STOIK, DATTAK, HISCOX : trois offres, trois manières d’assurer le risque cyber
📩 Pour nous contacter: redaction@frenchweb.fr
Prévenir une attaque, mobiliser une équipe d’intervention, restaurer les systèmes puis financer les pertes d’exploitation : derrière une assurance cyber se trouvent désormais plusieurs services qui ne se comparent plus uniquement à partir d’un plafond de garantie ou d’une cotisation annuelle. Stoïk, Dattak et Hiscox illustrent trois approches du marché français. Les deux premiers ont construit leur modèle autour de l’intégration entre assurance et cybersécurité, tandis que Hiscox privilégie notamment une souscription simplifiée pour les petites entreprises.
Pour les dirigeants, la question est moins de savoir qui propose la couverture la plus élevée que ce qui se passera concrètement le jour où leur système informatique deviendra indisponible. Nous vous proposons d’y voir plus clair.
Prenons une PME dont le système informatique devient inaccessible un lundi matin. Les commandes ne peuvent plus être préparées, les commerciaux perdent l’accès aux dossiers clients et la comptabilité ne sait pas encore si les coordonnées bancaires de certains fournisseurs ont été compromises.
Le prestataire informatique commence à analyser l’incident, quand dans le même temps, la direction doit déterminer quelles activités peuvent continuer, identifier les données potentiellement compromises, informer ses partenaires si nécessaire et mesurer les conséquences financières de l’arrêt.
Réparer quelques serveurs ne suffit alors pas, il faut éventuellement reconstruire des systèmes, vérifier l’intégrité des données, mobiliser des spécialistes de la réponse à incident, engager des dépenses d’urgence, traiter les obligations juridiques et financer plusieurs jours d’interruption d’activité. C’est précisément sur cette chaîne que se positionnent désormais les assurances cyber.
Stoïk, Dattak et Hiscox : trois modèles à comparer
Les trois offres retenues couvrent une partie de ces besoins, mais selon des logiques différentes.
| Stoïk | Dattak | Hiscox CyberClear Premium | |
|---|---|---|---|
| Approche | Assurance, prévention continue et réponse à incident intégrées | Assurance, plateforme cyber et CERT intégrés | Assurance cyber dédiée avec parcours simplifié |
| Prévention | Stoïk Protect : scan externe, cloud, Active Directory, phishing, formation | Dattak Défense : scans, audit de surface d’exposition, phishing, Active Directory et cloud | Outils de prévention, notamment Norton Small Business |
| Réponse à incident | CERT Stoïk internalisé, disponible 24/7 | CERT Dattak intégré, disponible 24/7 | Assistance d’experts 24/7 |
| Cyberfraude | Selon garanties du contrat | Avec ou sans intrusion annoncée dans l’offre | À examiner selon contrat |
| Panne informatique sans attaque | À vérifier selon garanties souscrites | Garantie défaillance du SI disponible en option | À vérifier selon contrat |
| Cible mise en avant | PME et ETI éligibles jusqu’à 750 M€ de CA dans le parcours standard | Entreprises, avec capacité de couverture jusqu’à 20 M€ | Start-up, TPE et PME jusqu’à 25 M€ de CA pour CyberClear Premium |
| Point à examiner | Déploiement réel des outils de prévention et conditions d’éligibilité | Étendue des risques technologiques couverts au-delà de l’attaque | Différence entre contrat cyber dédié et éventuelles garanties cyber intégrées à d’autres contrats |
Comparatif documentaire réalisé à partir des informations publiques disponibles en septembre 2026. Les garanties, exclusions, franchises, sous-plafonds et conditions d’éligibilité dépendent du contrat effectivement proposé à chaque entreprise.
Stoïk veut intervenir avant que le sinistre ne se produise
Stoïk a construit son modèle autour de l’idée qu’un assureur cyber a intérêt à réduire lui-même la probabilité d’un sinistre.
Son environnement Stoïk Protect comprend notamment un scan automatisé de la surface exposée sur Internet, réalisé régulièrement, ainsi que des outils dédiés aux configurations cloud, à Active Directory et aux campagnes de phishing. Le scan externe analyse chaque semaine les éléments visibles depuis Internet afin d’identifier certaines vulnérabilités avant qu’elles ne puissent être exploitées.
L’objectif est de créer une continuité entre souscription, prévention et gestion de crise.
Le modèle est particulièrement intéressant pour les PME qui ne disposent pas d’une équipe cybersécurité importante. Détecter automatiquement un service exposé, une mauvaise configuration cloud ou une faiblesse d’Active Directory peut leur permettre d’identifier des risques qui resteraient autrement invisibles.
Mais l’existence de ces outils ne dispense pas l’entreprise d’organiser leur traitement, car une vulnérabilité détectée reste une vulnérabilité tant que quelqu’un ne l’a pas corrigée. La question à poser n’est donc pas seulement : « Quels outils sont compris dans l’assurance ? », mais également : « Qui reçoit les alertes, qui doit intervenir et dans quels délais ? »
Stoïk dispose également de son propre CERT pour gérer les incidents de ses assurés et assure une disponibilité permanente.
L’intégration permet théoriquement de rapprocher trois fonctions historiquement séparées, à savoir assurer le risque, identifier les vulnérabilités et intervenir lorsque l’attaque commence. C’est aussi ce qui rapproche Stoïk de Dattak.
Dattak élargit progressivement le cyber au risque technologique
Dattak repose sur une architecture comparable : une assurance, une plateforme de prévention et une équipe de réponse aux incidents.
La plateforme Dattak Défense analyse notamment les services exposés sur Internet, les vulnérabilités connues et l’évolution de la surface d’attaque. Certains scans liés à Active Directory et au cloud sont également proposés, auxquels peuvent s’ajouter des services comme le test d’intrusion ou la détection managée.
L’entreprise internalise également la réponse à incident avec son CERT.
Mais Dattak élargit désormais son positionnement au-delà de la seule cyberattaque. Le groupe se présente comme un opérateur de gestion des risques technologiques couvrant les cyberattaques, la fraude, certaines pannes informatiques, des dépendances à des infrastructures ou services tiers ainsi que la responsabilité professionnelle.
Cette extension mérite attention car toutes les interruptions informatiques ne sont pas provoquées par des attaquants.
Un logiciel SaaS critique peut devenir indisponible. Une infrastructure cloud peut rencontrer un incident. Une mise à jour peut provoquer une panne majeure. Dans tous ces cas, l’activité peut être interrompue sans qu’il existe nécessairement d’intrusion malveillante.
L’offre Cyber Proactive de Dattak prévoit ainsi une capacité pouvant atteindre 20 millions d’euros en couverture primaire ou complémentaire. Elle mentionne également la cyberfraude avec ou sans intrusion et une option relative aux interruptions provoquées par une défaillance technique du système d’information.
Cette distinction est loin d’être théorique.
Un collaborateur qui effectue un virement vers le compte d’un faux fournisseur après avoir reçu un email frauduleux n’est pas nécessairement confronté au même scénario contractuel qu’une entreprise dont le réseau a été infiltré par un malware.
De même, une panne informatique majeure peut produire exactement les mêmes conséquences économiques qu’une attaque : arrêt de production, salariés immobilisés, commandes impossibles à traiter et chiffre d’affaires perdu. Le contrat doit donc qualifier précisément chacun de ces événements.
Hiscox mise sur la simplicité d’accès à une assurance dédiée
Avec CyberClear Premium, Hiscox adopte une logique différente.
L’offre vise les start-up, TPE et PME réalisant jusqu’à 25 millions d’euros de chiffre d’affaires. Elle est distribuée via les courtiers utilisant l’extranet MyHiscox, avec un parcours annoncé sans questionnaire ni prérequis technique pour cette offre spécifique.
Le produit associe une assurance cyber à des services de prévention, dont Norton Small Business, une assistance d’experts disponible 24 heures sur 24 et une protection juridique cyber.
Pour une petite entreprise, cette simplification peut répondre à un obstacle important : l’assurance cyber reste fréquemment perçue comme un produit complexe, nécessitant questionnaires techniques, audits préalables et échanges entre dirigeant, prestataire informatique et courtier.
La simplification du parcours ne doit cependant pas être confondue avec celle du risque.
Un contrat facile à souscrire peut toujours comporter des franchises, exclusions, limites géographiques, délais d’attente ou sous-plafonds, il faut également vérifier quelles dépenses sont effectivement couvertes lors de l’incident et lesquelles continueront d’être supportées directement par l’entreprise.
Le plafond de garantie ne permet pas de savoir combien l’entreprise touchera
C’est probablement l’erreur la plus fréquente dans la comparaison des assurances cyber.
Une capacité de plusieurs millions d’euros ne correspond pas nécessairement au montant disponible pour chaque sinistre. Le contrat peut prévoir des franchises, des sous-limites pour certaines catégories de dommages ou des conditions particulières pour les pertes d’exploitation, la fraude ou les prestataires externes.
Il faut donc repartir du risque économique de l’entreprise.
Prenons une PME estimant perdre 8 000 euros de marge brute par journée d’interruption. Une indisponibilité de dix jours représenterait déjà 80 000 euros. Ajoutons 40 000 euros de dépenses consacrées à l’investigation informatique, à la restauration du système et à l’accompagnement juridique : le coût du scénario atteint 120 000 euros.
Ce montant n’est pas une estimation d’indemnisation, il devient en revanche une base utile pour comparer plusieurs propositions.
À chaque assureur ou courtier peuvent alors être posées les mêmes questions : quelle franchise ? Quel délai d’attente avant l’indemnisation des pertes d’exploitation ? Quels frais techniques sont couverts ? L’intervention des experts vient-elle diminuer l’enveloppe disponible ? Pendant combien de temps les pertes d’exploitation peuvent-elles être indemnisées ?
Cette méthode permet également de tester les dépendances à des fournisseurs extérieurs.
Une entreprise peut parfaitement disposer d’un système informatique opérationnel et se retrouver incapable de travailler parce qu’un prestataire cloud, une plateforme logistique ou un logiciel SaaS essentiel est indisponible.
Pour les éditeurs de logiciels et les ESN, la responsabilité vis-à-vis des clients change l’équation
Le raisonnement devient encore différent pour une entreprise technologique, un éditeur SaaS victime d’une attaque peut subir ses propres pertes d’exploitation tout en étant incapable de fournir le service promis à ses clients.
Deux risques apparaissent alors simultanément, le premier concerne l’entreprise elle-même : reconstruction de son infrastructure, perte de données, interruption du chiffre d’affaires, quand le second concerne ses clients, qui peuvent à leur tour subir un préjudice et rechercher sa responsabilité.
C’est pourquoi cyberassurance et responsabilité civile professionnelle ne peuvent pas toujours être examinées séparément.
Dattak propose par exemple une combinaison RC Pro + Cyber destinée notamment aux acteurs de la technologie et des services. Les deux couvertures peuvent également être souscrites séparément.
Pour un éditeur, une ESN, un hébergeur ou un infogérant, le travail consiste alors à rapprocher les garanties d’assurance des engagements figurant dans les contrats commerciaux. Quel niveau de disponibilité a été promis au client ? Des pénalités sont-elles prévues ? Qui est responsable des données ? Quels dommages indirects peuvent être réclamés ? L’assurance cyber ne doit plus uniquement être confrontée au système informatique de l’entreprise, mais à son modèle contractuel.
Les premières heures d’une cyberattaque sont aussi une course juridique
Une cyberattaque déclenche enfin plusieurs calendriers qui ne doivent pas être confondus.
En France, l’article L12-10-1 du Code des assurances prévoit que l’indemnisation des pertes et dommages entrant dans son champ est conditionnée, pour les professionnels concernés, au dépôt d’une plainte au plus tard 72 heures après la connaissance de l’atteinte.
À cette obligation peut s’ajouter celle découlant du RGPD, lorsqu’une violation de données personnelles présente un risque pour les droits et libertés des personnes, l’entreprise doit la notifier à la CNIL dans les meilleurs délais et, en principe, dans un délai maximal de 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent également être informées dans les conditions prévues par la réglementation.
Ces procédures sont distinctes de la déclaration du sinistre à l’assureur. En quelques heures, l’entreprise peut donc devoir simultanément contenir l’incident, préserver les preuves, évaluer les données compromises, prévenir son assureur, déposer plainte et déterminer si une notification à la CNIL est nécessaire.
La qualité de l’assistance juridique et de la coordination avec les équipes techniques devient alors une composante concrète de l’assurance.
Le véritable comparatif commence par cinq scénarios
Stoïk, Dattak et Hiscox illustrent finalement trois manières de structurer une protection cyber, mais aucune comparaison sérieuse ne peut se limiter au prix annuel.
Avant de demander des devis, une entreprise devrait tester au moins cinq événements : un ransomware qui bloque son infrastructure, une fraude au faux fournisseur, une panne informatique sans attaque, l’indisponibilité d’un fournisseur cloud ou SaaS critique et une violation de données entraînant des réclamations de clients.
Pour chacun, elle doit demander ce que couvre précisément le contrat, qui intervient, pendant combien de temps et quel montant reste à sa charge. Les différences deviennent alors beaucoup plus visibles.
Stoïk et Dattak ont construit leur proposition autour d’une intégration poussée entre prévention, assurance et intervention. Hiscox cherche notamment à faciliter l’accès à une couverture dédiée pour les petites structures.
Le choix dépendra donc moins du nombre de fonctionnalités inscrites dans la documentation commerciale que de l’organisation existante de l’entreprise.
Une PME sans responsable cybersécurité pourra rechercher un dispositif capable de transformer des alertes techniques en actions concrètes. Une entreprise déjà équipée d’un RSSI et d’un SOC aura d’autres attentes. Un éditeur SaaS devra regarder de très près l’articulation entre cyber et responsabilité professionnelle.
Acheter une assurance cyber ne revient donc pas à déléguer la résilience de l’entreprise, le contrat doit être considéré comme l’une des composantes d’un système associant prévention, prestataires informatiques, gestion de crise, obligations réglementaires et capacité financière.
La question décisive n’est finalement pas seulement : « Combien serons-nous indemnisés ? » mais « Lorsque notre activité s’arrêtera, qui interviendra, que prendra-t-il en charge et que devrons-nous encore organiser et financer nous-mêmes ? »
Le bon réflexe : ne pas comparer uniquement trois devis, mais faire appliquer chaque contrat à trois ou quatre scénarios réalistes pour l’entreprise et mesurer, pour chacun, ce qui est couvert, qui intervient et ce qui reste à financer.
10 questions à se poser avant de choisir une assurance cyber
Ransomware, fraude au faux fournisseur, vol de données, panne informatique, erreur humaine, indisponibilité d’un prestataire cloud : tous les événements ne sont pas nécessairement traités de la même manière.
Il faut regarder le délai d’attente, la durée maximale d’indemnisation et la méthode utilisée pour calculer la perte financière.
Une panne AWS, Azure, d’un logiciel SaaS ou d’un prestataire informatique peut arrêter l’activité sans compromettre directement le système de l’entreprise.
CERT interne, prestataire mandaté, hotline, experts juridiques : il faut savoir qui appelle qui, dans quels délais et avec quel niveau de disponibilité.
Forensic, restauration des systèmes, avocats, communication de crise ou négociation peuvent parfois être imputés sur une même enveloppe.
Le plafond affiché est moins important que le montant réellement mobilisable après application des franchises, sous-plafonds et exclusions.
Un faux ordre de virement ou une fraude au président peut survenir sans malware ni compromission du système informatique.
Scan de vulnérabilités, phishing, Active Directory, cloud, formation : il faut distinguer les fonctions incluses, les options et surtout savoir qui traite les alertes.
Pour un éditeur SaaS, une ESN ou un hébergeur, une attaque peut provoquer non seulement ses propres pertes mais aussi des réclamations de clients.
Délais de déclaration, dépôt de plainte, mesures minimales de sécurité, sauvegardes, MFA ou procédures internes : une garantie peut devenir inopérante si certaines conditions contractuelles ne sont pas respectées.
Notre politique éditoriale concernant l'intelligence artificielle
Les analyses et articles sont rédigées par des journalistes.
L'IA peut être utilisée comme outil d'assistance (traduction, synthèse, recherche documentaire ou amélioration stylistique).
Les faits, chiffres et analyses sont systématiquement vérifiés et validés par la rédaction.
Les illustrations générées ou modifiées par IA sont explicitement signalées.
