Un questionnaire d'assurance cyber ressemble à un audit de sécurité. Il n'en est pas un. Un audit cherche à savoir où vous en êtes ; un questionnaire d'assurance cherche à savoir si vous êtes assurable et à quel prix, ce qui est une question beaucoup plus étroite.
Cette différence explique la frustration habituelle : on prépare des dizaines de pages sur la gouvernance, et l'assureur revient sur cinq points techniques dont on n'a pas les preuves.
Les questions qui décident
Les formulations changent d'un assureur à l'autre. Le fond, non.
L'authentification forte, et sur quel périmètre exactement. Ce n'est pas « avez-vous la MFA ». C'est : sur les accès à distance, sur les comptes à privilèges, sur la messagerie, oui ou non. Une réponse « oui, pour les utilisateurs » avec des administrateurs exclus est une réponse négative une fois le sinistre survenu.
Les sauvegardes, et surtout leur restauration. L'existence de sauvegardes n'intéresse personne. Ce qui intéresse : sont-elles isolées du domaine, et quand la dernière restauration a-t-elle été testée ? Une sauvegarde jamais restaurée est une hypothèse, pas un contrôle.
La gestion des accès à privilèges. Combien de comptes administrateurs, attribués à qui, revus quand. Un tenant avec dix-sept administrateurs globaux dont trois anciens prestataires est un signal fort — dans le mauvais sens.
Le filtrage de la messagerie et la protection contre l'usurpation. C'est là que DMARC apparaît, de plus en plus souvent nommément. Le raisonnement de l'assureur est statistique, pas idéologique : la fraude au président et l'hameçonnage restent les premiers vecteurs des sinistres qu'il indemnise.
La journalisation et sa durée de conservation. Parce qu'en cas de sinistre, c'est ce qui permettra — ou non — d'établir le périmètre de la compromission, donc le montant de l'indemnisation.
Le vrai problème n'est pas de faire, c'est de prouver
La plupart des organisations que nous rencontrons font déjà l'essentiel. Ce qui manque, c'est la preuve datée.
« Nous avons activé la MFA partout » est une affirmation. Un export horodaté indiquant la couverture effective, comptes à privilèges compris, à une date donnée, est une preuve. La première ne vaut rien lors d'une déclaration de sinistre ; la seconde vaut le dossier.
C'est la raison pour laquelle nous insistons sur l'historique plutôt que sur l'instantané : un état à un instant T ne dit pas si la situation tenait la semaine précédente, ni ce qui a changé depuis.
Comment répondre sans y passer trois semaines
La méthode qui fonctionne tient en trois temps.
Mesurer avant de rédiger. Un scan de configuration donne l'état réel du tenant en moins d'une heure : couverture de l'authentification forte, comptes à privilèges, authentification héritée, partage externe, journalisation. Vous répondez ensuite à partir de faits, pas de souvenirs.
Traiter les deux ou trois écarts qui déclassent le dossier, avant de renvoyer le questionnaire. Un administrateur sans MFA se corrige en une heure ; le corriger avant de répondre change la réponse.
Joindre les preuves plutôt que des affirmations. Un export daté annexé au questionnaire raccourcit les allers-retours et évite la relance de l'assureur trois semaines plus tard.
Le recoupement avec NIS2
Les deux exercices se recouvrent largement — l'assureur et le régulateur s'intéressent à la même chose : la gestion du risque et la capacité à en rendre compte. La différence de nature reste entière : NIS2 relève d'une obligation légale dont le périmètre s'apprécie avec votre conseil juridique et l'autorité nationale compétente ; l'assurance relève d'un contrat.
En pratique, les preuves produites pour l'un servent l'autre. C'est le seul travail de mise en conformité qui se rentabilise deux fois. Nous détaillons ce qui change côté messagerie et Microsoft 365 sur notre page consacrée à NIS2.