nous relisons les questions techniques avec vous et mettons en place ce qui manque.
Sources
Sources consultées le 18 octobre 2026. Les tarifs des fournisseurs sont indiqués hors taxes, dans la devise et la région de la grille publiée, et peuvent évoluer : vérifiez toujours la page officielle avant de décider.
- Verspieren – Assurance risques cyber : la prévention en réponse à votre besoin d’assurance — www.verspieren.com/fr/node/584
- Hiscox – Assurance cyber, questionnaire de souscription (entreprises de moins de 50 M€ de CA, 2019) — www.hiscox.fr/courtage/sites/courtage/files/documents/questionnaire-cyberclear-moins50%20-24102019.pdf
- Gendarmerie nationale – 17Cyber, le réflexe cyber pour tous (2 avril 2026) — www.gendarmerie.interieur.gouv.fr/gendinfo/actualites/2026/17cyber-le-reflexe-cyber-pour-tous
- Direction générale du Trésor – FAQ sur l’obligation de dépôt de plainte en cas de cyberattaque (article L. 12-10-1 du code des assurances) — www.tresor.economie.gouv.fr/Institutionnel/Niveau2/Pages/39db1de3-1230-46a0-8e1b-d38a739e0885/files/9065d98f-099e-4eb4-9ba5-23b68cd50feb
La sauvegarde et la restauration sont opérées par WeDoBack.