Un reportage diffusé par QUB radio met en lumière un cas de piratage informatique dont les pertes n’auraient pas été couvertes par une police d’assurance classique. Les détails précis de l’incident demeurent limités, mais le constat qu’il illustre concerne directement les PME et OBNL québécois.
L’essentiel
- Les polices d’assurance standards excluent souvent les cyberrisques, laissant les PME exposées à des pertes financières non couvertes.
- Selon le reportage, les détails de l’attaque restent limités, mais l’alerte sur les lacunes d’assurance demeure claire et transposable.
- Une cyberassurance spécifique peut combler certaines lacunes, mais elle ne remplace pas la prévention ni un plan de réponse.
- Vérifier les exclusions de son contrat d’assurance et formaliser un plan de réponse aux incidents réduit l’exposition financière d’une organisation.
Que s’est-il passé, selon les informations disponibles ?
Selon un reportage de QUB radio, un cas de piratage informatique a mis en évidence que les pertes subies par l’entreprise touchée n’étaient pas couvertes par son assurance classique, les cyberrisques figurant souvent parmi les exclusions courantes des polices d’affaires standards.
D’après le reportage, les détails précis de l’incident (secteur touché, nature exacte de l’intrusion, montant des pertes) n’ont pas été rendus publics. Ce que le reportage retient, c’est un constat plus large : les cyberrisques, au même titre que certains risques climatiques, échappent souvent aux contrats d’assurance générale des entreprises. Aucune information disponible ne permet d’attribuer cette attaque à un groupe précis ni de préciser la date ou le lieu exacts de l’incident.
Pourquoi les cyberrisques sont-ils souvent exclus des assurances classiques ?
Les polices d’assurance d’affaires traditionnelles ont été conçues pour des risques matériels (incendie, vol, dégâts d’eau) et ne couvrent pas automatiquement les pertes liées à une intrusion informatique, une exfiltration de données ou un arrêt d’activité causé par une cyberattaque, sauf avenant spécifique.
Historiquement, les contrats d’assurance générale d’affaires ont été bâtis autour de dangers physiques et mesurables. Les pertes liées à une cyberattaque (interruption d’activité, coûts de restauration, extorsion, atteinte à la réputation) suivent une logique différente et sont souvent classées comme exclusions explicites ou implicites dans les polices standards. C’est pour cette raison que des produits d’assurance spécifiques, dits cyberassurance, existent désormais sur le marché, avec leurs propres conditions et limites.
Qu’est-ce que cela change pour une PME ou un OBNL québécois ?
Sans couverture cyber adaptée, une organisation qui subit une attaque doit absorber seule les coûts de restauration des systèmes, de gestion de crise et, potentiellement, de notification des personnes concernées, ce qui peut peser lourdement sur sa trésorerie et sa continuité d’exploitation.
Les PME et OBNL disposent généralement de moins de marge financière que les grandes organisations pour absorber un choc imprévu. Un incident non couvert peut ainsi fragiliser durablement une organisation, même lorsque l’attaque elle-même a été contenue rapidement sur le plan technique. La question de la couverture d’assurance devient alors un enjeu de gouvernance au même titre que la sécurité informatique elle-même.
Comment réduire cette exposition sans attendre un incident ?
Revoir les clauses d’exclusion de son contrat d’assurance, appliquer les contrôles de cybersécurité de base recommandés pour les petites organisations et tenir un registre des incidents conforme aux obligations québécoises sont des mesures concrètes qui rendent ce scénario nettement plus difficile à subir sans préparation.
Une première étape consiste à demander à son courtier ou assureur une lecture claire des exclusions relatives aux incidents informatiques. En parallèle, l’application de contrôles de base (sauvegardes isolées, gestion des accès, mise à jour des systèmes, sensibilisation du personnel au hameçonnage) réduit la probabilité qu’un incident survienne et facilite la reprise s’il survient malgré tout. Ces mesures ne rendent aucun scénario impossible, mais elles rendent l’ensemble nettement plus difficile à exploiter pour un attaquant.
FAQ
Une cyberassurance est-elle obligatoire pour les PME au Québec ?
Non, aucune loi québécoise n’oblige actuellement une entreprise à détenir une cyberassurance. Ce que le cadre légal impose, à travers la Loi sur la protection des renseignements personnels dans le secteur privé, ce sont des obligations de sécurité, de tenue d’un registre des incidents de confidentialité et, dans certains cas, de notification à la Commission d’accès à l’information et aux personnes concernées. La cyberassurance reste un choix de gestion des risques, distinct de ces obligations légales. Chaque contexte client est unique, ce qui rend tout tarif unique impossible à afficher honnêtement; l’analyse de la pertinence d’une telle couverture dépend de la nature des activités, des données traitées et de la tolérance au risque de l’organisation.
Que doit faire une organisation québécoise après une atteinte à la confidentialité de données ?
La Loi sur la protection des renseignements personnels dans le secteur privé, encadrée par la Commission d’accès à l’information du Québec, impose la tenue d’un registre des incidents de confidentialité et, lorsque l’incident présente un risque de préjudice sérieux, une notification à la Commission ainsi qu’aux personnes dont les renseignements sont concernés. Ces obligations s’appliquent indépendamment du fait qu’une assurance couvre ou non les pertes financières associées. Elles concernent aussi les organismes à but non lucratif qui traitent des renseignements personnels, pas seulement les entreprises à but lucratif de plus grande taille.
Comment évaluer si notre organisation est suffisamment préparée face à ce type de risque ?
Il n’existe pas d’indicateur unique permettant de confirmer une préparation suffisante, mais certaines vérifications donnent une image fiable de l’exposition réelle : relire les exclusions du contrat d’assurance actuel, vérifier si les contrôles de cybersécurité de base recommandés pour les petites et moyennes organisations sont appliqués, confirmer l’existence d’un registre des incidents et d’un plan de réponse testé, et s’assurer que les sauvegardes sont isolées du réseau principal. Ces vérifications ne rendent pas un incident impossible, mais elles réduisent fortement l’exposition et facilitent une reprise plus rapide si un incident survient malgré tout.
Sources
- QUB radio · presse, 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
