Vous avez payé la prime. Vous vous croyez couvert. Et pourtant, un nombre croissant d’entreprises découvrent, après une attaque, que leur assureur refuse de payer. Non par mauvaise foi : parce qu’« être assuré » et « être indemnisé » sont deux choses différentes. Voici où se situe le piège — et comment ne pas y tomber.
Gespac • Mis à jour en 2026 • Lecture : ± 7 min
Le point clé : une cyberassurance ne vous protège que si les mesures de sécurité déclarées sont réellement en place au moment du sinistre.
Cela synthétise bien le cœur de l’article : la couverture dépend du niveau de sécurité effectivement déployé.
La cyberassurance n’est pas une assurance comme les autres. Sa promesse est conditionnelle : l’indemnisation dépend du niveau de sécurité réellement en place au moment du sinistre.
De nombreux contrats conditionnent explicitement le versement à la présence de certaines mesures : authentification multifacteur, sauvegardes testées, détection sur les postes.
Si vous avez déclaré les avoir sans que ce soit vraiment le cas, ou si elles ont été désactivées entre-temps, l’assureur peut réduire ou refuser l’indemnisation.
Tout se joue à la souscription, et notamment dans le questionnaire de sécurité.
Ce questionnaire n’est pas une simple formalité administrative : c’est le socle juridique de votre couverture. Chaque case cochée est une déclaration qui vous engage.
Répondre « oui » par optimisme à une mesure qui n’est pas réellement en place fragilise le contrat.
Répondez honnêtement, et surtout gardez les preuves de ce que vous déclarez
Sous réserve des modalités propres à chaque contrat, une cyberassurance pour PME couvre généralement :
L’obligation vise les entreprises assujetties à la TVA établies en Belgique qui facturent d’autres entreprises, sans distinction de taille. Les entreprises sous le régime de la franchise de la taxe sont elles aussi concernées.
Les exceptions sont précises et doivent être interprétées à la lettre.
Les exigences des assureurs recoupent les fondamentaux d’une informatique saine.
Authentification multifacteur sur la messagerie, les VPN et les comptes administrateurs.
Automatiques, chiffrées, déconnectées ou immuables — et surtout régulièrement testées.
Détection et protection active sur les postes de travail et les serveurs.
Appliquer les correctifs de sécurité sans attendr
Prévoir et tester au moins une fois par an la réaction en cas d’attaque.
Former les équipes, qui restent la première ligne de défense.
Le durcissement des conditions ne vient pas de nulle part. Les PME sont régulièrement visées par des attaques qui peuvent paralyser l’activité en très peu de temps.
Face à l’augmentation du nombre de sinistres, les assureurs adaptent leurs conditions au niveau réel de prévention mis en place par l’entreprise.
635 incidents traités par le CCB en 2025
La cyberassurance et le niveau de sécurité qu’elle suppose deviennent aussi un critère commercial.
De plus en plus de grands comptes et donneurs d’ordres demandent une attestation d’assurance ou un niveau de sécurité démontrable dans leurs appels d’offres.
Gespac peut auditer votre socle de sécurité — MFA, sauvegardes, détection — et vous aider à devenir réellement « assurable », pour que votre contrat vous protège le jour où ça compte.
Oui. Si les mesures de sécurité déclarées n’étaient pas réellement en place au moment du sinistre, l’indemnisation peut être réduite ou refusée.
Généralement : remédiation, perte d’exploitation, cyber-extorsion, gestion de crise, obligations RGPD et responsabilité.
C’est souvent l’un des premiers prérequis exigés par les assureurs et l’une des mesures les plus efficaces.
Non. Mais elle devient progressivement un prérequis commercial dans certains secteurs.
Le projet prévoit une transmission beaucoup plus rapide des données de facturation à l’administration. Son cadre définitif doit rester suivi.
En améliorant réellement votre niveau de sécurité : MFA, sauvegardes testées, EDR, audit et auto-évaluation.
Non. Elle transfère une partie du coût d’un incident mais ne l’empêche pas.
Vous avez payé la prime. Vous vous croyez couvert. Et pourtant, un nombre croissant d’entreprises découvrent, après une attaque, que leur assureur refuse de payer.
Depuis le 1er janvier 2026, la facture électronique est obligatoire entre entreprises belges. La plupart des dirigeants traitent le sujet comme une case à cocher
Une fois par mois, les nouveaux articles Gespac directement dans votre boîte mail.