Le panorama 2025-2026 : une menace qui s'industrialise
Le Centre national pour la cybersécurité (NCSC) suisse a enregistré une hausse de 38% des incidents signalés par les PME entre 2024 et 2025. La tendance de fond : le ransomware-as-a-service (RaaS) a rendu les attaques accessibles à des groupes sans expertise technique propre — une PME de 12 collaborateurs est aussi ciblable qu'un grand groupe, parfois plus, car ses défenses sont plus faibles. Les trois vecteurs dominants : email de phishing (67% des incidents), accès à distance non sécurisé (RDP, VPN sans MFA) et prestataires tiers compromis (attaques supply chain).
Ce qu'une assurance cyber couvre réellement
Une police cyber bien structurée couvre quatre grands blocs. 1 — Frais de gestion de crise : forensique numérique (identifier l'attaque et son vecteur), notification des personnes concernées (obligation LPD en cas de violation de données), gestion des relations presse. 2 — Perte d'exploitation : indemnisation du chiffre d'affaires perdu pendant l'interruption (souvent le poste le plus lourd — 3 à 21 jours selon la gravité). 3 — Rançon : prise en charge ou remboursement de la rançon payée, avec accompagnement de négociateurs spécialisés. 4 — Responsabilité civile cyber : si vos données clients ou celles de tiers sont compromises, couverture des réclamations et frais de défense.
Ce qui n'est pas couvert — les exclusions fréquentes
Les exclusions standard à connaître : faute intentionnelle ou négligence grave (mot de passe "123456" non changé depuis 3 ans), attaques par un état-nation si votre secteur est critique, logiciels non patchés (mise à jour disponible depuis 6 mois ignorée), couverture si les sauvegardes n'étaient pas à jour. Certains assureurs exigent un audit de sécurité minimum (questionnaire + preuve de sauvegardes, MFA sur emails et accès distants) avant de couvrir. L'assurance cyber n'est pas un substitut à la sécurité de base — c'est le filet de sécurité après que les bonnes pratiques sont en place.
Comment évaluer votre besoin et choisir
Quatre critères de dimensionnement. 1 — Valeur des données : si vous stockez des données personnelles de clients (RGPD/LPD) ou des secrets commerciaux, votre exposition est haute. 2 — Dépendance à l'IT : si une interruption de 48h de votre système menacerait votre survie (e-commerce, SaaS, cabinet médical, fiduciaire), le montant d'indemnisation perte d'exploitation doit être calibré en conséquence. 3 — Chiffre d'affaires : en dessous de CHF 1M, une police de base est souvent suffisante. Au-delà, visez une couverture complète avec forensique incluse. 4 — Secteur régulé : finance, santé, avocats — des obligations légales spécifiques (LPD, DORA pour finance) peuvent imposer des couvertures minimales. Polia compare les principales offres cyber PME disponibles en Suisse.
