Sécurité informatique pour PME : ce que les cyberassurances exigent aujourd'hui

« Nous sommes trop petits pour être une cible » – cette phrase revient sans cesse dans nos échanges avec les PME. La réalité est tout autre : les attaques par ransomware touchent aujourd’hui majoritairement les petites et moyennes entreprises, parce que c’est là que les obstacles sont les plus faibles. Pour une PME, un serveur chiffré signifie vite plusieurs jours d’arrêt – et c’est précisément pour cela que les cyberassurances posent désormais des exigences techniques concrètes avant même d’établir une police.

Dans cet article, nous montrons quelles mesures les assureurs exigent typiquement, pourquoi cette liste constitue en même temps une bonne feuille de route de sécurité et comment Datia aide les entreprises de la région de Lenzburg et de toute l’Argovie à les mettre en œuvre.

Pourquoi la question de l’assurance est une bonne occasion

De nombreuses PME ne s’occupent de la sécurité informatique que lorsqu’un client, un auditeur ou justement une assurance pose la question. Il n’y a pas de quoi en avoir honte – c’est une opportunité. Les catalogues d’exigences des assureurs sont, au fond, une liste distillée des mesures qui empêchent ou limitent de manière avérée les dommages réels. Qui les met en œuvre n’est pas seulement assurable, mais réellement mieux protégé.

S’y ajoute le cadre légal : la loi révisée sur la protection des données (nLPD) oblige les entreprises à protéger les données personnelles par des mesures techniques et organisationnelles appropriées. Et pour les exploitants d’infrastructures critiques, une obligation d’annoncer les cyberattaques à l’Office fédéral de la cybersécurité (OFCS) s’applique en Suisse depuis avril 2025. Même qui n’est pas soumis à cette obligation a tout intérêt à prendre les recommandations de l’OFCS comme référence.

Les exigences minimales typiques

Les détails varient selon l’assureur, mais ces points reviennent pratiquement toujours :

1. Authentification multifacteur (MFA) : pour l’e-mail, les accès à distance (VPN), les comptes administrateurs et les services cloud. La protection individuelle la plus efficace contre les mots de passe volés – et la lacune la plus fréquente dans les PME.
2. Sauvegardes testées et séparées : des sauvegardes isolées du réseau ou stockées de manière inaltérable (hors ligne ou immutable), et – point décisif – des tests de restauration réguliers. Une sauvegarde qui n’a jamais été restaurée n’est qu’un espoir.
3. Gestion des correctifs dans les délais : des mises à jour de sécurité pour les systèmes d’exploitation et les applications dans des délais définis. Les systèmes obsolètes, sortis du support, sont un chiffon rouge pour les assureurs.
4. Protection des terminaux (EDR) : une protection moderne sur les ordinateurs portables et les serveurs, qui détecte et stoppe les attaques – pas seulement un antivirus classique.
5. Concept de droits d’accès : des droits d’administrateur uniquement là où ils sont nécessaires. Qui lit ses e-mails avec un compte admin transforme chaque clic de phishing en sinistre total.
6. Sensibilisation des collaborateurs : des formations courtes et régulières sur le phishing et le maniement des données. La plupart des attaques réussies commencent par un e-mail, pas par de la haute technologie.
7. Un plan d’urgence : qui est informé, qui décide, comment communiquons-nous quand les systèmes sont à l’arrêt ? Un document d’une page qui fait la différence en cas de crise.

Là où le cloud aide – et là où il n’aide pas

Un poste de travail cloud moderne remplit beaucoup de ces exigences presque en passant : la MFA est standard, les mises à jour arrivent automatiquement, les données sont stockées de manière redondante dans des centres de données suisses et les accès sont journalisés de façon centralisée. Pour de nombreuses PME, la migration vers le cloud est donc aussi un projet de sécurité – nous avons décrit les étapes dans notre guide de la migration cloud.

Mais attention : le cloud ne vous décharge pas de la responsabilité. Les droits d’accès, la stratégie de sauvegarde, la formation et le plan d’urgence restent votre tâche – peu importe où se trouvent les serveurs.

Comment l’aborder de manière pragmatique

Notre conseil aux PME : traitez la liste ci-dessus comme un ordre de priorité, pas comme une liste de souhaits.

1. Semaines 1–2 : activer la MFA partout, séparer les comptes admin. Coûte peu, rapporte le plus.
2. Mois 1 : vérifier le concept de sauvegarde et effectuer un véritable test de restauration.
3. Mois 2–3 : définir le processus de correctifs, identifier les systèmes hérités, déployer l’EDR.
4. En continu : formations courtes, révision annuelle du plan d’urgence.

Avec ce niveau, vous ne réussissez pas seulement le questionnaire de la plupart des assureurs – vous avez réellement désamorcé les scénarios de dommages les plus probables.

Un partenaire sur place

La sécurité informatique n’est pas un produit que l’on achète une fois, mais un état que l’on maintient. Datia a son siège à Lenzburg et accompagne les entreprises de la région d’Aarau, de Baden, de Zofingue et de toute l’Argovie – du premier état des lieux à l’exploitation courante, en passant par la mise en œuvre. Les distances courtes signifient ici : si quelque chose arrive, nous sommes joignables.

Vous voulez savoir où en est votre entreprise aujourd’hui ? Réservez une première consultation gratuite – nous passerons les points en revue ensemble, de manière compréhensible et sans alarmisme.