Assurance cyber pour startups
Réponse courte
Pour une startup SaaS, l'assurance cyber se joue sur trois points. Son assurabilité d'abord : sans sauvegardes testées et authentification multifacteur, le risque est refusé. Le volet responsabilité ensuite, qui indemnise les clients dont les données ont été exposées — souvent plus important que ses dommages propres. Et l'exclusion habituelle des pannes imputables à un fournisseur externe, décisive quand toute l'infrastructure est chez un hébergeur tiers.
À partir de quand une startup doit-elle souscrire une assurance cyber ?
Le déclencheur n'est pas le chiffre d'affaires, mais le moment où des données qui ne lui appartiennent pas transitent par ses systèmes.
-
Dès que le MVP collecte des données réelles
Une bêta ouverte à quelques dizaines d'utilisateurs traite déjà des données personnelles. Les obligations du RGPD s'appliquent indépendamment du chiffre d'affaires, y compris l'obligation de notifier une violation à l'autorité dans les 72 heures.
-
Au premier client B2B avec engagement de disponibilité
Dès qu'un contrat comporte un niveau de service, des pénalités ou une clause de sécurité, l'incident technique devient un manquement contractuel. La responsabilité envers le client prend le pas sur le dommage propre.
-
Au premier questionnaire de sécurité d'un grand compte
Les directions achats et les RSSI envoient des questionnaires avant référencement. Ils portent sur les mêmes points que ceux qu'un assureur examine — sauvegardes, authentification, gestion des accès — et révèlent souvent les écarts en même temps.
-
Avant la levée de fonds
Une due diligence technique et juridique examine la conformité RGPD, les engagements pris aux contrats clients et la couverture d'assurance. Un écart se traduit en condition suspensive plutôt qu'en abandon, mais se négocie alors sous contrainte de calendrier.
Pourquoi une startup peut se voir refuser une assurance cyber
Assurabilité
L'assurance cyber n'est pas un produit de guichet. Les assureurs conditionnent l'acceptation du risque à un socle minimal : sauvegardes régulières, testées et isolées du réseau, authentification multifacteur sur les accès distants et les comptes à privilèges, systèmes à jour, sensibilisation des équipes. Une startup qui ne remplit pas ce socle est refusée, ou acceptée avec des exclusions qui vident la garantie.
Le point le plus fréquemment défaillant est la sauvegarde. Beaucoup d'équipes techniques considèrent la réplication d'une base de données comme une sauvegarde, alors qu'un chiffrement malveillant se réplique aussi. Ce que l'assureur cherche, c'est une copie isolée, restaurable et dont la restauration a été testée. L'absence de sauvegardes adéquates figure fréquemment en clause d'exclusion, et la garantie de reconstitution des données ne couvre alors que le coût de retour à la dernière sauvegarde disponible — c'est-à-dire rien s'il n'y en a pas.
Le deuxième point est l'authentification multifacteur sur les comptes à privilèges. Dans une startup, les accès d'administration sont souvent larges et partagés entre quelques personnes, pour des raisons de vitesse. C'est précisément le vecteur qu'un attaquant recherche, et l'un des rares éléments qu'un assureur vérifie de manière binaire.
La bonne nouvelle est que ces mesures pèsent aussi sur le prix. Une entreprise dotée de sauvegardes testées et d'une authentification multifacteur obtient des conditions sensiblement meilleures qu'une organisation de même profil sans ces mesures. Le guide de l'assurance cyber détaille l'ensemble du socle attendu à la souscription.
Pourquoi le volet responsabilité compte plus que les dommages propres
Point de vigilance
Un contrat cyber se lit sur deux volets. Les dommages propres financent la remise en état de la startup : investigation, reconstitution des données, perte d'exploitation, gestion de crise. Le volet responsabilité indemnise les tiers dont les données ont été exposées. Pour une SaaS B2B, c'est le second qui porte l'exposition la plus lourde.
La raison est structurelle : une startup SaaS héberge les données de ses clients professionnels, qui sont eux-mêmes responsables de leurs propres utilisateurs. Une fuite ne produit pas un préjudice, mais une cascade de préjudices, chez chaque client et chez leurs clients. Les réclamations arrivent simultanément, sur le fondement des engagements contractuels souscrits.
Le RGPD organise cette chaîne de responsabilité. Une startup qui traite les données pour le compte de ses clients agit généralement comme sous-traitant au sens de l'article 28, ce qui lui impose des obligations propres, documentées dans un accord de traitement. Le manquement à ces obligations engage sa responsabilité envers le responsable de traitement, indépendamment de toute sanction administrative.
Deuxième conséquence : le plafond annuel devient plus déterminant que le plafond par sinistre. Un incident unique générant vingt réclamations peut être qualifié de sinistre sériel — un seul sinistre, un seul plafond — ou de sinistres distincts, selon la rédaction. C'est une clause à lire avant de signer, pas après l'incident. La mise en cause au titre de la prestation elle-même relève par ailleurs de la RC Pro.
Que se passe-t-il si la panne vient du fournisseur cloud
Limites
C'est l'angle mort le plus courant pour une startup. La garantie pertes d'exploitation d'un contrat cyber exclut généralement les interruptions imputables à un fournisseur externe. Une startup dont l'infrastructure repose entièrement sur un hébergeur tiers peut donc subir une indisponibilité totale sans mobiliser sa propre garantie.
Le raisonnement de l'assureur est cohérent : le contrat couvre les conséquences d'un incident affectant le système de l'assuré, pas la défaillance d'un tiers avec lequel l'assuré a librement contracté. Sauf que pour une startup née dans le cloud, la frontière entre « son » système et celui du fournisseur est largement théorique.
Deux réponses existent. La première est contractuelle : l'extension dite de carence de fournisseur, ou dépendance opérationnelle, qui étend la garantie aux interruptions provenant d'un prestataire désigné. Elle se souscrit explicitement, se limite souvent à une liste de fournisseurs nommés, et se paie. La seconde est la recherche de responsabilité auprès de l'hébergeur — dont les conditions générales limitent presque toujours l'indemnisation à une fraction des sommes versées.
Le corollaire pratique est qu'une startup doit connaître ses dépendances avant de négocier son contrat : hébergeur, base de données managée, fournisseur d'authentification, passerelle de paiement, service d'envoi d'e-mails. C'est aussi ce que demandera son premier grand compte. La garantie pertes d'exploitation s'apprécie à la lumière de cette cartographie.
Questions fréquentes : assurance cyber et startups
Une startup pre-seed sans chiffre d'affaires a-t-elle besoin d'une assurance cyber ?
Le besoin dépend des données traitées, pas du chiffre d'affaires. Dès qu'une bêta collecte des données personnelles réelles, les obligations du RGPD s'appliquent, y compris la notification d'une violation à l'autorité dans les 72 heures et l'information des personnes concernées. Une startup sans revenus peut donc devoir financer une investigation technique, une notification et une gestion de crise. En revanche, la garantie pertes d'exploitation a peu de sens avant d'avoir un chiffre d'affaires à perdre.
L'assurance cyber couvre-t-elle les pénalités prévues dans les contrats SaaS ?
Rarement de façon automatique. Les pénalités contractuelles pour non-respect d'un niveau de service résultent d'un engagement volontaire, et plusieurs polices les excluent à ce titre, comme elles excluent les pénalités de retard. Ce qui est couvert, c'est le préjudice réel subi par le client du fait de l'indisponibilité, lorsque sa réclamation dépasse le cadre du crédit de service prévu au contrat. C'est une clause à vérifier avant de signer des engagements de disponibilité assortis de pénalités significatives.
Le paiement d'une rançon est-il pris en charge pour une startup ?
Certains contrats le prévoient, mais la prise en charge est strictement encadrée. La loi LOPMI subordonne le versement de l'indemnité au dépôt d'une plainte auprès des autorités compétentes dans les 72 heures suivant la connaissance de l'infraction. Cette condition étant impérative, l'absence de plainte dans le délai fait perdre le bénéfice de la garantie. Pour une petite équipe en pleine crise, c'est une démarche à connaître à l'avance, pas à découvrir le jour de l'incident.
Une amende de la CNIL est-elle couverte par l'assurance cyber ?
Son assurabilité est juridiquement contestée. La jurisprudence française tend à considérer que garantir des sanctions pécuniaires prononcées par une autorité administrative est contraire à l'ordre public. En pratique, le contrat couvre les frais de défense devant la CNIL et les frais d'enquête administrative, mais une startup doit supposer que l'amende elle-même restera à sa charge. C'est un argument de plus pour traiter la conformité en amont plutôt que de compter sur la garantie.
Une erreur d'un développeur qui expose une base de données est-elle couverte ?
Oui, dans la plupart des contrats. Une configuration de sécurité erronée, un bucket laissé public, une mauvaise gestion des droits d'accès ou le partage accidentel de données sensibles entrent dans le champ de la garantie. La couverture cesse lorsque l'acte relève de la faute lourde ou intentionnelle : un acte de malveillance délibéré commis par un collaborateur reste exclu, comme en droit commun de l'assurance.
Faut-il une assurance cyber en plus de la RC Pro quand on vend du logiciel ?
Les deux se complètent et ne se recouvrent qu'en partie. La RC Pro répond des dommages causés au client par la prestation — un bug, un livrable non conforme. L'assurance cyber finance la gestion de l'incident de sécurité chez la startup : investigation forensique, reconstitution des données, notification réglementaire, perte d'exploitation, cellule de crise. Une startup qui héberge les données de ses clients a besoin des deux, avec une attention à l'articulation du volet responsabilité pour éviter que chaque assureur renvoie vers l'autre.
Pour aller plus loin
Assurance Cyber
Garanties, exclusions courantes et cadre réglementaire applicable, tous secteurs confondus.
Startups
Du pre-seed à la série A, et au-delà.
Les autres assurances du secteur startups
Assurance Cyber dans les autres secteurs
