pourquoi dois-je remplir autant de questions auprès de mon conseiller en assurance

Les assureurs posent désormais aussi des questions sur la cybersécurité et la continuité

Le questionnaire détaillé de votre courtier provient presque toujours de l'assureur derrière lui, et non du courtier lui-même. Les assureurs qui proposent une couverture pour les risques cyber ou les dommages commerciaux posent désormais systématiquement plus de questions qu'auparavant : quelles mesures techniques sont en place, y a-t-il un plan de secours, qu'en est-il des fournisseurs. Il s'agit d'une évaluation des risques pour la police, non d'une obligation légale qui pèse directement sur votre entreprise — bien que le questionnaire puisse contenir des sujets issus de la NIS2 ou d'une réglementation similaire, car les assureurs utilisent ces cadres comme référence.

Concrètement, la liste se divise généralement en trois blocs. Un : les données de base de l'entreprise, souvent déjà connues du Registre du commerce. Deux : les mesures techniques et organisationnelles, les questions sur le contrôle d'accès, la politique de correctifs et la journalisation faisant souvent référence à la structure de ISO/IEC 27001 Annex A ou aux dix mesures de l'article 21, paragraphe 2, de la directive NIS2 — même si votre entreprise ne relève pas du champ d'application de cette directive, les assureurs reconnaissent cette structure. Trois : la continuité — s'il existe un plan pour poursuivre les activités commerciales en cas de perturbation grave. Si vous n'avez pas un tel document, « non » est la réponse honnête ; un assureur ne demande souvent pas le plan lui-même, mais enregistre s'il existe.

Les données de base proviennent du dossier de la chaîne, le reste non

Les questions sur la forme juridique, numéro KvK et nombre de collaborateurs, découlent des données qui, selon la loi de 2007 sur le registre du commerce, ont déjà été enregistrées, et qui figurent généralement déjà dans votre dossier de la chaîne. Les questions sur des mesures de sécurité spécifiques ou un plan de continuité ne sont pas une obligation légale mais une évaluation des risques d'un point de vue technique d'assurance ; si la réponse n'est pas disponible, c'est un fait constaté et non une erreur.