Assurance cyber pour experts-comptables : risques et garanties

Les risques cyber spécifiques aux cabinets comptables

Les cabinets comptables sont exposés à des menaces particulières liées à la nature des données qu’ils traitent et à leur position dans la chaîne de confiance de leurs clients. Notre état des lieux complet des cyber risques pour les cabinets détaille chaque menace avec des cas documentés.

L’attaque par rebond

C’est le scénario le plus redouté dans le secteur. Un cybercriminel compromet le système d’information du cabinet non pas pour s’en prendre au cabinet lui-même, mais pour accéder aux données — et parfois aux systèmes — de ses clients. Un cabinet gérant 80 dossiers clients est une porte d’entrée vers 80 entreprises. Cette technique, appelée attaque de la chaîne d’approvisionnement, est en forte progression depuis 2021.

Le rançongiciel

Le chiffrement de l’ensemble des fichiers du cabinet — dossiers clients, déclarations fiscales, bulletins de salaire, pièces justificatives — est une menace concrète et fréquente. Pour comprendre exactement comment ce type d’attaque se déroule et ce qu’il coûte, consultez notre scénario ransomware heure par heure.

La fraude au virement et le phishing ciblé

Les collaborateurs d’un cabinet reçoivent régulièrement des demandes de virement de la part de clients. Des courriels frauduleux imitant l’adresse d’un client peuvent conduire à des virements vers des comptes contrôlés par des escrocs. Ces arnaques, appelées fraudes au président ou fraudes BEC (Business Email Compromise), causent des pertes financières directes qui ne sont pas toujours couvertes par les assurances classiques.

La compromission des accès à distance

Le télétravail et l’accès aux logiciels comptables en mode SaaS ont élargi la surface d’attaque des cabinets. Des identifiants volés ou des connexions non sécurisées peuvent permettre à un attaquant d’accéder silencieusement aux données pendant des semaines avant d’être détecté.

La responsabilité du cabinet en cas de sinistre

Un cabinet comptable agit en tant que sous-traitant de données personnelles au sens du RGPD pour l’ensemble de ses clients. À ce titre, il porte une responsabilité spécifique en cas de violation des données qu’il traite pour leur compte. Notre guide sur le RGPD pour les cabinets comptables détaille ces obligations, notamment le délai légal de 72h pour notifier la CNIL.

Si une cyberattaque sur le cabinet entraîne la divulgation de données financières ou personnelles appartenant à des clients, deux types de responsabilité peuvent être engagés simultanément.

La responsabilité civile professionnelle peut être invoquée si le client estime que le cabinet n’a pas pris les mesures de sécurité suffisantes pour protéger ses données. Les contrats RC Pro standard des experts-comptables ne couvrent généralement pas ce type de sinistre cyber — c’est une exclusion fréquente à vérifier dans votre contrat actuel.

La responsabilité administrative vis-à-vis de la CNIL peut également être engagée si le cabinet n’a pas respecté ses obligations de notification dans les délais impartis ou n’a pas mis en place les mesures de sécurité requises par le RGPD.

Obligations légales et réglementaires

Les cabinets comptables sont soumis à plusieurs obligations en matière de protection des données qui ont des implications directes sur leur couverture d’assurance cyber.

Le RGPD impose la mise en place de mesures de sécurité techniques et organisationnelles adaptées, la tenue d’un registre des traitements de données, et la notification de toute violation à la CNIL dans les 72 heures. En cas de données exposant des personnes à des risques élevés, les clients concernés doivent également être notifiés individuellement.

Les clauses contractuelles clients sont de plus en plus souvent une source d’obligations supplémentaires. Les grandes entreprises exigent fréquemment que leurs prestataires — dont leurs cabinets comptables — disposent d’une assurance cyber et puissent en fournir une attestation.

La responsabilité déontologique de l’expert-comptable inclut une obligation de confidentialité absolue sur les données de ses clients. Une cyberattaque qui compromet cette confidentialité peut avoir des conséquences disciplinaires en plus des conséquences civiles.

Les garanties indispensables pour un cabinet comptable

Un contrat d’assurance cyber adapté à un cabinet comptable doit couvrir des risques que les offres génériques traitent souvent insuffisamment. Notre guide assurance cyber pour expert-comptable détaille les garanties à exiger, les questions à poser et les exclusions à repérer avant de signer.

La responsabilité civile cyber étendue aux clients est la garantie la plus importante pour un cabinet. Elle couvre les réclamations de clients dont les données ont été compromises suite à une cyberattaque sur le cabinet. Vérifiez que cette garantie couvre explicitement les données traitées pour le compte de tiers.

La couverture fraude au virement doit être explicitement incluse. Les pertes liées aux virements frauduleux ne sont pas automatiquement couvertes par toutes les polices cyber — certains assureurs les classent dans la catégorie « fraude financière » et les excluent du périmètre.

L’assistance RGPD doit être opérationnelle 24h/24. La notification à la CNIL dans les 72 heures est une obligation légale dont le non-respect peut entraîner des sanctions. L’accompagnement juridique inclus dans le contrat doit couvrir cette procédure spécifiquement.

La perte d’exploitation pendant la période d’indisponibilité des systèmes doit être couverte avec un plafond réaliste. Pour comprendre les mécanismes généraux d’un contrat cyber, consultez notre guide complet sur l’assurance cyber.

Quel budget prévoir pour un cabinet comptable ?

Le tarif d’une assurance cyber pour un cabinet comptable est généralement positionné dans la tranche intermédiaire du marché.

Pour un cabinet de 1 à 5 collaborateurs, la fourchette indicative se situe entre 800 € et 2 500 € par an. Pour un cabinet de 5 à 20 collaborateurs, elle monte à 2 500 € – 8 000 € par an selon le chiffre d’affaires, le volume de données clients géré et les mesures de sécurité en place.

Les cabinets qui peuvent démontrer des pratiques de sécurité solides — authentification à double facteur, sauvegardes chiffrées hors réseau, formation annuelle au phishing — peuvent obtenir des conditions tarifaires plus favorables. Pour des fourchettes complètes, consultez notre page prix et garanties de l’assurance cyber.

Questions fréquentes