Questionnaire cyber assureur : les 12 prérequis pour être assurable (MFA, sauvegardes, EDR…)

Un questionnaire d'assurance cyber vérifie une douzaine de mesures de sécurité, dont trois sont éliminatoires en 2026 : l'authentification multifacteur sur tous les accès sensibles, une détection sur les postes et serveurs (EDR) et des sauvegardes hors ligne testées. Sans ces trois-là, la plupart des assureurs refusent de coter, ou couvrent avec des exclusions qui vident le contrat de son sens. Les neuf autres prérequis ne décident pas de l'accès au marché, mais de votre prime, de votre franchise et de vos plafonds. La bonne nouvelle pour un CTO : tout cela se met en place en un mois, avec des preuves à l'appui.

À quoi sert le questionnaire d'assurance cyber et pourquoi est-il éliminatoire ?

Le questionnaire est la déclaration du risque prévue par l'article L113-2 du Code des assurances : l'assureur pose des questions précises, vous répondez, et il tarife sur cette base. Il tient lieu d'audit, sans visite, en 20 à 80 questions.

Il engage. L'article L113-8 sanctionne la fausse déclaration intentionnelle par la nullité du contrat, primes acquises à l'assureur. L'article L113-9 prévoit, pour une omission de bonne foi découverte après un sinistre, une réduction de l'indemnité proportionnelle à la prime qui aurait été due. Cocher « MFA déployée » alors qu'elle ne couvre que la messagerie peut donc vous coûter l'indemnisation le jour où un compte administrateur est piraté.

Quels sont les 12 prérequis d'assurabilité cyber en 2026 ?

Les mêmes douze mesures reviennent chez les assureurs actifs sur les PME françaises : trois éliminatoires, six qui pèsent sur le tarif, trois qui conditionnent l'accès à certaines garanties.

La logique de ce classement rejoint le Panorama de la cybermenace 2025 publié par l'ANSSI en mars 2026 : sur les 128 compromissions par rançongiciel traitées en 2025, 48 % visaient des TPE, PME ou ETI, contre 37 % un an plus tôt. L'assureur cherche à savoir si vous en êtes la cible facile.

Pourquoi la MFA, l'EDR et les sauvegardes sont-ils les trois éliminatoires ?

Parce qu'ils correspondent aux trois étapes d'une attaque par rançongiciel : entrer, se déplacer, détruire. L'authentification multifacteur (MFA) exige, en plus du mot de passe, une seconde preuve d'identité : code temporaire, notification sur téléphone ou clé physique. Elle neutralise la majorité des intrusions par identifiants volés, or le piratage de compte est devenu la première menace des professionnels selon Cybermalveillance.gouv.fr, avec 21 % des demandes d'assistance en 2025, en hausse de 52 %.

L'EDR (Endpoint Detection and Response) est un agent installé sur chaque poste et serveur qui surveille les comportements anormaux, isole une machine compromise et conserve la trace de l'attaque, là où l'antivirus classique ne reconnaît que des signatures connues. Le MDR y ajoute une équipe de surveillance permanente.

Les sauvegardes hors ligne ou immuables sont des copies de vos données qu'aucun attaquant ni compte administrateur compromis ne peut chiffrer ou effacer : support déconnecté, stockage verrouillé en écriture, ou coffre cloud isolé. C'est la seule garantie de redémarrer sans payer de rançon. L'assureur veut la date du dernier test de restauration complet.

Un questionnaire cyber n'est pas un examen que l'on cherche à réussir, c'est l'inventaire des preuves que vous présenterez le jour où vous demanderez à l'assureur de payer.

Comment répondre au questionnaire sans fragiliser son contrat ?

Répondez à la question posée. « MFA sur tous les accès distants » signifie tous, y compris le VPN du prestataire de maintenance. Si la couverture est partielle, écrivez-le et datez le plan de déploiement : un assureur accepte une mesure en cours avec une échéance, il n'accepte pas une surprise après sinistre.

Joignez des preuves datées : export de console EDR, politique d'accès conditionnel, rapport de restauration, compte rendu de l'exercice de crise. Faites relire le questionnaire par la personne qui administre réellement l'infrastructure, et conservez une copie signée : c'est la pièce que l'expert comparera à la réalité en cas de sinistre.

Comment passer de « refusé » à « assurable » en 30 jours ?

Un refus signale l'absence d'un ou plusieurs éliminatoires. Pour une entreprise de 20 à 150 postes sous Microsoft 365 ou Google Workspace, le plan suivant tient dans un mois.

Ce plan s'inspire du guide d'hygiène informatique de l'ANSSI, dont les 42 mesures couvrent l'ensemble des questionnaires du marché. Pour une scale-up, la même feuille de route sert de socle aux exigences de vos clients grands comptes et aux obligations NIS2 ou DORA.

Combien coûte une assurance cyber une fois les prérequis en place ?

Pour une PME française, les ordres de grandeur observés en 2026 vont de 1 000 à 3 000 euros par an entre 10 et 50 salariés, et de 3 000 à 10 000 euros au-delà, pour des plafonds de 1 à 5 millions d'euros. À taille égale, l'écart entre un dossier complet et un dossier à moitié rempli se compte en dizaines de pourcents sur la prime, et se lit aussi dans la franchise.

L'étude LUCY 2026 de l'AMRAE relève une baisse moyenne de 32 % des primes des grandes entreprises sur 2025, mais des sinistres indemnisés passés de 54,5 à 83,2 millions d'euros. Les assureurs compensent cette tension par la sélection : les prérequis sont la contrepartie des prix bas.

Que se passe-t-il au renouvellement du contrat cyber ?

Le questionnaire revient chaque année, souvent enrichi : sauvegardes immuables, rétention des journaux, comptes de service, usage d'outils d'IA générative, surveillance des fournisseurs. Un changement de périmètre en cours de contrat (filiale, migration cloud, croissance de l'effectif) doit être déclaré sous quinze jours (article L113-2, 3°), sous peine de retomber dans le régime des articles L113-8 et L113-9. Les entreprises SaaS sont particulièrement exposées, leurs clients exigeant en parallèle une attestation à jour.

Questions fréquentes

Un assureur peut-il refuser une assurance cyber à une PME ?

Oui, fréquemment quand la MFA, l'EDR ou les sauvegardes hors ligne manquent. Une fois les trois mesures en place, avec preuves datées, le dossier peut être représenté.

La MFA est-elle obligatoire pour être assurable ?

En pratique oui, sur les accès distants, la messagerie, les comptes administrateurs et les consoles cloud. Certains contrats acceptent une couverture partielle assortie d'une exclusion des sinistres liés aux comptes non protégés, ce qui revient à ne pas couvrir le risque principal.

Que risque-t-on en cas d'erreur dans le questionnaire ?

Une erreur de bonne foi entraîne une réduction proportionnelle de l'indemnité (article L113-9 du Code des assurances). Une fausse déclaration intentionnelle entraîne la nullité du contrat (article L113-8), l'assureur conservant les primes.

Un audit ou une certification remplace-t-il le questionnaire ?

Non, mais un audit récent ou une certification ISO 27001 facilite la souscription et justifie une prime plus basse. Le questionnaire reste votre déclaration contractuelle.

Chez Lesto, nous lisons votre questionnaire avant l'assureur : nous identifions les réponses qui bloquent, priorisons les mesures qui débloquent une cotation et présentons votre dossier, preuves à l'appui, à neuf assureurs en moyenne. Vous avez reçu un refus ou une prime qui ne reflète pas votre niveau de sécurité ? Découvrez notre offre d'assurance cyber et obtenez une analyse en 72 heures.