Qu'est-ce qu'une cyberassurance couvre vraiment pour une PME au Québec ? Une bonne police couvre généralement les rançongiciels (incluant potentiellement la rançon elle-même), la fraude par courriel (fraude du président, détournement de virement), l'interruption d'affaires causée par un incident informatique, la responsabilité tierce envers vos clients et partenaires, et les frais de notification de brèche. Elle ne couvre à peu près jamais les pertes causées par une négligence documentée — absence de MFA, logiciels non patchés depuis des années, mots de passe partagés — quand ces manquements sont établis comme la cause directe de l'incident.
Ce guide s'adresse aux propriétaires de PME québécoises de 10 à 50 employés qui envisagent de souscrire une cyberassurance, ou qui en détiennent déjà une sans être certains de ce qu'elle couvre réellement. Nous avons vu, chez IT Cares, trop de propriétaires découvrir les limites de leur police au pire moment possible — pendant une réclamation, après un incident, quand il est déjà trop tard pour corriger le tir. L'objectif ici est simple : vous donner les chiffres réels en dollars canadiens, le vocabulaire des polices, les pièges qui font rejeter une réclamation, et une checklist concrète à utiliser avant de signer quoi que ce soit. Nos techniciens certifiés accompagnent régulièrement des PME québécoises dans leur audit de sécurité informatique précisément pour répondre aux exigences que les assureurs demandent de plus en plus au moment de la souscription.
Ce guide n'est pas un conseil d'assurance formel
Ce contenu est informatif et technique, basé sur notre expérience terrain avec des PME québécoises et les tendances observées dans le marché de la cyberassurance en 2026. Pour la souscription elle-même, consultez toujours un courtier d'assurance licencié au Québec qui pourra évaluer votre situation précise. Notre rôle, comme fournisseur de services TI, est de vous aider à renforcer la posture de sécurité qui influence directement l'admissibilité et le prix de votre police.
Qu'est-ce qu'une cyberassurance, concrètement
Une cyberassurance (aussi appelée assurance responsabilité cyber-risques) est une police qui transfère une partie du coût financier d'un incident informatique de votre entreprise vers l'assureur, en échange d'une prime annuelle. Elle se distingue des assurances responsabilité civile générale ou des assurances biens, qui excluent presque toujours explicitement les pertes liées à une cyberattaque ou à une brèche de données depuis plusieurs années déjà — une exclusion que beaucoup de propriétaires de PME découvrent seulement après un incident, en constatant que leur police « tous risques » habituelle refuse de couvrir la perte.
Concrètement, une police de cyberassurance se divise généralement en deux grandes catégories de couverture, souvent combinées dans une même police dite « package » :
La couverture de première partie (first-party)
Cette portion couvre les pertes directes subies par votre propre entreprise : coûts de restauration des systèmes, perte de revenus pendant l'interruption d'affaires, frais d'experts en criminalistique numérique pour déterminer l'ampleur de l'incident, frais de notification aux personnes touchées, et parfois le paiement d'une rançon en cas de ransomware.
La couverture de responsabilité tierce (third-party)
Cette portion couvre les réclamations faites contre votre entreprise par des tiers — clients, fournisseurs, partenaires — dont les données ont été compromises via votre système, ou qui ont subi un préjudice financier découlant d'un incident chez vous. Elle inclut typiquement les frais de défense juridique, les règlements et, selon les provinces, certaines amendes réglementaires liées à la protection des renseignements personnels.
Pour une PME québécoise, cette distinction compte concrètement : un plombier de Laval qui perd l'accès à son système de facturation pendant cinq jours a surtout besoin de la première catégorie, tandis qu'une clinique de santé de Longueuil qui gère des dossiers de patients a besoin des deux catégories à parts égales, sinon davantage de la seconde.
Ce qu'une bonne police couvre vraiment
Le vocabulaire des polices de cyberassurance varie d'un assureur à l'autre, mais les couvertures suivantes forment le cœur de la majorité des polices vendues aux PME au Québec en 2026.
Ransomware et extorsion numérique
C'est la couverture la plus fréquemment utilisée par les PME québécoises. Elle inclut généralement les frais d'un négociateur spécialisé en ransomware, le paiement de la rançon elle-même (sous conditions strictes et souvent avec l'approbation préalable de l'assureur), la restauration des systèmes et des données à partir des sauvegardes, et l'interruption d'affaires qui en résulte pendant que l'entreprise reste paralysée.
Fraude par courriel et détournement de fonds
Aussi appelée « fraude du président » ou « social engineering fraud », cette couverture répond à un type d'incident en forte croissance au Québec : un employé de la comptabilité reçoit un courriel qui semble venir du président ou d'un fournisseur habituel, demandant un virement urgent vers un nouveau compte bancaire. Le virement est effectué, l'argent disparaît en quelques minutes. Cette couverture rembourse (souvent avec une limite distincte et plus basse que le reste de la police) une partie ou la totalité des fonds détournés de cette façon.
Interruption d'affaires liée à un incident informatique
Lorsqu'un incident informatique empêche l'entreprise de fonctionner normalement — systèmes hors ligne, accès aux données bloqué, site de commerce en ligne inaccessible — cette couverture compense la perte de revenus pendant la période d'interruption, généralement calculée sur la base des revenus historiques de l'entreprise et limitée à une période maximale définie dans la police (souvent 30 à 90 jours).
Responsabilité tierce et défense juridique
Si un client, un partenaire ou un fournisseur poursuit votre entreprise parce que ses données ont été compromises via vos systèmes, cette couverture prend en charge les frais d'avocats, les règlements négociés et, dans certains cas, les jugements rendus contre l'entreprise.
Frais de notification de brèche
Au Québec, la Loi 25 impose des obligations précises de notification en cas d'incident de confidentialité touchant des renseignements personnels — avis à la Commission d'accès à l'information du Québec (CAI) et aux personnes concernées, dans certains cas. Cette couverture paie les frais réels de cette notification : envoi de lettres ou courriels à chaque personne touchée, mise en place d'une ligne d'assistance téléphonique dédiée, et parfois l'offre d'un service de surveillance de crédit aux personnes affectées — des frais qui grimpent rapidement dès que le nombre de personnes touchées dépasse quelques centaines.
Frais d'experts en criminalistique numérique
Après un incident, il faut généralement faire appel à des experts spécialisés pour déterminer ce qui s'est passé, quelles données ont été touchées, et si l'attaquant est toujours présent dans le réseau. Ces services, souvent facturés plusieurs centaines de dollars de l'heure, sont couverts par la police et généralement coordonnés directement par l'assureur via un panel d'experts pré-approuvés.
Une couverture qui varie d'un assureur à l'autre
Cette liste représente les couvertures les plus courantes, mais aucune n'est universelle ni automatique. Chaque poste (rançon, fraude, interruption d'affaires) a généralement sa propre sous-limite distincte de la limite totale de la police, et certaines couvertures sont proposées en option plutôt qu'incluses de base. Lisez toujours le sommaire des garanties (« declarations page ») pour voir les limites exactes poste par poste, pas seulement le montant total affiché en gros caractères.
Votre posture de sécurité est-elle prête pour une souscription ?
Nos techniciens certifiés IT Cares réalisent un audit de sécurité complet qui documente exactement ce que les assureurs demandent : MFA, EDR, sauvegardes testées, gestion des accès. Un rapport clair à présenter à votre courtier.
Ce qu'une cyberassurance NE couvre PAS : les exclusions courantes
C'est ici que la plupart des surprises désagréables surviennent — pas au moment de la souscription, mais au moment de la réclamation, quand un ajusteur applique une exclusion que personne n'avait vraiment lue attentivement. Voici les exclusions les plus fréquentes dans les polices vendues au Québec.
L'absence de MFA (authentification multifacteur)
C'est de loin l'exclusion la plus fréquemment invoquée en 2026. La grande majorité des assureurs exigent maintenant, explicitement dans le contrat, que le MFA soit activé sur les comptes critiques — courriel, VPN, accès administrateur, accès à distance. Si un incident survient précisément parce que le MFA n'était pas activé sur le compte compromis, et que la police contenait cette exigence, l'assureur peut refuser la réclamation en totalité, même si toutes les primes ont été payées à temps.
Les logiciels ou systèmes non patchés
Une faille de sécurité connue publiquement depuis des mois, jamais corrigée par une mise à jour disponible, constitue aux yeux d'un assureur une négligence plutôt qu'un événement imprévisible. Si l'enquête post-incident démontre que l'attaquant a exploité une vulnérabilité corrigée depuis longtemps par un correctif jamais appliqué, la réclamation risque fortement d'être rejetée ou partiellement réduite.
La négligence documentée dans la gestion des accès
Des comptes d'anciens employés jamais désactivés, des accès administrateur partagés entre plusieurs personnes sans traçabilité, des mots de passe écrits sur des notes autocollantes visibles : ces pratiques, une fois documentées dans un rapport d'enquête, sont régulièrement citées comme motif de négligence contribuant à l'incident.
Les fausses déclarations à la souscription
Le formulaire de proposition d'assurance (« application ») pose des questions précises sur votre posture de sécurité : avez-vous le MFA, avez-vous des sauvegardes testées, avez-vous un plan de réponse aux incidents. Répondre « oui » à ces questions sans que ce soit véritablement le cas constitue une fausse déclaration matérielle, qui peut permettre à l'assureur d'annuler la police rétroactivement — pas seulement de refuser une réclamation précise, mais d'annuler la couverture au complet comme si elle n'avait jamais existé.
Les incidents connus avant la souscription
Une compromission déjà en cours au moment de signer la police, même si elle n'est découverte que plus tard, n'est généralement pas couverte — c'est le principe même de l'assurance, qui couvre des événements futurs et incertains, pas des situations déjà amorcées.
La dégradation normale ou l'usure de matériel
Un disque dur qui tombe en panne de vieillesse, sans lien avec une cyberattaque, relève de l'assurance biens ou d'une garantie matérielle, pas de la cyberassurance — une distinction évidente en théorie mais qui prête parfois à confusion chez les propriétaires de PME qui pensent, à tort, que la cyberassurance couvre l'ensemble de leurs problèmes informatiques.
Le piège le plus coûteux : croire que la police protège sans condition
La cyberassurance n'est pas un filet de sécurité inconditionnel. C'est un contrat qui exige, en échange de la couverture, le respect continu de certaines mesures de sécurité de base. Une PME qui souscrit une police puis relâche sa vigilance — MFA désactivé « temporairement » pour simplifier une tâche, mises à jour repoussées indéfiniment — prend un risque bien plus grand qu'elle ne le pense : celui de payer des primes pendant des années pour une couverture qui se révèle inapplicable au moment où elle en aurait le plus besoin.
Coûts réels d'une cyberassurance au Québec par taille d'entreprise
Les chiffres qui suivent reflètent les fourchettes généralement observées sur le marché québécois en 2026 pour des PME de secteurs à risque modéré (services professionnels, commerce de détail, construction, santé de première ligne). Les secteurs à très haute sensibilité de données (finance, droit, santé spécialisée) se situent souvent dans la portion haute, voire au-delà, de ces fourchettes.
| Taille d'entreprise | Prime annuelle typique (CAD) | Limite de couverture typique |
|---|---|---|
| Travailleur autonome / micro-entreprise (1-4 employés) | 600 $ à 1 800 $ | 250 000 $ à 500 000 $ |
| Très petite PME (5-9 employés) | 1 000 $ à 3 000 $ | 500 000 $ à 1 000 000 $ |
| Petite PME (10-25 employés) | 1 500 $ à 5 000 $ | 1 000 000 $ à 2 000 000 $ |
| PME moyenne (26-50 employés) | 3 000 $ à 8 000 $ | 2 000 000 $ à 3 000 000 $ |
| PME de secteur sensible (santé, finance, droit) | 4 500 $ à 12 000 $+ | 2 000 000 $ à 5 000 000 $ |
Ces montants sont des ordres de grandeur, pas des devis. Plusieurs facteurs font varier le prix réel à l'intérieur — ou même en dehors — de ces fourchettes.
Facteurs qui font grimper la prime
- Secteur d'activité à haut risque — santé, services financiers, droit, technologie manipulant des données de clients tiers
- Volume de données sensibles traitées — dossiers médicaux, numéros d'assurance sociale, données de cartes de paiement
- Historique de sinistres — un incident déclaré dans les trois à cinq dernières années fait généralement grimper la prime au renouvellement, parfois de façon importante
- Absence de mesures de sécurité de base — pas de MFA, pas d'EDR, sauvegardes non testées ou inexistantes
- Limite de couverture élevée demandée — logiquement, plus la limite est haute, plus la prime augmente, mais pas toujours de façon linéaire
Facteurs qui font baisser la prime
- MFA activé sur tous les comptes critiques, souvent le facteur unique le plus déterminant aux yeux des assureurs en 2026
- Solution EDR (Endpoint Detection and Response) déployée sur les postes et serveurs de l'entreprise
- Sauvegardes régulières, testées et incluant une copie hors ligne ou immuable, résistante à un chiffrement par ransomware
- Formation anti-hameçonnage récurrente des employés, documentée avec des dates et des résultats de tests simulés
- Audit de sécurité informatique récent réalisé par un tiers, avec les correctifs recommandés effectivement appliqués
- Plan de réponse aux incidents écrit et testé, même sommaire, démontrant une préparation organisationnelle
Dans notre expérience auprès de PME québécoises, l'écart de prime entre une entreprise sans aucune de ces mesures et une entreprise qui les a toutes en place peut représenter une réduction de 20 % à 40 % sur la prime annuelle, en plus d'augmenter significativement les chances qu'une réclamation future soit acceptée sans contestation.
Comment votre posture de sécurité IT réduit vos primes (et vos risques)
Les assureurs cyber-risques ont considérablement resserré leurs critères de souscription depuis quelques années, en réaction directe à la hausse marquée des réclamations liées aux ransomwares. Ce resserrement joue en votre faveur si vous investissez dans les bonnes mesures — et contre vous si vous ne le faites pas.
Le MFA : la mesure la plus déterminante, la moins chère à déployer
L'authentification multifacteur ajoute une étape de vérification (code envoyé par texto, application d'authentification, clé physique) en plus du mot de passe pour accéder à un compte. C'est la mesure la plus fréquemment exigée par les assureurs, souvent comme condition absolue d'admissibilité — sans elle, plusieurs assureurs refusent tout simplement d'émettre une police, peu importe le prix que vous êtes prêt à payer. Le déploiement du MFA sur l'ensemble des comptes critiques d'une PME de 20 à 30 employés se réalise généralement en quelques jours, à un coût largement inférieur à celui d'une seule prime annuelle de cyberassurance.
L'EDR : détecter avant que ça se propage
Une solution EDR surveille en continu le comportement des postes de travail et des serveurs pour détecter une activité suspecte — chiffrement massif de fichiers, communication avec des serveurs malveillants connus, comportement typique d'un ransomware en cours de propagation. Contrairement à un antivirus classique qui repère des signatures connues, l'EDR détecte des comportements anormaux, ce qui permet souvent de contenir une attaque avant qu'elle ne touche l'ensemble du réseau. De plus en plus d'assureurs demandent une preuve de déploiement EDR pour les PME de plus de 20 employés.
Les sauvegardes testées : la différence entre un incident et une catastrophe
Une sauvegarde qui existe mais n'a jamais été testée pour une restauration réelle n'a, en pratique, presque aucune valeur démontrée — de nombreuses PME découvrent au pire moment que leur sauvegarde était corrompue, incomplète ou elle-même chiffrée par le ransomware parce qu'elle restait connectée en permanence au réseau. Une sauvegarde robuste comprend une copie régulière, une copie hors ligne ou immuable (non modifiable même par un attaquant ayant un accès complet au réseau), et un test de restauration effectué à intervalle régulier pour confirmer qu'elle fonctionne vraiment.
La formation des employés : la faille la plus humaine, la plus fréquente
La très grande majorité des incidents de ransomware et de fraude par courriel commencent par une seule action humaine — un clic sur un lien, l'ouverture d'une pièce jointe, une réponse à un courriel frauduleux qui imite un fournisseur ou un dirigeant de l'entreprise. Une formation anti-hameçonnage récurrente, incluant des simulations réalistes envoyées périodiquement aux employés, réduit concrètement le taux de clic sur ce type de courriel au fil du temps — un des rares indicateurs de sécurité qu'une PME peut mesurer et démontrer facilement à un assureur.
Le cercle vertueux d'une bonne posture de sécurité
Une meilleure posture de sécurité IT réduit à la fois la probabilité qu'un incident survienne, le coût de la prime d'assurance, et les chances qu'une réclamation soit contestée ou rejetée si un incident survient malgré tout. C'est le seul des trois leviers de gestion du risque cyber sur lequel une PME garde un contrôle direct et continu — contrairement au prix du marché de l'assurance, qui fluctue selon des facteurs hors de son contrôle. Nos techniciens réalisent régulièrement des audits de sécurité informatique et des mandats de protection contre les ransomwares précisément dans cette optique pour des PME québécoises.
Renforcer votre posture de sécurité avant de souscrire ou de renouveler
IT Cares accompagne les PME québécoises dans le déploiement du MFA, de l'EDR, de sauvegardes testées et de la formation anti-hameçonnage des employés — les quatre mesures les plus souvent exigées par les assureurs cyber-risques en 2026. Nos techniciens certifiés produisent aussi un rapport d'audit clair, prêt à être présenté à votre courtier d'assurance.
Le processus de réclamation, étape par étape
Comprendre le déroulement réel d'une réclamation avant qu'un incident ne survienne évite des erreurs coûteuses au moment le plus stressant — quand votre entreprise est déjà paralysée par l'incident lui-même.
Contenir l'incident et préserver les preuves
Dès la découverte d'un incident, isolez les systèmes touchés sans les éteindre complètement si possible (l'extinction peut détruire des preuves numériques utiles à l'enquête). Ne tentez pas de « nettoyer » vous-même le système avant que l'assureur n'ait dépêché ses experts — cette étape, bien intentionnée, efface souvent des traces essentielles à l'enquête et peut compliquer la réclamation.
Déclarer l'incident à l'assureur immédiatement
La quasi-totalité des polices exigent une déclaration dans un délai précis, parfois aussi court que 24 à 72 heures après la découverte de l'incident. Un délai de déclaration dépassé, même de quelques jours, peut à lui seul justifier un refus partiel ou total de la réclamation, indépendamment de la validité du reste du dossier.
Collaborer avec le panel d'experts de l'assureur
La majorité des polices imposent l'utilisation d'un panel pré-approuvé d'experts en criminalistique numérique, d'avocats spécialisés et de négociateurs en ransomware. Faire appel à votre propre fournisseur TI habituel plutôt qu'au panel désigné, sans autorisation préalable de l'assureur, peut entraîner un refus de remboursement de ces frais, même s'ils étaient par ailleurs justifiés.
Documenter chaque perte financière avec précision
Interruption d'affaires, revenus perdus, coûts de restauration, heures de main-d'œuvre interne consacrées à la gestion de l'incident : chaque poste de perte réclamé doit être appuyé par des documents concrets — factures, relevés bancaires, historique de revenus comparatif. Une réclamation mal documentée, même légitime, se règle plus lentement et souvent pour un montant inférieur à la perte réelle subie.
Répondre rapidement aux demandes complémentaires de l'ajusteur
L'ajusteur mandaté par l'assureur demande fréquemment des documents ou des précisions supplémentaires en cours d'enquête. Des délais de réponse trop longs de votre part ralentissent l'ensemble du processus, parfois de plusieurs semaines, et peuvent être interprétés défavorablement si l'enquête cherche à établir si des mesures de sécurité contractuelles étaient réellement en place.
Recevoir le règlement, souvent en plusieurs versements
Les frais urgents (confinement, premiers experts) sont parfois avancés en quelques jours à deux semaines. Le règlement complet, incluant l'interruption d'affaires et les autres pertes documentées, prend généralement de quatre à douze semaines au total depuis la déclaration initiale, selon la complexité de l'incident et la rapidité de la documentation fournie par l'entreprise.
Pièges courants qui font rejeter ou réduire une réclamation
- Déclaration tardive de l'incident, au-delà du délai contractuel prévu dans la police
- Recours à un fournisseur non approuvé avant d'obtenir le feu vert de l'assureur pour les frais de restauration ou d'enquête
- Absence de preuve du MFA ou des sauvegardes déclarés au moment de la souscription, alors que l'enquête révèle qu'ils n'étaient pas réellement en place
- Négociation ou paiement direct d'une rançon sans autorisation préalable de l'assureur, ce qui peut invalider la portion « extorsion » de la police
- Documentation insuffisante des pertes financières, entraînant un règlement partiel plutôt que la pleine indemnisation
- Modification des systèmes touchés avant l'arrivée des experts, détruisant des preuves nécessaires pour établir la cause et l'ampleur réelle de l'incident
Le plan de réponse aux incidents, votre meilleur allié en cas de réclamation
Une PME qui possède déjà, avant tout incident, un plan écrit indiquant qui contacter en premier (assureur, courtier, fournisseur TI), quelles données préserver et quelles actions éviter, traverse une réclamation avec beaucoup moins de friction qu'une entreprise qui improvise dans la panique. Ce plan n'a pas besoin d'être complexe — une page claire, testée une fois par année, suffit largement pour la majorité des PME de 10 à 50 employés.
Checklist avant de souscrire à une cyberassurance
Voici la liste concrète que nous recommandons de passer en revue avant de signer une proposition de cyberassurance ou de renouveler une police existante. Imprimez-la ou copiez-la, et cochez chaque élément avec votre équipe TI avant votre rendez-vous avec le courtier.
Posture de sécurité à documenter
- MFA activé sur tous les comptes critiques : courriel, VPN, accès administrateur, accès à distance
- Solution EDR déployée sur l'ensemble des postes de travail et des serveurs
- Sauvegardes régulières avec au moins une copie hors ligne ou immuable, testées par une restauration réelle dans les 12 derniers mois
- Liste à jour des comptes utilisateurs actifs, sans compte d'ancien employé toujours activé
- Mises à jour de sécurité appliquées régulièrement sur systèmes d'exploitation, serveurs et logiciels critiques
- Formation anti-hameçonnage offerte aux employés dans les 12 derniers mois, idéalement avec simulation testée
- Plan de réponse aux incidents écrit, même sommaire, avec les contacts d'urgence identifiés
- Pare-feu configuré et documenté, avec accès à distance limité aux personnes qui en ont réellement besoin
Éléments à vérifier dans la police avant de signer
- Limite de couverture totale, et sous-limites distinctes pour ransomware, fraude par courriel et interruption d'affaires
- Franchise applicable pour chaque type de réclamation
- Liste exacte des exclusions, notamment celles liées au MFA et aux correctifs de sécurité
- Délai maximal permis pour déclarer un incident après sa découverte
- Panel d'experts et de fournisseurs approuvés par l'assureur, et procédure pour utiliser un fournisseur externe
- Couverture (ou non) du paiement de rançon, et conditions d'approbation préalable
- Couverture des amendes réglementaires liées à la Loi 25 au Québec, si applicable à votre secteur
- Période de rétroactivité de la police (couvre-t-elle des incidents découverts après la date d'effet mais amorcés avant)
Tableau comparatif : critères à évaluer entre assureurs
Lorsque vous comparez plusieurs propositions de cyberassurance pour votre PME, ce tableau résume les critères qui font la vraie différence entre deux polices affichant, en apparence, un prix similaire.
| Critère | Pourquoi ça compte pour une PME québécoise |
|---|---|
| Limite totale vs sous-limites par poste | Une limite totale élevée peut masquer une sous-limite très basse sur le poste qui vous concerne le plus (ex. fraude par courriel plafonnée à 50 000 $ dans une police totale de 2 M$) |
| Exigences de sécurité minimales exigées | Détermine si votre entreprise est réellement admissible aujourd'hui, ou seulement sur papier au moment de la souscription |
| Délai de déclaration d'incident | Un délai trop court (24h) laisse peu de marge en pleine crise ; vérifiez s'il commence à la découverte ou à l'événement lui-même |
| Panel d'experts imposé ou liberté de choix | Un panel imposé peut exclure votre fournisseur TI habituel, qui connaît déjà vos systèmes |
| Couverture de la rançon elle-même | Plusieurs assureurs excluent maintenant le paiement de rançon ou l'encadrent très strictement — à clarifier avant, pas pendant, une crise |
| Rétroactivité et délai de carence | Certaines polices ne couvrent pas un incident découvert dans les premiers jours ou semaines suivant la souscription |
| Historique de règlement de l'assureur | Un assureur reconnu pour régler rapidement et équitablement vaut souvent plus qu'une prime légèrement plus basse ailleurs |
| Service en français, au Québec | Un incident se gère plus efficacement quand le courtier, l'ajusteur et les experts peuvent communiquer en français avec votre équipe |
Études de cas : trois PME québécoises face à un incident
Les scénarios suivants sont fictifs mais construits à partir de situations réalistes et représentatives observées régulièrement par nos techniciens auprès de PME québécoises. Les chiffres reflètent des ordres de grandeur plausibles pour ce type d'entreprise et d'incident.
Cas 1 — Entreprise de plomberie à Laval : réclamation acceptée
Une entreprise de plomberie de 14 employés à Laval, gérant ses appels de service et sa facturation via un logiciel infonuagique, subit une attaque par rançongiciel un lundi matin. Les postes de bureau sont chiffrés, mais le logiciel de facturation reste accessible grâce à son hébergement infonuagique séparé. L'entreprise avait activé le MFA sur ses comptes courriel et VPN six mois plus tôt, à la suite d'un audit de sécurité, et maintenait des sauvegardes locales testées.
Résultat : trois jours d'interruption partielle, restauration des postes à partir des sauvegardes locales sans paiement de rançon, réclamation de 18 400 $ (frais d'experts, restauration, trois jours de perte de revenus estimée) réglée en six semaines sans contestation, l'assureur ayant confirmé que toutes les exigences de sécurité contractuelles étaient bien en place.
Cas 2 — Clinique de santé à Longueuil : réclamation partiellement rejetée
Une clinique privée de 22 employés à Longueuil subit une brèche touchant les dossiers de plus de 900 patients, causée par un accès administrateur d'un ancien employé technique jamais désactivé après son départ huit mois plus tôt. L'attaquant a utilisé ces identifiants toujours actifs pour accéder au système de dossiers.
Résultat : la réclamation totale s'élevait à 187 000 $, incluant les frais de notification aux 900 patients (lettres, ligne d'assistance, surveillance de crédit offerte pendant un an) et les frais juridiques. L'assureur a identifié, dans son enquête, que la gestion des accès ne respectait pas les pratiques minimales attendues et documentées au moment de la souscription. La réclamation a été réglée avec une réduction de 35 % du montant total, l'assureur invoquant une contribution de négligence, en plus d'une hausse importante de la prime au renouvellement suivant.
Cas 3 — Cabinet comptable à Québec : fraude par courriel
Un cabinet comptable de 9 employés à Québec est ciblé par une fraude par courriel élaborée : un employé de la comptabilité reçoit une série de courriels qui semblent provenir d'un fournisseur habituel, demandant la mise à jour des coordonnées bancaires avant un paiement prévu de 42 000 $. Le virement est effectué vers le nouveau compte, entièrement frauduleux.
Résultat : la fraude est découverte trois jours plus tard lorsque le véritable fournisseur relance le paiement en retard. Le cabinet possédait une couverture spécifique de fraude par courriel avec une sous-limite de 50 000 $, suffisante pour couvrir la perte. La réclamation, bien documentée avec l'historique complet des courriels frauduleux et les relevés bancaires, a été réglée en cinq semaines pour 38 000 $ (une franchise de 4 000 $ s'appliquant, en plus d'une légère réduction négociée sur la portion contestée). Le cabinet a depuis instauré une procédure de vérification téléphonique obligatoire pour tout changement de coordonnées bancaires d'un fournisseur.
Ce que ces trois cas illustrent
Le montant de la réclamation ne dépend pas seulement de la gravité de l'incident, mais de la cohérence entre ce qui était déclaré à la souscription et ce qui était réellement en place au moment de l'incident. Le cas de Laval a bénéficié d'une posture de sécurité alignée avec ses engagements ; celui de Longueuil a subi une réduction importante précisément à cause d'un écart entre le déclaré et le réel sur un seul point, pourtant relativement simple à corriger (désactiver un compte au départ d'un employé).
Budget et prix au Québec : comment prévoir le coût réel
Au-delà de la prime annuelle elle-même, une PME québécoise doit prévoir un budget cyber-risque qui inclut plusieurs composantes complémentaires, pas seulement le paiement à l'assureur.
La franchise, souvent oubliée dans le calcul
La franchise (le montant que l'entreprise absorbe elle-même avant que la couverture ne s'applique) varie généralement de 1 000 $ pour les plus petites PME à 10 000 $ ou plus pour les entreprises de taille moyenne avec des limites de couverture élevées. Ce montant doit être budgété comme une dépense potentielle distincte, disponible en liquidités rapidement accessibles en cas d'incident.
L'investissement en posture de sécurité, un coût récurrent mais nécessaire
Pour une PME de 10 à 50 employés au Québec, un budget annuel raisonnable consacré à la sécurité IT préventive (MFA, EDR, sauvegardes gérées, formation, audit périodique) se situe généralement entre 3 000 $ et 15 000 $ selon la taille et la complexité de l'environnement informatique — un montant qui, dans la majorité des cas, se rentabilise en partie par la réduction obtenue sur la prime de cyberassurance elle-même, en plus de réduire directement le risque d'un incident.
Le coût réel d'un incident sans assurance adéquate
Pour donner une mesure de comparaison, une PME québécoise typique de 20 à 30 employés touchée par un ransomware sans couverture d'assurance suffisante fait face, en moyenne selon les cas observés dans notre pratique, à des coûts combinés (restauration, interruption d'affaires, experts, notification) qui se chiffrent couramment entre 40 000 $ et 150 000 $ — un montant qui dépasse largement le coût cumulé de plusieurs années de primes d'assurance et d'investissement en sécurité préventive combinés.
| Poste budgétaire | Fourchette annuelle typique (CAD) |
|---|---|
| Prime de cyberassurance (PME 10-50 employés) | 1 500 $ à 8 000 $ |
| Franchise à provisionner en cas d'incident | 1 000 $ à 10 000 $ |
| MFA + EDR + sauvegardes gérées | 1 800 $ à 7 000 $ |
| Formation anti-hameçonnage récurrente | 500 $ à 2 000 $ |
| Audit de sécurité annuel | 1 200 $ à 4 000 $ |
Ressources gouvernementales pour les PME québécoises
Plusieurs organismes publics et parapublics offrent du financement, des conseils ou des programmes pertinents pour les PME québécoises qui investissent dans leur cybersécurité ou qui cherchent du financement pour ces dépenses, y compris parfois la prime de cyberassurance elle-même dans le cadre d'un plan de modernisation plus large.
Banque de développement du Canada (BDC)
La BDC offre des prêts destinés spécifiquement à la modernisation technologique des PME, incluant les investissements en cybersécurité, ainsi que des ressources conseils sur la gestion des risques numériques adaptées aux petites entreprises canadiennes.
Investissement Québec
Investissement Québec propose différents programmes de financement et d'accompagnement pour la transformation numérique des PME québécoises, qui peuvent dans certains cas couvrir des dépenses liées au renforcement de l'infrastructure informatique et de la sécurité, selon les critères d'admissibilité en vigueur au moment de la demande.
Caisse de dépôt et placement du Québec (CDPQ) et ses filiales
Par l'entremise de ses filiales orientées vers le développement économique régional, la CDPQ appuie certains projets de modernisation d'entreprises québécoises, incluant potentiellement des volets technologiques — à vérifier au cas par cas selon le secteur et la région de l'entreprise.
Centre canadien pour la cybersécurité
Le Centre canadien pour la cybersécurité publie gratuitement des guides pratiques destinés aux petites et moyennes entreprises canadiennes, incluant des recommandations concrètes sur les mesures de sécurité de base qui recoupent largement les exigences des assureurs cyber-risques.
Vérifiez toujours les critères d'admissibilité actuels
Les programmes gouvernementaux de financement changent fréquemment de critères, de montants disponibles et parfois de nom d'une année à l'autre. Consultez directement les sites officiels de la BDC, d'Investissement Québec et des autres organismes mentionnés pour connaître les conditions exactes en vigueur au moment de votre demande, plutôt que de vous fier à des montants ou conditions datant de plusieurs années.
Faut-il passer par un courtier spécialisé en cyber-risques
Une question revient souvent chez les propriétaires de PME québécoises au moment de magasiner une police : vaut-il la peine de passer par un courtier spécialisé en cyber-risques plutôt que par l'assureur habituel de l'entreprise, celui qui gère déjà la responsabilité civile générale et l'assurance biens ?
Ce qu'un courtier spécialisé apporte concrètement
Le marché de la cyberassurance évolue rapidement — les exigences de sécurité, les exclusions et même les insureurs actifs sur ce type de risque changent d'une année à l'autre plus vite que dans la plupart des autres lignes d'assurance commerciale. Un courtier qui place plusieurs dizaines de polices cyber-risques par année connaît les critères réels de souscription de chaque assureur, pas seulement ce qui est écrit dans les brochures marketing. Il sait généralement, par exemple, quel assureur accepte plus facilement une PME sans EDR déployé pourvu que le MFA soit en place, ou lequel offre la meilleure couverture de fraude par courriel pour un cabinet comptable ou professionnel.
Le rôle du courtier dans une réclamation
Au-delà de la souscription initiale, un bon courtier reste impliqué pendant une réclamation — il connaît la procédure exacte à suivre dans les premières heures, peut intervenir directement auprès de l'assureur en cas de désaccord sur l'interprétation d'une clause, et évite à l'entreprise de naviguer seule dans un processus souvent complexe pendant une période déjà stressante. Cette valeur ajoutée devient particulièrement évidente dans des cas limites, comme celui de la clinique de Longueuil présenté plus haut, où l'interprétation d'une exclusion peut faire une différence de dizaines de milliers de dollars sur le règlement final.
Comparer au moins deux ou trois soumissions distinctes
Peu importe le courtier choisi, obtenir au moins deux ou trois soumissions comparatives avant de signer reste une pratique de base trop souvent négligée. Les écarts de prix pour une couverture équivalente peuvent atteindre 20 % à 30 % d'un assureur à l'autre pour un même profil de PME, sans compter les différences plus subtiles dans les sous-limites, les exclusions et le panel d'experts imposé — des éléments qui comptent souvent davantage que le prix affiché au moment de choisir la meilleure option pour votre entreprise.
Questions fréquentes — Cyberassurance PME au Québec
Dans la grande majorité des cas, oui. Une seule attaque par rançongiciel ou une seule fraude par courriel réussie peut coûter à une PME plusieurs dizaines de milliers de dollars en interruption d'affaires, en frais d'experts et en notification de brèche — des montants qui dépassent largement les liquidités disponibles de la plupart des petites entreprises. La cyberassurance transfère une partie de ce risque financier, en complément (pas en remplacement) de mesures de sécurité IT de base comme le MFA et les sauvegardes testées.
Pour une PME québécoise de 10 à 50 employés, les primes annuelles se situent généralement entre 1 500 $ et 8 000 $ CAD, selon le secteur d'activité, le chiffre d'affaires, la limite de couverture choisie et surtout la posture de sécurité IT démontrée à l'assureur (MFA, EDR, sauvegardes testées, formation des employés). Les entreprises manipulant des données sensibles (santé, finance, droit) paient généralement plus cher que les autres secteurs à profil de risque comparable.
Oui, la majorité des polices de cyberassurance couvrent les incidents de rançongiciel, incluant potentiellement le paiement de la rançon (selon la police et sous conditions strictes), les frais de négociateur spécialisé, la restauration des systèmes et l'interruption d'affaires qui en résulte. Cette couverture reste toutefois conditionnelle au respect des exigences de sécurité minimales stipulées dans la police — l'absence de MFA ou de sauvegardes testées peut entraîner un refus de réclamation même pour un ransomware autrement couvert.
Les motifs de rejet les plus fréquents sont l'absence d'authentification multifacteur (MFA) sur les comptes critiques alors que la police l'exigeait, des logiciels ou systèmes d'exploitation non patchés depuis longtemps, une négligence documentée dans la gestion des accès, l'utilisation de mots de passe faibles ou partagés, et des déclarations inexactes ou incomplètes faites au moment de la souscription concernant la posture de sécurité réelle de l'entreprise.
Les leviers les plus efficaces sont l'activation du MFA sur tous les comptes critiques (courriel, VPN, accès administrateur), le déploiement d'une solution EDR sur les postes et serveurs, des sauvegardes régulières et testées avec copie hors ligne, une formation anti-hameçonnage récurrente pour les employés, et un audit de sécurité IT documenté réalisé par un tiers. Plusieurs assureurs offrent des rabais concrets, parfois de 10 % à 25 %, aux PME qui démontrent ces mesures au moment de la souscription ou du renouvellement.
Le délai varie selon la complexité de l'incident, mais une réclamation typique pour un ransomware ou une fraude par courriel prend généralement de quatre à douze semaines entre la déclaration initiale et le règlement final, incluant l'enquête de l'assureur, l'intervention des experts en criminalistique numérique et la validation des pertes déclarées. Les premières avances de fonds pour les frais urgents (confinement, restauration) arrivent souvent plus rapidement, en quelques jours à deux semaines.
Oui. Les entreprises qui manipulent des renseignements de santé, financiers ou juridiques sensibles font face à des obligations de confidentialité plus strictes et à des coûts de notification de brèche potentiellement plus élevés (avis à chaque patient ou client touché, surveillance de crédit offerte, obligations envers les ordres professionnels). Ces entreprises devraient privilégier une limite de responsabilité tierce plus élevée et vérifier que la police couvre spécifiquement les violations de confidentialité liées à des renseignements réglementés.
Non, et c'est une confusion fréquente chez les propriétaires de PME. La cyberassurance transfère le risque financier résiduel après un incident ; elle ne prévient rien et ne corrige aucune faille. Un audit de sécurité informatique identifie et corrige les failles avant qu'elles ne soient exploitées, ce qui réduit à la fois la probabilité d'un incident et, souvent, le coût de la prime elle-même. Les deux mesures sont complémentaires, pas interchangeables.
Commentaires (3)
On a fait exactement l'erreur du cas de la clinique dans votre article — un compte d'ancien employé jamais désactivé. Après lecture on a fait le ménage cette semaine. Merci pour le rappel concret avec des vrais chiffres.
Notre courtier ne nous avait jamais expliqué la différence entre limite totale et sous-limites par poste. On a repris notre police avec ce tableau en main, ça a changé la conversation.
La checklist avant de souscrire est exactement ce qu'il me fallait avant mon renouvellement le mois prochain. On coche déjà 5 des 8 points, on va corriger le reste avant l'appel avec l'assureur.
Laisser un commentaire