L'essentiel
La cyber-assurance couvre : ransomware (rançon, restauration, perte d'exploitation), violation de données (frais de notification CNIL, indemnisation patients, défense pénale), atteinte à la réputation. Critères clés : plafond global (≥ 250 k€ recommandé), prise en charge perte d'exploitation, assistance 24/7 (cellule de crise), frais d'analyse forensique, couverture des prestataires (logiciel cabinet hébergé). Ne couvre pas la négligence grave (ex. mots de passe inscrits sur post-it).
Cadre réglementaire
- Règlement (UE) 2016/679 — RGPDArt. 33-34 — Notification violation
Toute violation de données doit être notifiée à la CNIL < 72 h. Information des personnes concernées si risque élevé. Coûts de mise en conformité élevés en cas de violation massive.
Consulter le texte - Code des assurancesArt. L.124-3 — Action directe contre l'assureur
Le tiers victime d'un sinistre couvert par une assurance peut agir directement contre l'assureur du responsable, dans la limite des plafonds.
Consulter le texte - Loi n° 2024-449 du 22 mai 2024Loi LOPMI sur la cyber-rançon
La loi de programmation 2023-2027 du Ministère de l'Intérieur (LOPMI) introduit l'obligation pour la victime d'une cyber-attaque de déposer plainte dans les 72 heures pour bénéficier de la prise en charge cyber.
Consulter le texte
Obligations concrètes
Évaluer le besoin
Pour un cabinet dentaire libéral typique : 500-2 000 patients suivis, données très sensibles (santé). Coût d'une cyber-attaque sans assurance : restauration sauvegardes (5-30 k€), notification CNIL (10-30 k€), indemnisation patients en cas de fuite (10 € à 1 000 € / patient), perte d'exploitation (~3-15 k€ / jour d'arrêt). Total potentiel : 50-300 k€. Cyber-assurance recommandée.Comparer les plafonds
Plafond global recommandé : 250 k€ minimum, 500 k€ idéal pour cabinet de groupe / centre. Sous-limites par garantie : ransomware 50-100 k€, frais de notification 30-50 k€, défense pénale 30-50 k€. Plafond annuel agrégé. Le plafond doit dépasser largement le coût total estimé d'un sinistre majeur.Vérifier les garanties incluses
Indispensables : ransomware (rançon + restauration), violation de données (notification CNIL + indemnisation patients), perte d'exploitation, défense pénale, assistance 24/7 (cellule de crise dédiée). Optionnels : analyse forensique, gestion de crise / communication, prévention (formation, audit). Vérifier la liste détaillée.Étudier les exclusions
Exclusions classiques : faute intentionnelle, mots de passe partagés / écrits, non-mise à jour des systèmes pendant > 6 mois, absence de sauvegarde testée. La compagnie peut refuser la prise en charge en cas de négligence grave. Documenter sa démarche cyber (logs, sauvegardes, MFA, formation) protège.Évaluer l'assistance 24/7
Cellule de crise contactable jour, nuit, week-end. Réactivité d'intervention < 4 h. Réseau de prestataires (analyse forensique, négociation rançon, communication). Disposer d'un numéro d'urgence dédié. Critère discriminant — un sinistre cyber se gère en heures, pas en jours.Vérifier la couverture des prestataires
Si logiciel cabinet hébergé chez prestataire (Doctolib, Veasy, Logos_w hébergé) : la cyber-assurance doit couvrir aussi les violations résultant d'incidents chez le prestataire. À vérifier explicitement. Le prestataire a sa propre RC mais pas toujours immédiatement mobilisable.Comparer les primes
Pour cabinet dentaire libéral : 300-1 500 € / an selon plafond et options. Variations énormes : peut tripler de l'un à l'autre pour mêmes garanties apparentes. Lire attentivement les conditions générales et particulières. Privilégier compagnies expérimentées en cyber santé (Beazley, Hiscox, AIG, AXA Cyber).Maintenir les conditions de souscription
La cyber-assurance impose des prérequis : MFA, antivirus, sauvegardes, mises à jour, formation. Vérifications par questionnaire annuel. Non-respect = nullité de la couverture en cas de sinistre. Auto-discipline indispensable. La cyber-assurance pousse à la rigueur informatique.
Comparer une cyber-assurance — 8 critères
- Plafond global ≥ 250 k€
- Garanties incluses (ransomware, violation, perte exploit, défense)
- Assistance 24/7 avec cellule de crise
- Couverture des prestataires si logiciel hébergé
- Exclusions lues et acceptées
- Compagnie expérimentée cyber santé
- Prime annuelle dans la fourchette 300-1 500 €
- Prérequis souscription respectés (MFA, sauvegardes, formation)
Questions fréquentes
Cyber-assurance vs RC professionnelle : différence ?
RC professionnelle classique : couvre les actes médicaux et leurs conséquences (faute thérapeutique). Cyber-assurance : couvre spécifiquement les conséquences d'un incident cyber (ransomware, violation données, atteinte au système d'information). Les deux sont nécessaires pour un cabinet moderne — pas de chevauchement complet.
Le rançongiciel est-il payable légalement ?
La loi n'interdit pas formellement de payer une rançon mais le décourage fortement. Dépôt de plainte obligatoire < 72 h pour mobiliser la cyber-assurance (loi LOPMI 2024). L'ANSSI déconseille fortement le paiement (financement criminel + non-garantie de récupération). La cyber-assurance permet généralement la restauration via sauvegardes.
Quel impact d'un sinistre sur les primes futures ?
Sinistre déclaré : majoration possible 20-50 % à la prochaine échéance, voire non-renouvellement chez certains assureurs. Important de soigner la prévention pour éviter le sinistre. Si non-renouvellement : changement d'assureur possible mais antécédent à déclarer (parfois exclusion future).
Faut-il un audit cyber pour souscrire ?
Pas systématiquement. Auto-déclaration via questionnaire (MFA, sauvegardes, formation). Pour les cabinets importants ou structures à risque : audit demandé par l'assureur (~1-3 k€, parfois pris en charge en partie). À long terme : audit indépendant tous les 2-3 ans recommandé pour identifier les failles avant qu'elles ne deviennent un sinistre.
Sources et textes de référence
Vérifié manuellement le .
- [1]RGPD Art. 33-34 — Notification violation — CNIL
- [2]Article L.124-3 du C. assur. — Action directe — Légifrance
- [3]Loi n° 2024-449 du 22 mai 2024 — LOPMI — Légifrance
Guides liés
Cyber-attaque en cabinet dentaire : procédure de réponse et notification CNIL
Ransomware, fuite de données, intrusion : la procédure d'urgence pour réagir à une cyber-attaque en cabinet dentaire et notifier la CNIL sous 72 h.
Checklist cyber-sécurité cabinet dentaire — 25 mesures préventives
Mots de passe forts, sauvegardes 3-2-1, antivirus, formation équipe : 25 mesures pour protéger un cabinet dentaire des ransomwares et fuites de données.
Pilotez la conformité de votre cabinet dentaire
Dentanorme regroupe inventaire, DPC et préparation des audits ARS dans un seul outil pour les cabinets dentaires libéraux français.
Découvrir Dentanorme