cybersécurité
Assurance cyber entreprise du BTP : ce que vous devez savoir
Une entreprise du bâtiment n'a ni salle serveur ni équipe informatique, et c'est précisément ce qui en fait une cible. Vos devis, vos situations de travaux, vos plans, vos coordonnées bancaires fournisseurs vivent dans une poignée de fichiers partagés et dans une messagerie que trente personnes consultent depuis le chantier. Un rançongiciel qui chiffre ce dossier vous arrête aussi net qu'une grue en panne. Un virement détourné vers un faux fournisseur vous coûte une marge de chantier entière. Le sujet n'est pas technique : il est financier, et il touche des entreprises de dix salariés comme de trois cents.
Pourquoi une entreprise du BTP a besoin d'une assurance cybersécurité
Le bâtiment offre aux attaquants trois portes que d'autres secteurs n'ont pas. La première est le rythme des paiements. Vos règlements fournisseurs sont nombreux, irréguliers, souvent urgents en fin de mois : un e-mail annonçant un changement de RIB au moment de payer une situation ne surprend personne. La deuxième est la dispersion. Vos conducteurs de travaux ouvrent des pièces jointes depuis un téléphone, sur un chantier, entre deux réunions, avec un réseau qui n'est pas le vôtre. La troisième est la chaîne de sous-traitance : vous échangez chaque semaine des devis, des attestations et des plans avec des dizaines d'entreprises que vous ne contrôlez pas. Une boîte mail compromise chez l'une d'elles devient une boîte mail légitime pour vous attaquer. À cela s'ajoute une dépendance qu'on mesure mal : sans planning ni métrés, un chantier s'arrête en deux jours, et les pénalités de retard, elles, continuent de courir.
Ce que couvre l'assurance cybersécurité pour votre activité
Rançongiciel et remise en route de l'entreprise
La garantie finance d'abord une cellule de crise : experts en réponse à incident, isolement des postes, analyse de l'intrusion, puis reconstruction des serveurs et restauration des sauvegardes. Elle prend ensuite en charge la perte d'exploitation pendant l'arrêt, poste souvent plus lourd que la remise en état technique elle-même. Pour une entreprise du bâtiment, cette perte se lit en jours de chantier immobilisés, en équipes payées sans production et en pénalités contractuelles. Vérifiez la durée d'indemnisation prévue : deux semaines d'arrêt informatique ne se rattrapent pas en une semaine de chantier.
Fraude au virement et détournement de fonds
C'est le sinistre le plus fréquent, et le plus discret. Un e-mail imitant votre fournisseur habituel annonce un nouveau RIB. Une facture de sous-traitant est interceptée puis renvoyée modifiée. Un faux dirigeant réclame un règlement confidentiel pendant les congés. La garantie couvre la perte financière, sous réserve que la procédure interne de vérification annoncée à l'assureur ait été suivie : un double appel de contrôle sur un numéro connu, jamais celui figurant dans l'e-mail. Cette condition n'est pas un détail contractuel, c'est le premier point examiné après le sinistre.
Données de vos clients, salariés et sous-traitants
Vous détenez plus de données personnelles que vous ne le pensez : dossiers de personnel, cartes BTP, coordonnées de particuliers chez qui vous intervenez, parfois leurs codes d'accès et leurs plans intérieurs. Une fuite déclenche des obligations concrètes — notifier l'autorité de contrôle dans les délais réglementaires, informer les personnes concernées quand le risque est élevé — et des frais que la garantie prend en charge : conseil juridique, plateforme d'information, gestion des réclamations. S'y ajoute la défense en cas de recours d'un client dont les données ont circulé à cause de vous.
Ce que la garantie cyber ne remplace pas
Une attaque qui bloque votre logiciel de gestion ne devient jamais un sinistre décennal, et une malfaçon découverte pendant l'arrêt informatique reste du ressort de votre RC. À l'inverse, votre multirisque bureaux couvre le matériel volé ou brûlé, pas la donnée perdue ni la rançon. Ces contrats se complètent, ils ne se substituent pas. Un point mérite attention sur les chantiers récents : les systèmes de gestion technique du bâtiment que vous installez et parfois supervisez à distance créent une exposition supplémentaire, à signaler explicitement à l'assureur.
Exemple de sinistre
Rançongiciel bloquant l'accès aux dossiers de chantier
Une entreprise de gros œuvre de quarante salariés voit son serveur de fichiers chiffré un vendredi soir. Devis en cours, plannings, métrés, situations de travaux du mois : tout est illisible le lundi matin. Les sauvegardes existent, mais elles étaient branchées sur le même réseau et ont été chiffrées aussi. Il faut reconstruire les postes, repartir d'une copie vieille de trois semaines et ressaisir à la main les situations pour ne pas décaler la facturation. Quatre jours d'activité fortement dégradée. Entre l'intervention des experts, la reconstruction et la ressaisie, la prise en charge tourne autour de 32 000 €.
Obligations et bon à savoir
Aucun texte ne vous impose de souscrire une assurance cyber. En revanche, deux séries d'exigences s'appliquent bel et bien. Côté réglementaire, si vous traitez des données personnelles — et vous en traitez, ne serait-ce que pour vos salariés — une violation doit être notifiée à l'autorité de contrôle dans les délais prévus, et les personnes concernées informées lorsque le risque pour elles est élevé. Cela suppose de savoir ce qui a fuité, donc de disposer d'une trace des accès. Côté assureur, l'accès à la garantie est conditionné à un socle de sécurité que l'on vous demandera de déclarer : sauvegardes régulières testées et déconnectées du réseau, authentification à deux facteurs sur la messagerie et les accès distants, mises à jour appliquées, et surtout une procédure écrite de validation des changements de coordonnées bancaires. Une déclaration inexacte sur ces points se retourne contre vous au moment de l'indemnisation. Traitez-la comme une déclaration de risque, pas comme un formulaire.
FAQ
Une petite entreprise du bâtiment est-elle vraiment une cible pour les cyberattaques ?
Elle l'est davantage qu'une grande, pour une raison simple : la plupart des attaques ne sont pas ciblées. Elles balaient des milliers d'adresses et s'arrêtent là où la porte cède. Une PME du bâtiment n'a ni équipe informatique ni surveillance permanente, mais elle a une trésorerie, des données et une dépendance totale à quelques fichiers. C'est un rapport effort-gain que les attaquants connaissent bien, et c'est ce qui alimente l'essentiel des sinistres cyber déclarés par les petites structures.
La garantie couvre-t-elle un virement frauduleux vers un faux fournisseur ?
Oui, c'est le scénario le plus courant dans le bâtiment : un e-mail imitant un fournisseur habituel annonce un changement de RIB au moment de payer une situation. La prise en charge suppose que la procédure de vérification déclarée à l'assureur ait été respectée — typiquement un rappel de contrôle sur un numéro déjà connu, jamais sur celui indiqué dans le message. Un virement passé sans ce contrôle est le premier motif de refus.
Faut-il des prérequis de sécurité informatique pour souscrire ?
Oui, et ils se sont durcis. On vous demandera généralement des sauvegardes régulières, testées et déconnectées du réseau, une authentification à deux facteurs sur la messagerie et les accès distants, des mises à jour appliquées et une procédure écrite de validation des changements de coordonnées bancaires. Le niveau exigé varie avec votre taille et les plafonds visés. Ces réponses valent déclaration de risque : une inexactitude se paie au moment de l'indemnisation.
L'assurance paie-t-elle la rançon elle-même ?
C'est le point le plus variable d'un contrat à l'autre, et souvent le plus mal compris. Certains contrats l'excluent purement, d'autres la prévoient sous conditions strictes, avec accord préalable de l'assureur et vérification de la légalité du paiement. Dans la pratique, l'essentiel de la prise en charge porte ailleurs : réponse à incident, reconstruction du système, restauration des données et perte d'exploitation. Faites-vous préciser cette clause plutôt que de la supposer acquise.
Mes sauvegardes suffisent-elles à me dispenser d'une garantie cyber ?
Elles évitent le pire, elles ne couvrent pas le coût. Une sauvegarde saine vous épargne la perte définitive, mais il faut encore payer les experts, reconstruire les postes, ressaisir ce qui manque et absorber les jours de chantier immobilisés. Et beaucoup d'entreprises découvrent au moment de l'attaque que leur sauvegarde était branchée sur le même réseau, donc chiffrée avec le reste. Une sauvegarde déconnectée et testée est une condition de souscription, pas un substitut.