Assurance Responsabilité Civile vs Cyberassurance : la Différence (2026)

Mon assurance responsabilité civile couvre-t-elle les cyberattaques ? Généralement non. Depuis plusieurs années, la majorité des polices de responsabilité civile générale (CGL) au Québec et au Canada intègrent des clauses d'exclusion explicites pour les incidents cyber — violation de données, ransomware, interruption d'affaires causée par une cyberattaque. Ces exclusions dites « cyber silencieuses » visent justement à retirer une ambiguïté qui existait autrefois dans certaines polices plus anciennes. Une PME qui croit être couverte parce qu'elle détient une assurance responsabilité civile risque une mauvaise surprise au moment de déposer une réclamation liée à un incident informatique.

Cette confusion revient constamment dans nos échanges avec les propriétaires de PME québécoises : « on a déjà une assurance responsabilité civile, est-ce que ça couvre aussi le cyber ? » La réponse courte est non, et le malentendu coûte cher lorsqu'il est découvert au pire moment possible — après un incident, quand la réclamation vient d'être refusée et que les frais d'urgence sont déjà engagés. Ce guide explique en détail pourquoi ces deux types d'assurance couvrent des risques fondamentalement différents, comment reconnaître une exclusion cyber silencieuse dans votre propre police, et ce qu'un plan de protection complet devrait réellement inclure pour une entreprise qui dépend de ses systèmes informatiques, de ses données clients ou de ses paiements électroniques. IT Cares ne vend pas d'assurance — nos techniciens certifiés accompagnent plutôt les PME dans l'audit de cybersécurité en entreprise et le support informatique nécessaires pour obtenir une couverture adéquate et une prime raisonnable auprès de leur assureur.

Ce que couvre une assurance responsabilité civile générale (CGL)

L'assurance responsabilité civile générale, souvent désignée par l'acronyme anglais CGL (Commercial General Liability), constitue l'une des polices les plus courantes détenues par les PME québécoises, qu'elles opèrent un commerce de détail, un bureau de services professionnels ou un atelier de production. Elle a été conçue à l'origine pour protéger une entreprise contre les conséquences financières de dommages causés à des tiers dans le cadre normal de ses activités physiques.

Concrètement, une police CGL type couvre généralement les catégories suivantes :

• Blessures corporelles : un client ou un visiteur qui se blesse dans vos locaux — une chute sur un plancher glissant, un objet qui tombe d'une étagère — et qui poursuit l'entreprise pour les frais médicaux et les dommages associés.
• Dommages matériels à des tiers : un dégât causé par votre entreprise à la propriété d'un client, d'un fournisseur ou d'un voisin, par exemple un employé qui endommage accidentellement un bien lors d'une intervention sur place.
• Publicité diffamatoire ou atteinte à la réputation : une poursuite liée à un contenu publicitaire jugé diffamatoire, à une violation de droit d'auteur dans une campagne marketing imprimée ou à une atteinte à la vie privée dans un contexte non numérique.
• Poursuites liées aux activités physiques de l'entreprise : incidents survenant lors d'événements organisés par l'entreprise, de livraisons, de travaux effectués chez un client, ou de toute autre activité impliquant une présence physique.

Cette couverture demeure essentielle pour la grande majorité des PME, particulièrement celles qui reçoivent une clientèle dans leurs locaux, qui envoient des employés sur des chantiers ou chez des clients, ou qui organisent des événements. Le problème ne réside pas dans l'utilité de la CGL — elle reste une pierre angulaire de la protection d'entreprise — mais dans la croyance erronée qu'elle s'étend également aux risques numériques.

Ce que couvre une cyberassurance

La cyberassurance, aussi appelée assurance contre les cyber-risques, a émergé comme catégorie distincte précisément parce que les polices traditionnelles n'ont jamais été tarifées pour couvrir les conséquences d'un incident informatique. Une police de cyberassurance typique couvre :

• Violation de données : les coûts associés à une fuite ou un vol de renseignements personnels ou confidentiels appartenant à des clients, des employés ou des partenaires.
• Frais de notification légale : les coûts d'avis aux personnes touchées par une violation de données, une obligation renforcée depuis l'entrée en vigueur de la Loi 25 au Québec, incluant parfois la surveillance de crédit offerte aux personnes concernées.
• Enquête judiciaire (forensics) : les honoraires d'une firme spécialisée en investigation numérique mandatée pour déterminer l'origine, l'ampleur et la nature exacte d'un incident, une étape souvent exigée avant même de pouvoir notifier les autorités ou les personnes touchées.
• Interruption d'affaires causée par une cyberattaque : la perte de revenus subie pendant que les systèmes de l'entreprise sont hors service à la suite d'un incident, incluant parfois les frais additionnels engagés pour maintenir les opérations par des moyens alternatifs.
• Extorsion et ransomware : les frais liés à la négociation, et dans certains cas au paiement encadré d'une rançon, ainsi que les coûts de restauration qui en découlent.
• Responsabilité envers des tiers pour fuite de données : les poursuites intentées par des clients, partenaires ou fournisseurs dont les données ont été compromises par une faille de sécurité chez votre entreprise.
• Restauration de systèmes : les coûts de reconstruction des systèmes informatiques, de récupération des données à partir de sauvegardes et de remplacement des équipements compromis irrémédiablement.

Ces catégories de couverture n'ont, dans les faits, presque aucun chevauchement avec les garanties d'une police CGL classique. C'est précisément pour cette raison que les deux polices existent en parallèle plutôt que comme des variantes l'une de l'autre : elles répondent à des scénarios de sinistre entièrement différents, avec des processus de réclamation, des exclusions et des limites distinctes.

Les exclusions « cyber silencieuses » : le piège pour les PME

Le terme « cyber silencieuse » (silent cyber, en anglais) désigne une réalité précise du marché de l'assurance : pendant longtemps, de nombreuses polices commerciales traditionnelles — responsabilité civile générale, erreurs et omissions, assurance des biens — ne mentionnaient ni n'excluaient explicitement le risque cyber. Un flou juridique existait donc, exposant les assureurs à des réclamations liées à des incidents informatiques sur des polices jamais tarifées pour ce risque, et exposant en apparence les assurés à une couverture potentielle qu'ils n'avaient jamais réellement achetée.

Face à ce flou coûteux et imprévisible pour leur propre gestion du risque, la majorité des assureurs ont progressivement ajouté des clauses d'exclusion explicites du risque cyber à leurs polices CGL standards, souvent glissées dans des avenants ou des addenda rédigés en langage juridique dense que peu de propriétaires de PME prennent le temps de lire en détail. Le résultat, pour l'entreprise assurée, est souvent une couverture qu'elle croyait avoir mais qui n'existe plus dans les faits — d'où l'expression « silencieuse » : l'exclusion ne fait aucun bruit jusqu'au jour où une réclamation est déposée et refusée.

Cette dynamique explique pourquoi il ne suffit plus, en 2026, de simplement supposer qu'une police de responsabilité civile générale couvre « tout ce qui touche l'entreprise ». La seule façon fiable de savoir où vous en êtes consiste à demander une confirmation écrite et précise à votre courtier ou à votre assureur, section par section, plutôt que de vous fier à une lecture rapide du sommaire de votre police.

Tableau comparatif : CGL vs cyberassurance, incident par incident

Le tableau suivant illustre, incident par incident, ce qu'une police CGL classique couvre généralement par rapport à une cyberassurance dédiée. Il vaut la peine de le parcourir avec votre courtier en tenant votre propre police à jour à portée de main.

Type d'incident	Couverture CGL	Couverture cyberassurance
Violation de données clients	Généralement exclue	Couvert (garantie principale)
Attaque par ransomware	Généralement exclue	Couvert (extorsion + restauration)
Interruption d'affaires causée par une cyberattaque	Généralement exclue	Couvert
Poursuite d'un client pour fuite de ses données	Généralement exclue	Couvert (responsabilité tierce)
Frais de notification légale (Loi 25)	Non couvert	Couvert
Restauration de systèmes après incident	Non couvert	Couvert
Extorsion / demande de rançon	Non couvert	Couvert (selon limites)
Blessure physique d'un visiteur dans vos locaux	Couvert	Non couvert (hors du champ cyber)
Dommage matériel causé chez un client (hors informatique)	Couvert	Non couvert

Ce tableau révèle une réalité que peu de propriétaires de PME anticipent avant de la vivre : les deux polices se croisent rarement. Un incident numérique n'a essentiellement aucune chance d'être couvert par une CGL non spécialisée, et inversement, une cyberassurance ne remplacera jamais une CGL pour un accident physique dans vos locaux.

Trois cas réels de réclamations CGL refusées pour un incident cyber

Les exemples suivants sont des scénarios composites, construits à partir de situations typiques rencontrées par des PME québécoises, illustrant concrètement comment ce malentendu se traduit en pertes financières évitables.

Cabinet comptable de Sherbrooke : ransomware et réclamation CGL refusée

Un cabinet comptable de taille moyenne à Sherbrooke, employant une douzaine de personnes, a été victime d'une attaque par ransomware ayant chiffré l'ensemble de ses dossiers clients et de ses systèmes de facturation. L'entreprise a dû suspendre ses opérations pendant huit jours ouvrables en pleine période de préparation de déclarations fiscales — le pire moment possible pour un cabinet comptable. Les pertes combinées ont atteint environ 87 000 $ : 22 000 $ en honoraires de forensics et de négociation avec les cybercriminels, 31 000 $ en revenus perdus durant l'arrêt des opérations, et 34 000 $ en restauration de systèmes et remplacement d'équipements compromis de façon irréversible. Le cabinet a déposé une réclamation sur sa police de responsabilité civile générale, convaincu d'être couvert — la réclamation a été refusée en bloc, la police contenant une clause d'exclusion cyber ajoutée deux renouvellements plus tôt sans que le propriétaire s'en aperçoive. Une cyberassurance dédiée, avec une limite de 100 000 $, aurait couvert la quasi-totalité de ces frais.

Commerce électronique de Québec : fuite de données clients et poursuite refusée

Une boutique en ligne basée à Québec, spécialisée dans la vente de produits de niche à une clientèle nord-américaine, a subi une intrusion dans sa base de données clients exposant environ 4 200 dossiers incluant noms, adresses et informations de paiement partielles. Trois clients ont intenté un recours collectif, et l'entreprise a dû assumer 41 000 $ en frais de notification légale conformes aux exigences de la Loi 25, 18 000 $ en honoraires juridiques de défense initiale, et une provision de 60 000 $ pour un règlement à l'amiable — un total dépassant 119 000 $. La police CGL de l'entreprise, qui incluait une clause d'exclusion cyber standard depuis son dernier renouvellement, n'a offert aucune couverture pour cet incident. Une cyberassurance de première et tierce partie aurait couvert les frais de notification, la défense juridique et une portion significative du règlement.

Cabinet juridique de Montréal : fraude par courriel (BEC) et virement irrécupérable

Un cabinet juridique de taille moyenne à Montréal a été victime d'une fraude du président, où un fraudeur s'est fait passer pour un associé principal par courriel usurpé afin d'ordonner un virement urgent de 68 500 $ vers un compte frauduleux, dans le cadre d'une prétendue transaction immobilière pressante impliquant un client. Le virement a été exécuté avant qu'un signalement ne soit fait, et les fonds n'ont jamais pu être récupérés malgré l'intervention rapide de l'institution financière. Le cabinet a soumis une réclamation à son assureur CGL, qui l'a refusée : la fraude par courriel constitue un incident cyber, explicitement exclu de la police, et non un vol physique ou une fraude couverte par les garanties traditionnelles de crime commercial détenues par le cabinet, elles-mêmes limitées à des scénarios différents. Une cyberassurance incluant une garantie spécifique de fraude par courriel (souvent appelée « social engineering fraud ») aurait couvert une portion substantielle de cette perte, sous réserve des limites et des franchises applicables.

Pourquoi les deux assurances sont complémentaires, pas interchangeables

Il serait tentant, après avoir lu les trois cas précédents, de conclure qu'une cyberassurance devrait tout simplement remplacer la CGL. Ce serait une erreur tout aussi coûteuse dans l'autre direction. Une entreprise qui reçoit des clients dans ses locaux, qui envoie des employés effectuer des travaux chez des tiers, ou qui organise des événements demeure exposée à des risques physiques bien réels — chutes, dommages matériels, blessures — qu'aucune cyberassurance ne couvrira jamais, puisque son champ d'application se limite strictement aux incidents numériques.

La bonne façon de concevoir ces deux polices n'est donc pas « laquelle choisir », mais « comment les faire coexister pour couvrir l'ensemble du profil de risque réel de l'entreprise ». Un plan de protection complet pour une PME moderne, qu'elle soit un commerce de détail, un cabinet de services professionnels ou une entreprise manufacturière, inclut généralement :

• Une assurance responsabilité civile générale pour les risques physiques liés aux activités courantes de l'entreprise
• Une cyberassurance dédiée pour les risques numériques liés aux données, aux systèmes et aux transactions électroniques
• Dans certains cas, une assurance erreurs et omissions pour les services professionnels rendus, particulièrement pour les cabinets de conseil, comptables ou juridiques
• Une assurance crime commercial, distincte du cyber, pour certains scénarios de fraude interne ou de vol physique

Cette combinaison peut sembler exigeante pour une petite structure, mais elle reflète simplement la réalité d'une entreprise moderne dont les activités se déroulent à la fois dans le monde physique et dans le monde numérique — deux environnements de risque distincts qu'aucune police unique, aussi complète soit-elle sur papier, ne peut couvrir adéquatement à elle seule.

Budget réaliste pour une cyberassurance complémentaire

Le coût d'une cyberassurance varie considérablement selon la taille de l'entreprise, le volume et la sensibilité des données traitées, le secteur d'activité et la maturité des mesures de sécurité déjà en place. Voici des fourchettes réalistes observées sur le marché québécois, à titre indicatif seulement — chaque soumission demeure spécifique à l'entreprise et à son profil de risque.

Taille de la PME	Limite de couverture typique	Prime annuelle indicative
Micro-entreprise (1 à 9 employés)	250 000 $ à 500 000 $	600 $ à 1 800 $
Petite entreprise (10 à 49 employés)	500 000 $ à 1 000 000 $	1 800 $ à 5 500 $
Moyenne entreprise (50 à 200 employés)	1 000 000 $ à 3 000 000 $	5 500 $ à 15 000 $+

Ces fourchettes restent approximatives et fluctuent selon plusieurs facteurs additionnels : la présence ou non d'une authentification à deux facteurs sur les comptes critiques, l'existence de sauvegardes testées régulièrement, le secteur d'activité (les cabinets professionnels et le commerce électronique paient généralement des primes plus élevées que d'autres secteurs à profil de risque moindre), et les antécédents de sinistres de l'entreprise. Un audit de sécurité informatique préalable, démontrant des mesures de protection déjà en place, permet souvent d'obtenir une prime plus avantageuse et d'accélérer le processus de soumission auprès de l'assureur.

Checklist : vérifiez votre police de responsabilité civile actuelle

Utilisez cette checklist avec votre courtier ou votre assureur pour clarifier une fois pour toutes votre couverture réelle, avant qu'un incident ne force la question.

• ☐ Demandez une confirmation écrite précisant si votre police CGL contient une clause d'exclusion cyber
• ☐ Faites identifier la section exacte du contrat où figure cette clause, y compris dans les avenants ou addenda
• ☐ Vérifiez si votre police d'erreurs et omissions (le cas échéant) exclut également les incidents cyber
• ☐ Confirmez si votre assurance des biens couvre le remplacement d'équipements informatiques endommagés par une cyberattaque
• ☐ Demandez à votre courtier une soumission comparative pour une cyberassurance dédiée, même à titre indicatif
• ☐ Vérifiez si une garantie de fraude par courriel (social engineering) est incluse ou disponible en option
• ☐ Confirmez les limites de couverture pour l'interruption d'affaires causée par un incident informatique
• ☐ Vérifiez si les frais de notification légale exigés par la Loi 25 sont explicitement couverts
• ☐ Demandez si un audit de sécurité informatique est exigé ou recommandé avant l'émission de la police
• ☐ Notez la date du prochain renouvellement de votre police CGL pour réviser ces points annuellement
• ☐ Documentez par écrit la réponse de votre assureur pour référence future, en cas de changement de courtier

Ressources gouvernementales et obligations légales au Québec

Plusieurs organismes publics offrent de l'information et, dans certains cas, du financement pertinent pour les PME qui souhaitent mieux comprendre ou renforcer leur posture face au risque cyber :

• Banque de développement du Canada (BDC) : propose des ressources et parfois du financement pour les PME souhaitant investir dans des mesures de cybersécurité, un facteur souvent pris en compte favorablement par les assureurs lors de la tarification d'une cyberassurance.
• Investissement Québec : offre différents programmes d'accompagnement aux entreprises québécoises en matière de transformation numérique, incluant parfois des volets liés à la sécurité de l'information.
• Commission d'accès à l'information (CAI) : l'organisme responsable de l'application de la Loi 25 au Québec, qui impose des obligations précises de notification en cas de violation de données confidentielles — des obligations dont les frais associés figurent typiquement parmi les garanties centrales d'une cyberassurance. Une entreprise qui subit une fuite de données sans couverture adéquate doit assumer ces frais de notification légale entièrement à même son propre budget.

Le lien entre la Loi 25 et la cyberassurance mérite d'être souligné : les obligations de notification imposées par la loi ne disparaissent pas parce qu'une entreprise n'a pas de cyberassurance — elles s'appliquent de toute façon. L'absence de couverture ne retire aucune obligation légale, elle retire simplement la capacité financière d'y répondre sans en assumer seul le coût intégral.

Questions fréquentes — Assurance responsabilité civile vs cyberassurance