Assurance cyber : quelle preuve de formation vos salariés doivent-ils fournir ?
Mis à jour le 15 août 2026
Vous souscrivez ou renouvelez une assurance cyber, et le questionnaire de votre courtier vous demande si vos collaborateurs sont sensibilisés aux risques. La question n'est pas anodine : elle conditionne votre tarif, votre couverture, et parfois même votre indemnisation en cas de sinistre.
Pourquoi les assureurs l'exigent
La plupart des incidents cyber démarrent par une action humaine : un email d'hameçonnage ouvert, un identifiant divulgué, une mauvaise manipulation. Pour un assureur, un effectif sensibilisé est donc un effectif qui déclenche moins de sinistres, et des sinistres moins coûteux.
Résultat : la sensibilisation des salariés est devenue un critère de souscription standard, au même titre que la double authentification (MFA), les sauvegardes régulières ou la mise à jour des systèmes. Sur les contrats destinés aux PME, elle figure presque systématiquement dans le questionnaire préalable.
Ce qui est concrètement demandé
Les formulations varient d'un assureur à l'autre, mais les questions tournent autour de :
- L'existence d'un programme de sensibilisation régulier (et non ponctuel).
- Le périmètre : l'ensemble des collaborateurs sont-ils concernés, ou seulement l'IT ?
- La traçabilité : pouvez-vous démontrer qui a été formé, et quand ?
- La récurrence : la sensibilisation est-elle mise à jour et répétée dans le temps ?
Le mot-clé, c'est la preuve. Déclarer « oui, nos équipes sont sensibilisées » ne suffit pas si vous ne pouvez rien produire pour l'étayer.
Ce qui se passe en cas de sinistre… sans preuve
C'est le point le plus sensible. Lors d'un sinistre, l'assureur vérifie la conformité de vos déclarations initiales. Si vous avez déclaré une démarche de sensibilisation que vous ne pouvez pas documenter, vous vous exposez à des discussions désagréables au pire moment : réduction d'indemnisation, voire remise en cause de la prise en charge.
À l'inverse, une preuve datée et vérifiable vous place en position de force : vous avez déclaré, vous démontrez, le dossier est solide.
Comment constituer une preuve solide
La bonne pratique tient en une phrase : une attestation horodatée et opposable. Concrètement, un document qui indique quels collaborateurs ont suivi quels modules, à quelle date, et qui soit vérifiable (par exemple via un hash et un QR code de contrôle).
C'est ce que produit CyberNinja. Vos équipes suivent des modules courts et concrets ; la plateforme génère automatiquement des attestations datées, vérifiables, prêtes à transmettre à votre assureur ou votre courtier. Vous disposez aussi d'un tableau de bord de conformité qui montre votre taux de couverture en un coup d'œil.
Starter gratuit jusqu'à 10 salariés. Sans carte bancaire, sans engagement.
La preuve exigée par un assureur n'est qu'un cas d'usage : notre guide complet de la sensibilisation cyber en PME couvre aussi le RGPD et les audits clients.
Questions fréquentes
- Mon assureur peut-il refuser de m'indemniser si mes salariés ne sont pas formés ?
- Tout dépend de vos déclarations et des termes de votre contrat. Si vous avez déclaré une démarche de sensibilisation, mieux vaut pouvoir la prouver. Une attestation datée sécurise votre dossier. En cas de doute sur votre contrat, rapprochez-vous de votre courtier.
- Quel type de preuve mon assureur accepte-t-il ?
- Il n'existe pas de format universel imposé, mais une attestation nominative, datée et vérifiable est le standard le plus solide. Une simple déclaration sur l'honneur est plus fragile.
- Faut-il former tous les salariés ou seulement certains ?
- Les assureurs visent généralement l'ensemble des collaborateurs qui utilisent des outils numériques, car le risque humain concerne tout le monde — pas uniquement l'équipe informatique.
- Combien ça coûte ?
- La sensibilisation elle-même peut démarrer gratuitement : les modules CyberNinja sont libres d'accès, et le suivi d'équipe avec attestations est gratuit jusqu'à 10 salariés.