Votre renouvellement de police cyber approche. Le courtier vous envoie un questionnaire de souscription : cent questions, une dizaine de pages, et dans les cinq premières, une série de questions très précises sur votre ERP. Pas sur votre antivirus. Pas sur votre pare-feu. Sur votre ERP.
Ce n’est pas un hasard. Les assureurs ont analysé leurs sinistres et tiré une conclusion simple : dans la majorité des incidents ransomware et des violations de données, l’ERP était soit le point d’entrée, soit le système paralysé. Ils ont adapté leur souscription en conséquence.
Ce guide présente les 8 contrôles ERP que les assureurs cyber vérifient systématiquement en 2026, ce qu’ils acceptent comme preuve, et l’impact de votre posture sur votre prime.
Pourquoi les assureurs cyber scrutent maintenant votre ERP
L’ERP comme principal vecteur d’attaque ransomware
L’ERP n’est plus traité comme une application parmi d’autres dans le périmètre IT. Les assureurs l’ont reclassé en infrastructure critique, au même titre que l’Active Directory ou les systèmes de sauvegarde. La raison est simple : il concentre les données financières, les données clients, les données RH et les secrets opérationnels sur un seul système. Compromettre l’ERP, c’est paralyser l’entreprise.
Les groupes ransomware comme LockBit, actif avec une variante 5.0 en 2025 ciblant les entreprises européennes, ont intégré cette logique dans leurs tactiques. Manufacture, services financiers et entreprises de taille intermédiaire sont leurs cibles prioritaires.
Ce que les assureurs ont appris des sinistres
Selon les données compilées par plusieurs courtiers et assureurs en 2025-2026, 82 % des sinistres refusés ou soumis à franchise élevée impliquaient des organisations qui n’avaient pas déployé le MFA sur leurs accès critiques, ERP inclus. Ce chiffre a structurellement modifié les questionnaires de souscription.
Le rapport Europe Cyber Claims 2025 de Marsh indique que les violations de données personnelles sont présentes dans 73 % des notifications européennes de sinistres cyber. Le secteur manufacturier représente près de 20 % des notifications. Ce sont précisément les secteurs où l’ERP joue un rôle central.
L’évolution des questionnaires de souscription
En 2020, un questionnaire de cyber-assurance comptait entre 10 et 15 questions génériques. En 2026, il en compte facilement 50 à 80 pour une ETI, dont une dizaine portent spécifiquement sur l’ERP. Les questions type que vous trouverez :
- Le MFA est-il activé sur tous les accès à votre ERP, y compris les utilisateurs finaux et les comptes de service ?
- Avez-vous un rapport de ségrégation des tâches (SoD) daté de moins de 12 mois ?
- Vos sauvegardes ERP sont-elles testées et isolées du réseau de production ?
- Quel est votre délai moyen de correction des patches critiques sur l’ERP ?
Selon une analyse de plusieurs questionnaires de souscription 2026, 99 % incluent désormais des questions spécifiques sur le MFA, et une large majorité exigent des preuves documentées plutôt qu’une simple attestation déclarative.
Les clauses d’exclusion qui se multiplient
Les exclusions explicites liées à l’ERP sont devenues courantes dans les polices cyber renouvelées en 2025-2026 :
- Exclusion pour absence de MFA sur les accès ERP administrateurs.
- Exclusion pour ERP non patché depuis plus de 90 jours.
- Exclusion pour sauvegardes non testées ou connectées en permanence au réseau.
- Franchise majorée en cas de comptes super-utilisateurs partagés non tracés.
Ces exclusions ne sont plus des cas rares. Les assureurs les inscrivent dans les conditions particulières ou les définissent comme critères d’éligibilité à la couverture ransomware.
Les 8 contrôles ERP devenus incontournables
Contrôle 1 : MFA et SSO sur tous les accès ERP
Le MFA est le contrôle le plus scruté. L’assureur ne demande pas si vous avez le MFA en général : il demande si le MFA couvre les accès à votre ERP, y compris les utilisateurs finaux, les administrateurs et les comptes de service utilisés par des intégrations tierces.
Ce que l’assureur accepte comme preuve : rapport d’audit de configuration IAM, capture d’écran du paramétrage SSO, export de la politique d’authentification.
Délai de mise en place si absent : 1 à 3 mois selon la complexité de votre ERP.
Contrôle 2 : Ségrégation des rôles (SoD) auditée et documentée
Les assureurs ont retenu la leçon des sinistres fraude interne : un utilisateur capable de créer un fournisseur et de valider un paiement représente un risque financier direct. La SoD, qui consiste à distribuer les droits incompatibles entre plusieurs personnes, est désormais vérifiée au niveau des politiques ERP.
Ce que l’assureur demande : rapport SoD daté de moins de 12 mois, produit par des outils natifs (SAP GRC Access Control, module droits Odoo, Oracle IAM) ou par un prestataire indépendant.
Points de vigilance : les dérogations accordées lors des urgences et jamais retirées, les comptes génériques partagés entre plusieurs collaborateurs.
Contrôle 3 : Gestion des comptes super-utilisateurs (PAM)
Les comptes DDIC dans SAP, SYSADMIN dans certains ERP Microsoft, ou accès root sur la base de données ERP, sont des cibles prioritaires pour les attaquants. Les assureurs exigent un plan de gestion des accès privilégiés (PAM) documenté.
Solutions PAM compatibles ERP mentionnées dans les questionnaires de souscription : CyberArk, BeyondTrust, Wallix. Leur présence dans votre déclaration est souvent notée positivement par le souscripteur.
Minimum acceptable : rotation des mots de passe super-utilisateurs, journalisation des sessions, révocation des accès d’urgence dans les 72 heures.
Contrôle 4 : Journalisation et rétention des logs (12 mois minimum)
La capacité à reconstituer une attaque après incident est devenue une exigence assurable. Sans logs suffisants, l’assureur ne peut pas établir l’étendue du sinistre, ce qui complique et ralentit le règlement.
Modules natifs : SAP Security Audit Log, Oracle Audit Vault and Database Firewall (AVDF), Microsoft 365 Compliance Manager pour D365.
Ce que l’assureur veut voir : politique de rétention documentée (minimum 12 mois), preuve que les logs sont stockés hors de l’ERP lui-même (SIEM ou stockage immuable), preuve que les logs ne peuvent pas être modifiés par un utilisateur ERP standard.
NIS2 impose les mêmes exigences de journalisation. Si vous êtes dans le scope NIS2, ces deux conformités se renforcent mutuellement.
Contrôle 5 : Chiffrement des données au repos et en transit
Le chiffrement protège vos données en cas d’exfiltration : si l’attaquant vole les fichiers mais ne peut pas les déchiffrer, l’impact et l’exposition RGPD sont réduits. Les assureurs valorisent ce contrôle.
Points de vérification : TLS 1.2 ou 1.3 sur toutes les API ERP et les connexions intermodules, chiffrement des sauvegardes ERP, chiffrement des exports de données vers des systèmes tiers (BI, WMS, CRM).
Pour les ERP cloud : vérifier que le chiffrement est activé côté cloud provider et que vous contrôlez vos propres clés (BYOK), ou que les termes contractuels précisent l’activation du chiffrement.
Contrôle 6 : Sauvegardes testées, documentées et isolées
Ce contrôle est souvent sous-estimé : beaucoup d’ETI ont des sauvegardes, mais ne les testent pas. Un assureur qui découvre que la dernière restauration de test remonte à deux ans risque d’appliquer une franchise majorée ou une exclusion sur le ransomware.
Ce que les assureurs exigent en 2026 : sauvegardes quotidiennes des données transactionnelles, conservation d’au moins une copie hors réseau (air-gap ou stockage immuable), test de restauration annuel documenté avec résultat et durée de restauration mesurée.
Point critique : les sauvegardes connectées en permanence au réseau de production sont désormais un facteur d’exclusion explicite dans certaines polices, car un ransomware peut les chiffrer en même temps que les données primaires.
Contrôle 7 : Patch management de l’ERP documenté
Les éditeurs ERP publient régulièrement des patches de sécurité. Ne pas les appliquer dans les délais raisonnables expose à des vulnérabilités connues et exploitables. Les assureurs ont intégré ce risque dans leurs questionnaires.
Délai exigé par certains assureurs en 2026 : correction des patches critiques dans les 30 jours suivant leur publication, patches high-severity dans les 60 jours.
Ce que vous devez documenter : votre politique de patch management ERP, la fréquence de vos mises à jour, les éventuels reports justifiés (tests de non-régression sur environnement critique) avec délai de rattrapage prévu.
Cas SAP : SAP publie ses Security Patch Days le deuxième mardi de chaque mois. L’application des patches critiques doit être tracée et documentée pour satisfaire les exigences de souscription.
Contrôle 8 : Plan de réponse aux incidents documenté et testé
Un plan de réponse aux incidents (PRI) qui existe sur papier mais n’a jamais été testé n’a qu’une valeur limitée aux yeux de l’assureur. La tendance 2025-2026 est d’exiger la preuve d’un exercice de simulation annuel incluant un scénario ERP.
Ce que l’assureur demande : PRI documenté avec escalades, délais de notification (RGPD : 72 heures à l’autorité, NIS2 : 24 heures pour notification initiale), preuve d’un tabletop exercise avec le scénario “ransomware sur ERP” dans les 12 derniers mois.
Point pratique : le scénario ERP doit inclure la décision de basculement vers un mode dégradé (facturation papier, saisie manuelle), les contacts éditeur pour support d’urgence, et le processus de remontée d’information au COMEX.
Audit de préparation : comment évaluer votre posture ERP avant le renouvellement
Avant de répondre au questionnaire de souscription, un pré-audit interne de 2 à 4 semaines permet d’identifier les écarts et de les corriger ou de les documenter.
Les outils natifs par éditeur :
- SAP : Security Audit Log, SAP Solution Manager avec la vue Configuration Validation, rapport USOBHAU pour les droits.
- Oracle : Audit Vault and Database Firewall (AVDF), Oracle Identity Governance.
- Microsoft D365 : Microsoft Secure Score (pour l’environnement Azure/Microsoft 365), Compliance Manager.
- Odoo : module droits avec rapport des groupes et profils, logs d’accès dans les paramètres techniques.
Quand faire appel à un prestataire d’évaluation :
Si vos outils natifs ne suffisent pas à produire un rapport SoD lisible et exportable, ou si vous n’avez pas de politique PAM formalisée, un prestataire spécialisé (pentest ERP, audit IAM) peut produire les éléments de preuve que le souscripteur demandera. Le coût d’un tel audit (généralement 5 000 à 15 000 euros pour une ETI) est souvent inférieur à la surprime appliquée pour une posture non documentée.
Impact sur les primes : données du marché 2026
Les chiffres issus des publications de courtiers et d’assureurs spécialisés donnent une fourchette cohérente :
- MFA déployé et documenté : réduction de prime estimée entre 15 % et 22 % selon les marchés.
- Sauvegardes immuables testées : réduction additionnelle de 5 % à 10 %.
- PAM et SoD audités : réduction supplémentaire variable.
- Posture complète documentée (MFA + EDR + sauvegardes + PRI + PAM + patch management) : réduction totale observée entre 20 % et 40 % par rapport à un profil équivalent sans documentation.
À l’inverse, les organisations sans MFA sur l’ERP voient leur prime augmenter de 15 % à 40 % au renouvellement, ou se voient proposer des conditions avec exclusions explicites sur le ransomware.
La franchise est un autre levier : certains assureurs ne refusent pas la couverture mais doublent ou triplent la franchise pour les entreprises dont la posture ERP est jugée insuffisante. Sur un sinistre ransomware médian (arrêt de 5 jours pour une ETI de 300 personnes, soit 50 000 à 200 000 euros de perte d’exploitation), une franchise majorée se traduit directement par une charge non couverte significative.
Les acteurs assurance cyber actifs en France en 2026 (liste non exhaustive, sans recommandation) : AXA XL, Chubb, Hiscox, SFEREN/Covéa, Beazley, Coalition. Chacun a son propre questionnaire, mais les 8 contrôles décrits dans cet article figurent dans la quasi-totalité d’entre eux.
Pour approfondir
Pour aller plus loin sur les contrôles de sécurité ERP et leur articulation avec les réglementations en vigueur, ces articles complémentaires traitent les sujets connexes :
- Zero Trust, IAM, PAM et MFA dans l’ERP : le guide DSI 2026 pour le détail des architectures d’accès sécurisé.
- NIS2 et ERP : checklist des preuves pour l’audit cybersécurité 2026 pour aligner la conformité NIS2 avec vos exigences assureurs.
- ERP et gestion des risques opérationnels : ERM, DORA, NIS2 pour le cadre global de gestion du risque numérique.
