Assurance et clients

Cyberassurance et questionnaire client : ce qu'on va vous demander.

Avant de vous couvrir, un assureur cyber vous pose des questions sur votre risque et attend des mesures de base : sauvegardes, protection contre les logiciels malveillants, accès à distance sécurisés, mises à jour, droits d'accès et procédures d'urgence. Vos clients demandent la même chose dans leurs questionnaires de sécurité. Dans les deux cas, il faut répondre vrai et pouvoir le prouver.

Que faut-il avoir en place pour être assurable ?

Il n'existe pas de liste unique : chaque assureur a son questionnaire et ses conditions. L'Association Suisse d'Assurances écrit toutefois que la mise en place de mesures basiques de sécurité est requise avant toute souscription d'une cyberassurance. Elle relaie six mesures de l'association Swiss Cyber Defense DNA, en précisant qu'il ne s'agit pas d'exigences minimales mais d'une liste de contrôle à affiner avec l'assureur, le courtier ou le prestataire informatique.

Le tableau reprend ces six mesures et les relie à ce que Ryze Cyber décrit sur son site. Une case vide vaut mieux qu'une promesse : ce qui n'est pas annoncé sur le site est noté comme tel.

Mesure (liste relayée par l'ASA)	Question du scan gratuit	Red Team (test)	Blue Team (protection)
1. Sauvegarde à jour, non modifiable, restauration testée	« Vos sauvegardes sont testées (vous avez déjà restauré un fichier) »	Non concerné : terrain Blue Team.	Formule Protection : durcissement des accès et des sauvegardes.
2. Protection contre les logiciels malveillants et formation du personnel	« L'équipe a été formée à reconnaître un email frauduleux »	Terrain « Emails et hameçonnage ».	Formule Protection : sensibilisation de l'équipe. L'installation d'un antivirus n'est pas décrite sur le site : à voir avec votre prestataire informatique.
3. Réseaux et accès à distance sécurisés (double authentification, VPN, Wi-Fi visiteurs séparé)	« La double authentification est activée sur vos emails et outils clés »	Audit complet : tests manuels web et accès. Terrain « Réseau et Wi-Fi ».	Formule Protection : durcissement des accès.
4. Matériel et logiciels à jour	« Les mises à jour des postes et du site sont faites chaque mois »	Scan externe : site et services exposés vus depuis internet.	Formule Veille : contrôle mensuel des points exposés.
5. Rôles et droits d'accès du personnel	« Les droits administrateur sont limités à quelques personnes »	Terrain « Comptes et accès » : mots de passe, double authentification, droits.	Formule Protection : durcissement des accès.
6. Procédures d'urgence définies et connues	« Vous savez qui appeler et quoi faire en cas d'attaque »	Non concerné : terrain Blue Team.	Terrain « Réponse à incident » : savoir qui appelle qui, avant le jour J.

Les formules et leurs prix sont affichés sur la page d'accueil. Pour la logique d'ensemble, voir Red Team et Blue Team.

Que se passe-t-il si je réponds mal au questionnaire de l'assureur ?

Le questionnaire de risque n'est pas une formalité. Les conditions d'un assureur suisse le montrent bien : celles de la cyberassurance PME de la Baloise (édition 2025) prévoient que le preneur d'assurance doit répondre aux questions sur le risque « de façon véridique et exhaustive ». En cas de manquement fautif, l'assureur peut résilier le contrat. Si le manquement influe sur la survenance ou l'ampleur d'un sinistre, il peut diminuer, voire refuser ses prestations.

Deux conséquences pratiques :

Ne cochez « oui » que pour ce qui est réellement en place aujourd'hui. « Prévu » n'est pas « fait ».
Gardez une preuve datée de chaque « oui » : capture d'écran du réglage, journal de restauration, rapport de test.

Lisez les conditions de votre propre contrat : elles seules font foi pour votre couverture.

Comment répondre au questionnaire de sécurité d'un client ?

Un client vous envoie souvent un questionnaire parce que la loi lui demande de s'assurer de ses fournisseurs. En Suisse, le responsable du traitement doit s'assurer que son sous-traitant est en mesure de garantir la sécurité des données (LPD, art. 9). Dans l'Union européenne, la directive NIS2 impose aux entités régulées de gérer la sécurité de leur chaîne d'approvisionnement (art. 21). Voir le détail sur la page obligations légales.

Une méthode en six étapes :

Lisez tout avant de répondre. Classez chaque question : oui, non, partiel, ne s'applique pas.
Répondez vrai. Un « non » accompagné d'une date de correction passe mieux qu'un « oui » que vous ne pouvez pas prouver.
Joignez des preuves. Un rapport de test récent en est une : le rapport de Ryze Cyber contient un résumé pour la direction, le périmètre et ses limites, les failles par gravité et un plan de correction par ordre de priorité.
Donnez un plan pour chaque « non ». Qui corrige, quoi, pour quand.
Demandez ce qui est bloquant. Tous les points n'ont pas le même poids pour votre client. Posez la question.
Gardez une version maîtresse. Le prochain questionnaire reprendra les mêmes thèmes.

Mon client peut-il m'imposer une certification ISO 27001 ?

C'est une exigence contractuelle : il peut la poser comme condition, et vous pouvez la discuter. Avant d'engager une certification, demandez-lui s'il accepte une autre preuve pour un fournisseur de votre taille, par exemple un rapport de test d'intrusion récent accompagné de son plan de correction. La décision lui appartient. Ryze Cyber ne délivre pas de certification.

Par quoi commencer, concrètement ?

Par une étape qui ne coûte rien : le scan gratuit. Ses dix questions recoupent les thèmes de ces questionnaires (accès, données, équipe, outils IA et tests). Vous voyez en deux minutes les réponses « non » qu'il faudra traiter avant de signer quoi que ce soit.

Questions fréquentes

Un assureur cyber exige-t-il un test d'intrusion ?

Cela dépend de l'assureur et de la taille de l'entreprise. La liste de mesures relayée par l'Association Suisse d'Assurances ne cite pas le test d'intrusion. Posez la question à votre assureur ou à votre courtier avant de souscrire.

Quelles mesures un assureur regarde-t-il en premier ?

L'Association Suisse d'Assurances relaie six mesures : sauvegardes, protection contre les logiciels malveillants, réseaux et accès à distance sécurisés, mises à jour, rôles du personnel et procédures d'urgence. Chaque assureur a ensuite ses propres questions.

Que risque-t-on avec une réponse inexacte au questionnaire de l'assureur ?

Les conditions d'assurance que nous avons lues (Baloise, édition 2025) prévoient une obligation de déclaration véridique et exhaustive. En cas de manquement fautif, l'assureur peut résilier le contrat et, si le manquement influe sur le sinistre, diminuer ou refuser ses prestations. Vérifiez les conditions de votre contrat.

Un rapport de test suffit-il à la place d'ISO 27001 ?

Seul votre client peut le dire. Un rapport récent, avec son périmètre et un plan de correction, est une preuve concrète à proposer. Il ne remplace pas une certification si le contrat l'exige.

Le scan gratuit de Ryze Cyber vaut-il attestation pour un assureur ?

Non. C'est une auto-évaluation indicative, calculée sur vos réponses : rien n'est testé sur vos systèmes. Elle sert à repérer vos points faibles avant de remplir un questionnaire officiel.

Repérez vos « non » avant le questionnaire.

Le scan gratuit de Ryze Cyber est un questionnaire de 10 questions. Il prend deux minutes, le score s'affiche tout de suite et rien n'est testé sur vos systèmes.

Faire le scan gratuit →

Sources

Dernière mise à jour : 7 octobre 2026