8 façons de réduire les primes d'assurance cyber en Suisse
La façon la plus efficace d'améliorer votre position auprès des assureurs est de réduire la probabilité et le coût potentiel d'un incident cyber avant de souscrire ou de renouveler votre police.
1. Évaluez votre risque cyber avant le renouvellement
N'attendez pas le questionnaire d'assurance pour découvrir les lacunes de votre sécurité.
Avant le renouvellement, passez en revue les systèmes et les informations dont dépend votre entreprise. Examinez les données clients, les plateformes cloud, les accès à distance, les systèmes de paiement, les comptes des employés, les logiciels critiques et les prestataires tiers.
Vous devriez également passer en revue tout incident antérieur ou toute vulnérabilité connue.
Cela vous donne le temps de corriger les faiblesses avant que les assureurs n'évaluent votre entreprise. Cela vous aide également à fournir des informations plus claires lors du processus de souscription de l'assurance cyber.
La documentation est importante ici. Si vous avez mis en place de nouveaux contrôles de sécurité depuis votre dernier renouvellement, conservez-en les traces. Votre assureur ne peut pas évaluer correctement des améliorations dont il n'a pas connaissance.
2. Utilisez l'authentification multifacteur pour les comptes critiques
L'authentification multifacteur ajoute une étape de vérification supplémentaire lors de la connexion. Même si un mot de passe est volé, un attaquant a encore besoin d'un autre facteur pour accéder au compte.
Commencez par les comptes qui pourraient causer le plus de dommages en cas de compromission. Il s'agit notamment des e-mails, des comptes administrateurs, des VPN, des plateformes cloud, des outils d'accès à distance et des systèmes financiers.
L'authentification multifacteur ne garantit pas une réduction spécifique de la prime. Son impact dépend de l'assureur et du reste de votre configuration de sécurité. Cependant, il s'agit d'un contrôle de cybersécurité important qui peut renforcer votre profil de souscription global.
Elle peut également contribuer à réduire le risque de prise de contrôle de compte, de compromission des e-mails professionnels et d'autres attaques qui débutent par des identifiants volés.
3. Maintenez des sauvegardes sécurisées et testées
Les sauvegardes sont essentielles pour la protection contre les ransomwares, mais le simple fait d'en avoir une ne suffit pas.
Votre entreprise doit savoir si les informations critiques peuvent réellement être restaurées après une attaque. Les sauvegardes doivent être créées régulièrement, protégées contre les accès non autorisés et suffisamment séparées de l'environnement principal pour que les attaquants ne puissent pas facilement les chiffrer ou les supprimer en même temps que vos systèmes en production.
La restauration doit également être testée.
Si une attaque par ransomware désactive votre réseau, la question importante n'est pas « Avons-nous des sauvegardes ? » mais « Dans combien de temps pouvons-nous relancer l'activité ? »
Cette capacité de reprise peut influer sur l'ampleur d'une éventuelle indemnisation pour interruption d'activité.
4. Mettez à jour vos systèmes et protégez vos terminaux
Les attaquants recherchent souvent des systèmes vulnérables qu'ils peuvent exploiter.
Votre entreprise devrait disposer d'un processus clair pour installer les mises à jour de sécurité, corriger les vulnérabilités connues et remplacer les logiciels non pris en charge. Les ordinateurs portables, les postes de travail, les serveurs et les autres terminaux professionnels devraient également bénéficier d'une protection de sécurité adaptée.
Le processus n'a pas besoin d'être compliqué pour chaque PME suisse. Ce qui importe, c'est que les mises à jour et les vulnérabilités soient gérées plutôt qu'ignorées.
C'est particulièrement important si les employés travaillent à distance ou si votre entreprise dépend de logiciels cloud et de systèmes exposés à Internet.
5. Formez vos employés contre le phishing et la fraude
La technologie seule ne peut pas arrêter toutes les attaques.
Le NCSC a indiqué en juin 2026 que les PME suisses sont de plus en plus ciblées par le phishing, les ransomwares et l'ingénierie sociale. Il a également souligné la formation régulière à la sensibilisation des employés comme mesure pratique pour renforcer la cybersécurité.
La formation devrait apprendre aux employés à reconnaître les e-mails suspects, les pièces jointes malveillantes, les demandes de connexion inhabituelles, les fausses factures, la fraude au président et les demandes de modification des coordonnées de paiement.
Des formations courtes et récurrentes sont souvent plus utiles qu'une longue présentation annuelle que le personnel oublie rapidement.
La sensibilisation à la cybersécurité peut également inclure des exercices de phishing simulés et des procédures claires pour signaler les activités suspectes.
6. Créez et testez un plan de réponse aux incidents
Les contrôles de sécurité peuvent réduire le risque cyber, mais aucune entreprise ne peut le faire disparaître complètement.
Un plan de réponse aux incidents cyber explique ce qui se passe lorsque la prévention échoue.
Il doit préciser qui prend les décisions, comment les systèmes compromis sont isolés, qui contacte votre prestataire informatique, comment les opérations critiques se poursuivent, et comment les clients, les autorités, les assureurs ou d'autres parties sont contactés si nécessaire.
Le NCSC décrit la planification d'urgence comme une partie importante de la gestion des risques et a développé des ressources de planification d'urgence spécifiquement pour les PME suisses.
Vous pouvez également utiliser la liste de contrôle de sécurité informatique du NCSC pour les PME pour passer en revue les contrôles techniques et organisationnels. Le NCSC souligne que la sécurité de l'information n'est pas uniquement une responsabilité informatique. La direction doit également décider comment les risques sont identifiés, hiérarchisés et gérés. Un plan de réponse testé peut réduire la confusion lors d'une attaque et aider votre entreprise à reprendre ses activités normales plus rapidement.
7. Maîtrisez les risques liés aux tiers et au cloud
Votre propre réseau n'est qu'une partie de votre exposition cyber.
De nombreuses entreprises suisses dépendent de prestataires informatiques externes, de plateformes cloud, de systèmes de paie, d'applications SaaS, de prestataires de paiement et d'autres fournisseurs. Un incident chez l'un de ces prestataires peut tout de même perturber votre activité ou exposer des informations sensibles.
Vérifiez quels tiers peuvent accéder à vos systèmes et données. Définissez soigneusement les droits d'accès et supprimez les accès lorsqu'ils ne sont plus nécessaires.
Les contrats avec les fournisseurs importants doivent également clarifier les responsabilités. Votre entreprise doit savoir qui gère les sauvegardes, qui répond aux incidents de sécurité et dans quel délai le prestataire doit vous informer d'une violation.
C'est de plus en plus important car les incidents cyber modernes peuvent se propager à travers des chaînes d'approvisionnement interconnectées. Le NCSC a mis en évidence l'interconnectivité de la chaîne d'approvisionnement comme un facteur pouvant accroître les risques cyber pour les PME en 2026.
8. Ajustez soigneusement votre franchise et vos garanties
Les améliorations en matière de cybersécurité ne sont pas le seul moyen de gérer votre prime. Vous pouvez également revoir la part de risque que vous transférez à l'assureur.
Une franchise d'assurance cyber plus élevée signifie que votre entreprise paie une plus grande part d'un sinistre couvert avant que l'assurance n'intervienne. En contrepartie, la prime peut être moins élevée car l'assureur assume moins du risque initial.
Mais une franchise plus élevée n'a de sens que si votre entreprise peut la payer confortablement après un incident.
Les plafonds de garantie méritent la même attention. Ne choisissez pas un plafond élevé simplement parce qu'il semble plus sûr. Estimez les pertes que votre entreprise pourrait raisonnablement subir en matière de remise en état des systèmes, d'interruption d'activité, de restauration des données, de responsabilité civile, d'assistance juridique et de réponse aux incidents.
En même temps, supprimer des garanties importantes uniquement pour réduire la prime peut créer des lacunes coûteuses.
