Assurance cyber freelance : protéger votre activité en 2026

Pourquoi une assurance cyber en freelance

Les attaques ciblent aussi les indépendants : ransomware, phishing, compromission de compte, vol d’appareil. Risques : interruption de mission, pénalités contractuelles, atteinte à la réputation, notifications RGPD.

À retenir Un seul incident peut coûter plus qu’une année de marge. L’assurance cyber finance l’intervention d’experts et les frais (restauration, juridique, communication).

RC Pro vs assurance cyber

RC Pro : couvre les dommages causés à des tiers (corporel/matériel/immatériel consécutif). Ne couvre pas vos propres pertes ni la plupart des cyber-incidents. Cyber : couvre frais de réponse, pertes d’exploitation, e-réputation, notifications, extorsion.

À retenir Combinez RC Pro + cyber pour couvrir à la fois la faute pro et l’incident numérique.

Garanties clés

• Ransomware / extorsion : frais d’experts, reconstitution des données, pertes d’exploitation.
• Data breach : notifications, forensic, juridique, communication de crise.
• Responsabilité réseau / logiciel : dommage causé à un client après compromission de vos livrables.
• Fraude par ingénierie sociale : parfois en option.
• E-réputation : aide communication.

À retenir Privilégiez une police qui inclut assistance immédiate et prise en charge des frais de communication et juridique.

Exclusions et limites

Exclusions fréquentes : systèmes non mis à jour (obsolescence), absence de sauvegardes, BYOD non protégé, non-respect des obligations minimales (MFA, antivirus), actes intentionnels. Limites : sous-traitants non couverts, plafonds bas sur ingénierie sociale.

À retenir Lisez les obligations de sécurité contractuelles. Si non respectées, la garantie peut être réduite ou refusée.

Infogérance et responsabilités

Si vous gérez l’infra d’un client (infogérance), vérifiez que la police couvre les dommages causés par vos actes ou omissions (mises à jour, config). Certaines polices exigent des procédures de changement et des sauvegardes prouvées. Ne signez pas des pénalités illimitées si votre plafond est limité.

À retenir Alignez vos SLA et vos plafonds contractuels sur vos plafonds d’assurance pour éviter un écart non couvert.

Franchise et plafonds

Franchise : montant à votre charge par sinistre. Plafond : indemnisation max (par sinistre / annuel). Ajustez selon votre CA, vos données critiques et les pénalités contractuelles possibles.

À retenir Un plafond trop bas couvre mal un ransomware + pertes d’exploitation. Simulez un scénario 15-30 jours d’arrêt.

Assistance 24/7 et prestataires

L’assistance doit inclure hotline 24/7, forensic, IT de crise, juridique RGPD, communication. Vérifiez le panel de prestataires agréés et les délais d’intervention.

À retenir Une assistance réactive vaut plus qu’un plafond élevé sans équipe pour intervenir.

Plan de réponse incident

Avant sinistre : MFA généralisé, sauvegardes hors ligne/immutables, mises à jour, segmentation, comptes limités, mots de passe uniques (manager). Pendant : isoler la machine, alerter l’assureur/assistance, notifier les clients si impact, restaurer depuis backup sain.

À retenir Documentez un runbook simple (qui appeler, quelles machines couper, comment restaurer). L’assurance valorise la préparation.

Modèle d’email de notification client

“Bonjour, nous avons détecté le [date] un incident de sécurité affectant [type de données]. Les données concernées : [nature]. Mesures prises : isolement, assistance cyber, restauration, enquête en cours. Aucune action requise / Actions conseillées : [ex. réinitialiser mots de passe]. Nous vous tiendrons informés sous 48h. Contact dédié : [email/tel].”

À retenir Un modèle prêt réduit le délai de réaction et rassure les clients ; adaptez-le selon l’ANSSI/CNIL si données perso.

Plan de communication et e-réputation

Désignez un porte-parole (vous ou l’assistance). Messages courts, factuels, sans minimiser ni spéculer. Préparez Q/R simples (cause, impact, mesures). Si la police inclut e-réputation, utilisez le prestataire de communication de crise.

À retenir Un mauvais message peut coûter plus cher que l’incident. Avoir 3 bullet points prêts (ce qui est touché, ce qui est fait, ce qui change) accélère la réponse.

RGPD et notification

En cas de fuite de données perso : notifier la CNIL sous 72h si risque, informer les personnes concernées si risque élevé. L’assurance doit couvrir les coûts de notification et d’accompagnement juridique.

À retenir Prévoyez un modèle d’email de notification et un registre des traitements à jour pour accélérer l’évaluation du risque.

Sauvegardes et continuité

Appliquez la règle 3-2-1 : 3 copies, 2 supports, 1 hors ligne. Testez une restauration mensuelle. Documentez les RTO/RPO (délai de reprise, perte de données acceptable) pour vos principaux clients. Vérifiez si la police exige des sauvegardes immuables ou hors ligne.

À retenir Une restauration testée vaut plus qu’un plafond élevé. Notez la dernière date de test dans votre dossier assurance.

Exercice tabletop (simulation)

Simulez un incident : laptop chiffré + fuite emails. Étapes : isoler, appeler assistance, restaurer, notifier. Chronométrez, notez les blocages (contacts, accès backups, message clients). Mettez à jour le runbook après l’exercice.

À retenir Un tabletop de 60 minutes révèle les points faibles (contacts manquants, backups inaccessibles, absence de message prêt).

Travail remote / nomad

Risques accrus : Wi-Fi publics, vols d’appareil. Mesures : VPN, chiffrement disque, MFA, pas de stockage local de données sensibles, verrouillage auto court. Vérifiez si la police couvre les incidents à l’étranger.

À retenir Les vols d’ordinateur sont une cause fréquente de data breach. Un poste chiffré + sauvegarde réduit fortement l’impact.

E-commerce, paiement et données clients

Si vous traitez des paiements pour des clients (sites e-commerce), vérifiez la couverture sur les données de carte (souvent exclues ou très limitées). Conformité PCI-DSS peut être exigée. Préférez déléguer le paiement à un PSP conforme (Stripe, etc.) et limiter votre exposition.

À retenir Moins vous stockez de données sensibles, plus votre risque (et prime) baisse. Mentionnez-le dans votre dossier assureur.

Comment comparer 3 devis

• Franchise, plafond par sinistre/année.
• Garanties incluses (ransomware, data breach, pertes d’exploitation, e-réputation).
• Exclusions (obsolescence, BYOD, sous-traitants).
• Assistance 24/7 et prestataires agréés.
• Option fraude/ingénierie sociale.

À retenir Faites un tableau comparatif et éliminez les polices qui excluent la majeure partie de votre stack (cloud non couvert, BYOD, etc.).

Cas pratiques (SaaS, créa, conseil)

SaaS/freelance dev : risque de code compromis → vérifier couverture responsabilité réseau/logiciel et pertes d’exploitation. Créa (graphisme, vidéo) : vol/crypto-lockage de fichiers clients → couverture data + e-réputation. Conseil : compromission d’emails → frais de notification + assistance juridique.

À retenir Adaptez plafond et options à la valeur des données et aux pénalités contractuelles que vous signez.

Budget et optimisation

Ordres de grandeur freelance/TPE : ~100-250 €/an pour une couverture de base, plus si plafond élevé ou options fraude. Réduire la prime : MFA, sauvegardes, politiques d’accès, formation phishing ; certains assureurs appliquent des réductions si vous prouvez vos contrôles.

À retenir Investir dans la sécurité (MFA, backups) réduit à la fois le risque et parfois la prime. Négociez sur cette base.

Prime vs coût potentiel

Exemple : prime 200 €/an, franchise 1 000 €, plafond 100 000 €. Un incident ransomware avec 10 jours d’arrêt (revenu perdu 5 000 €) + forensic/restauration 3 000 € + communication 1 000 € + éventuelles notifications 1 000 € → 10 000 € de coût. La prime et la franchise paraissent faibles au regard du risque.

À retenir Chiffre ce scénario pour convaincre un client ou justifier en interne le coût de la police.

Option ingénierie sociale / fraude

Beaucoup de polices excluent ou plafonnent la fraude (virements frauduleux après phishing). Vérifiez si l’option est incluse, son plafond (souvent bas) et la franchise. Comparez avec votre exposition : montants de virements, fréquence, processus de validation.

À retenir Un double contrôle (4-eyes) et un processus anti-phishing réduit le risque et peut servir d’argument pour limiter la franchise.

BYOD, sous-traitants et cloud

Exclusions fréquentes : appareils personnels non sécurisés, prestataires non déclarés, cloud non couvert. Vérifiez que la police couvre vos assets BYOD (chiffrement, antivirus/EDR requis), vos sous-traitants (devs, ops) et vos principaux fournisseurs cloud/SaaS.

À retenir Ajoutez une annexe “stack” dans votre dossier assurance pour prouver vos contrôles sur BYOD et sous-traitants (NDA, MFA, accès limités).

Architecture de base recommandée

• MFA partout (mail, cloud, gestion de code, facturation).
• Sauvegardes immutables / hors ligne testées (restauration mensuelle).
• Postes chiffrés, antivirus/EDR, mises à jour auto, comptes limités.
• Segmentation : séparer perso/pro, séparer environnements client.
• Gestion des secrets : manager + rotation, pas de partage par email.

À retenir Ces contrôles sont souvent des prérequis implicites. Sans eux, l’indemnisation peut être réduite.

Tableau comparatif type

Colonnes : franchise, plafond sinistre/année, ransomware/data breach/fraude inclus ?, assistance 24/7 (oui/non), prestataires agréés, exclusions (BYOD, sous-traitants, obsolescence), option e-réputation, option pertes d’exploitation, prime annuelle.

À retenir Un tableau met en évidence les polices qui paraissent moins chères mais excluent votre cas d’usage (cloud, BYOD).

Cas sinistre fictif : ransomware

Laptop chiffré, données client non accessibles, arrêt 10 jours. Coûts : intervention forensic 1 500 €, restauration 1 000 €, pertes d’exploitation 10 j, communication 500 €, éventuelles notifications. Comparez ces montants au plafond/franchise de votre police.

À retenir Une franchise de 1 500 € peut être acceptable si l’assistance prend en charge la coordination et la communication de crise.

Clauses sécurité dans vos contrats clients

Précisez : mesures minimales (MFA, backups), notification d’incident sous X heures, responsabilité limitée, exclusions (force majeure, faute client), et alignement sur votre police (pas de pénalités contractuelles illimitées).

À retenir Vos contrats ne doivent pas promettre plus que ce que couvre votre assurance. Alignez les plafonds contractuels sur vos plafonds d’assurance.

Formation et sensibilisation

Même en solo : mini-formation phishing (30 min), routine patch, test de restauration. Si vous travaillez avec des freelances partenaires, imposez MFA et un socle d’hygiène (chiffrement, antivirus).

À retenir Certains assureurs réduisent la prime si vous prouvez une formation sécurité régulière.

Logs, preuves et conformité

Conservez les journaux d’accès critiques (mail, cloud, dépôt code), les rapports de sauvegarde et les preuves de restauration réussie. Ces éléments aident en cas de sinistre et montrent votre diligence à l’assureur.

À retenir Un log d’accès et un ticket de restauration testée peuvent accélérer l’acceptation de la garantie.

Plan d’action 30-60-90 jours

J+30

Activer MFA partout, inventorier assets (laptop, comptes cloud), vérifier sauvegardes, préparer un tableau comparatif de 3 assureurs.

J+60

Sélectionner la police, vérifier exclusions, signer. Tester restauration backup, rédiger runbook incident, modèle de notification RGPD.

J+90

Simuler un incident (tabletop), vérifier assistance 24/7, ajuster plafonds/franchise si besoin. Mettre à jour contrats clients (clause sécurité/notification).

À retenir Un exercice de simulation révèle les trous (contacts, backups, communication) et rend l’assurance vraiment utile.

Évaluation annuelle

1) Revoir CA, valeur des données, nouveaux clients sensibles. 2) Ajuster plafond/franchise. 3) Vérifier que vos contrôles (MFA, backups) sont toujours en place et documentés. 4) Mettre à jour la liste des sous-traitants et outils cloud.

À retenir Caler cette revue lors de la reconduction de la police ou de votre audit interne garantit la cohérence contrat/sécurité.

Check-lists

Avant de signer

• Franchise, plafond, exclusions clés (BYOD, obsolescence, sauvegardes).
• Assistance 24/7 incluse et prestataires validés.
• Option fraude/ingénierie sociale si risque.
• Couverture pertes d’exploitation / e-réputation.

Dossier de souscription

• Inventaire assets (postes, cloud, dépôts code, sauvegardes).
• Politique MFA, backups (dates de tests), antivirus/EDR.
• Liste sous-traitants/outils SaaS, clauses de sécurité.
• Chiffre d’affaires, contrats sensibles, pénalités contractuelles éventuelles.

Hygiène minimale

• MFA sur comptes mail, cloud, outils pro.
• Sauvegardes hors ligne/immutables testées.
• Mises à jour automatiques, antivirus/EDR.
• Gestion des mots de passe (manager, secrets distincts).

Runbook incident

• Contacts assistance assureur 24/7.
• Étapes : isoler, alerter, collecter, restaurer, notifier.
• Modèle d’email RGPD (CNIL + personnes concernées).
• Preuves de sauvegardes et inventaire assets.

Contacts d’urgence

• Assistance cyber (téléphone/mail 24/7).
• Prestataire IT / forensic de confiance.
• Contact juridique RGPD / CNIL.
• Contact communication (e-réputation).

Revue mensuelle

• Tests backups/restaurations (notez la date).
• Revue des accès (retirer les comptes inutiles).
• Mises à jour critiques appliquées.
• Tableau incidents/alertes (même s’ils sont mineurs).

L’essentiel

• RC Pro ≠ cyber : prenez une couverture dédiée.
• MFA + sauvegardes testées = socle avant de s’assurer.
• Assistance 24/7 et prestataires sont aussi importants que le plafond.
• Vérifiez exclusions (BYOD, obsolescence) avant de signer.
• Simulez un incident : vous verrez si la police est opérationnelle.
• Option fraude/ingénierie sociale souvent limitée : vérifiez plafonds/franchise.
• Test de restauration mensuel : meilleure preuve de résilience et d’assurabilité.
• Alignez vos plafonds contractuels sur vos plafonds d’assurance.

FAQ assurance cyber freelance

La RC Pro couvre-t-elle un ransomware ?

Non, la plupart des RC Pro excluent les cyber-incidents. Il faut une garantie cyber dédiée.

Quelle franchise choisir ?

Calculez votre trésorerie disponible. Franchise trop haute = peu d’intérêt sur un sinistre moyen. Visez un équilibre prime / reste à charge.

Les données clients dans le cloud sont-elles couvertes ?

Oui si la police couvre le cloud/sous-traitants, sinon exclusion fréquente. Vérifiez les conditions “cloud provider”.

L’assurance paye-t-elle la rançon ?

Souvent non ou très encadré. Elle finance surtout la réponse, la restauration et la communication. Ne comptez pas sur le paiement de rançon.

Que faire si je travaille sur mon laptop perso (BYOD) ?

Mettez en place chiffrement, MFA, antivirus/EDR, comptes séparés. Vérifiez que le BYOD est couvert, sinon exclu.

L’assurance couvre-t-elle la perte d’e-réputation ?

Certains contrats incluent des frais de communication/PR. Vérifiez l’option e-réputation et son plafond.

Les sauvegardes cloud comptent-elles comme sauvegardes ?

Oui si elles sont isolées/immutables. Les sauvegardes “synchro” simples peuvent être chiffrées aussi. Préférez une sauvegarde hors ligne testée.

Puis-je déduire la prime d’assurance cyber ?

Oui, la prime est une charge professionnelle. En micro, elle s’intègre dans vos frais réels ; l’abattement forfaitaire reste inchangé.

L’assurance couvre-t-elle mes sous-traitants ?

Souvent non par défaut. Vérifiez si la police inclut vos prestataires ou exige qu’ils aient leur propre couverture et respectent vos règles de sécurité.

Faut-il déclarer tous les incidents ?

Oui, déclarez rapidement tout incident susceptible d’engager la garantie. Un retard ou une absence de déclaration peut réduire la prise en charge.

Conclusion

L’assurance cyber complète la RC Pro : elle finance l’intervention en cas de ransomware, data breach ou compromission, à condition de respecter les obligations de sécurité. Sans MFA, sauvegardes testées et runbook, la garantie peut être réduite et la reprise plus lente.

Passe à l’action : sécurise ton socle (MFA, backups, segmentation), compare 3 devis en vérifiant exclusions, franchise et assistance 24/7, puis simule un incident pour tester ton runbook. Aligne tes contrats clients avec tes plafonds et tes obligations. Tu limites ainsi l’impact d’un incident et tu protèges ta trésorerie comme ta réputation. Revois ton dispositif chaque année : nouveaux clients, nouveaux outils, nouveaux risques. Programme un rappel annuel.