Le questionnaire d’assurance cyber n’est pas une formalité. Vos réponses font partie du contrat. Si vous déclarez une mesure de sécurité qui n’est pas vraiment en place, l’assureur peut réduire ou refuser votre réclamation le jour où vous en aurez le plus besoin. La solution : vérifier chaque réponse avec votre équipe TI et garder la preuve.
Le marché de l’assurance cyber en 2026
- Seulement 22 % des PME canadiennes ont une assurance cyber, et 12 % une police distincte (sondage Angus Reid pour le Bureau d’assurance du Canada, 2025).
- 72 % des propriétaires de PME craignent que l’intelligence artificielle rende les risques cyber plus difficiles à gérer.
- Bonne nouvelle : les prix baissent. Selon Marsh, les tarifs de l’assurance cyber au Canada ont reculé de 6 % au deuxième trimestre de 2026. Les entreprises qui ont de bons contrôles obtiennent de meilleures conditions.
Ce que les assureurs vérifient, et la preuve à garder
| Mesure demandée | La question type | La preuve à garder |
|---|---|---|
| Authentification multifacteur | Est-elle active pour le courriel, l’accès à distance et les comptes administrateur? | Rapport des politiques d’accès et liste des exceptions |
| Protection des postes (EDR) | Est-elle installée sur 100 % des postes et serveurs? | Rapport de la console, comparé à votre inventaire |
| Sauvegardes | Sont-elles hors ligne ou inaltérables, et testées? | Configuration et journal daté des tests de restauration |
| Mises à jour | Les correctifs critiques sont-ils appliqués rapidement? | Rapport mensuel de conformité |
| Systèmes en fin de vie | Avez-vous encore Windows 10 ou des serveurs non soutenus? | Inventaire et plan de remplacement |
| Comptes privilégiés | Les administrateurs ont-ils des comptes séparés? | Liste des comptes administrateur et revue trimestrielle |
| Courriel | Filtrage, protection contre l’usurpation (SPF, DKIM, DMARC)? | Configuration du domaine et du filtrage |
| Formation | Vos employés sont-ils formés et testés contre l’hameçonnage? | Taux de complétion et résultats des simulations |
| Paiements | Les changements de coordonnées bancaires sont-ils vérifiés par téléphone? | Procédure écrite de double autorisation |
| Plan d’intervention | Avez-vous un plan en cas d’incident? | Plan daté, contacts et exercice annuel |
| Accès des fournisseurs | Vos fournisseurs TI utilisent-ils l’authentification multifacteur? | Liste des outils d’accès à distance et contrats |
| Tests de sécurité | Faites-vous un audit ou un test d’intrusion annuel? | Dernier rapport et preuve des corrections |
Ce qui arrive si vous répondez mal
Aux États-Unis, l’entreprise International Control Services avait déclaré utiliser l’authentification multifacteur. En réalité, elle ne protégeait que son pare-feu. Après une attaque par rançongiciel en 2022, l’assureur Travelers a demandé l’annulation de la police, et l’entreprise y a consenti. Elle s’est retrouvée sans couverture.
Au Québec, le Code civil prévoit qu’une fausse déclaration faite sans mauvaise foi réduit l’indemnité en proportion de la prime qui aurait dû être payée; si l’assureur n’aurait jamais accepté le risque, ou en cas de mauvaise foi, il peut ne rien payer.
En Ontario, la Cour d’appel a confirmé en 2025 (Kashin c. G.E.S. Construction) qu’un assureur pouvait annuler une police parce que l’entreprise avait mal décrit ses activités dans sa demande. Partout au Canada, les formulaires des assureurs excluent aussi les réclamations liées à des faits non déclarés.
Les menaces qui font grimper les exigences
- Le rançongiciel. Selon le Centre canadien pour la cybersécurité, les incidents de rançongiciel au Canada augmentent d’environ 26 % par année depuis 2021.
- La fraude par courriel. L’usurpation de courriel et la fraude au virement représentaient 58 % des incidents déclarés à l’assureur Coalition en 2025.
- L’hameçonnage dopé à l’IA. Les faux courriels et les fausses voix sont plus crédibles que jamais. Le Centre antifraude du Canada a recensé plus de 704 millions $ de pertes déclarées en 2025.
- Les lois sur la vie privée. En Ontario et ailleurs au Canada, la loi fédérale (LPRPDE) oblige depuis 2018 à déclarer au Commissariat à la protection de la vie privée toute atteinte qui présente un risque réel de préjudice grave, à aviser les personnes touchées et à tenir un registre pendant 24 mois. Au Québec, la Loi 25 impose ses propres règles : la CAI a reçu 514 déclarations d’incidents en 2024-2025.
Avant de signer votre questionnaire
- Faites valider chaque réponse par votre équipe ou votre fournisseur TI, preuve à l’appui.
- Ne cochez « oui » que si la mesure est en place partout, pas seulement en partie.
- Gardez une copie datée du questionnaire signé.
- Rassemblez les preuves du tableau ci-dessus dans un même dossier.
- Avisez votre assureur de tout changement important pendant l’année.
Comment UpSystems vous aide à répondre « oui » pour vrai
- Audit de sécurité (300 $ à 2 500 $, 1 à 2 jours). On passe votre questionnaire en revue avec vous, on vérifie chaque mesure et vous repartez avec les preuves et un plan pour combler les écarts.
- Test d’intrusion (dès 4 000 $). Plusieurs assureurs demandent un test annuel. Notre rapport, en français ou en anglais, documente ce qui a été testé et corrigé.
- Services gérés (dès 25 $ par utilisateur par mois). Authentification multifacteur, mises à jour, protection avancée des postes avec des outils comme SentinelOne et Bitdefender, surveillance 24/7 et formation anti-hameçonnage en option.
- Une équipe mesurée. Note de 4,6 sur 5 après chaque billet, garantie satisfaction de 30 jours et plus de 75 entreprises accompagnées.
Votre renouvellement approche? Réservez un appel de 30 minutes et apportez votre questionnaire. Voir aussi notre audit de sécurité.
Questions fréquentes
L’assurance cyber est-elle obligatoire pour une PME?
Non, mais certains clients et donneurs d’ordre l’exigent par contrat. Le Centre canadien pour la cybersécurité recommande de la souscrire, ou de documenter pourquoi on ne le fait pas.
Un assureur peut-il refuser une réclamation cyber?
Oui, notamment si une réponse du questionnaire était inexacte. Au Québec, l’indemnité peut être réduite, ou refusée en cas de mauvaise foi. En Ontario, les tribunaux ont confirmé l’annulation d’une police pour fausse déclaration dans la demande.
L’authentification multifacteur est-elle exigée?
C’est la question la plus fréquente des questionnaires : pour le courriel, l’accès à distance et les comptes administrateur. Sans elle, attendez-vous à une prime plus élevée ou à un refus.
Que faire si une mesure n’est pas encore en place?
Répondez honnêtement et joignez votre plan avec une date. Un écart déclaré coûte moins cher qu’une réclamation refusée.