Une assurance cyber couvre trois familles de risques : les frais pour restaurer le système et gérer la crise, les pertes d’exploitation pendant l’arrêt, et la responsabilité civile envers les tiers. Depuis le 24 avril 2023, l’indemnisation de toute perte causée par une cyberattaque suppose une plainte déposée dans les 72 heures après sa découverte (code des assurances, article L12-10-1).
Les risques de cyberattaque assurés, par la définition : ce qu’un contrat couvre, le calcul d’une perte d’exploitation, la condition de plainte, puis l’ordre des démarches le jour de l’attaque.
Ce qu’est une assurance cyber, et les polices qui s’en approchent
Une assurance cyber indemnise les conséquences financières d’une atteinte malveillante au système d’information de l’entreprise : intrusion, chiffrement des données par un rançongiciel, saturation des serveurs, vol ou copie de données. Elle se distingue de deux autres contrats, souvent confondus avec elle :
| Contrat | Ce qu’il couvre | Ce qu’il couvre mal |
|---|---|---|
| Multirisque professionnelle | Les locaux, le matériel, la responsabilité civile générale ; parfois un volet cyber | Le volet cyber, quand il existe, reste léger |
| Tous risques informatiques | Les dommages matériels aux équipements : incendie, dégât des eaux, choc | Les conséquences d’une attaque à distance |
| Assurance cyber dédiée | Restauration, pertes d’exploitation, gestion de crise, responsabilité civile liée aux données | Ce que ses exclusions écartent : défaut de sécurité connu, événements de guerre selon les contrats |
Avant de comparer des garanties, on commence donc par lire les contrats déjà en place : une multirisque peut contenir un volet cyber, dont les plafonds se lisent dans les conditions particulières.
Les trois familles de risques assurés
Les contrats cyber regroupent leurs garanties en trois blocs, dont les intitulés varient d’un assureur à l’autre :
- les frais propres : expertise informatique, restauration du système et des données, gestion de crise et communication, notification aux personnes dont les données ont été exposées ;
- les pertes d’exploitation : la marge perdue pendant l’arrêt d’activité et les frais supplémentaires engagés pour continuer à travailler ;
- la responsabilité civile : les réclamations de clients, de partenaires ou de personnes dont les données ont fuité, et les frais de défense.
Chaque bloc a son plafond et sa franchise. La franchise peut s’exprimer en euros, ou en durée pour les pertes d’exploitation, auquel cas les premières heures d’arrêt restent à la charge de l’entreprise.
La perte d’exploitation, calculée sur un exemple
La perte d’exploitation se calcule le plus souvent sur la marge brute, pas sur le chiffre d’affaires : on part de la marge que l’activité aurait dégagée, puis on la ramène à la durée de l’arrêt.
Exemple construit : une PME réalise 2 000 000 € de chiffre d’affaires hors taxes, avec un taux de marge brute de 40 %. Sa marge brute annuelle est de 800 000 €, soit environ 2 192 € par jour calendaire. Dix jours d’arrêt après un chiffrement de ses serveurs représentent environ 21 900 € de marge perdue, avant les frais d’expertise et de restauration.
Quel est votre taux de marge brute, et combien de jours votre activité tiendrait-elle sans votre système d’information ? Ces deux chiffres donnent l’ordre de grandeur du plafond à demander.
La plainte sous 72 heures : la condition légale
La loi d’orientation et de programmation du ministère de l’Intérieur du 24 janvier 2023 a créé l’article L12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023.
Il subordonne l’indemnisation des pertes et dommages causés par une atteinte à un système de traitement automatisé de données au dépôt d’une plainte par la victime, au plus tard 72 heures après la connaissance de l’atteinte.
Le texte ne vise pas que les rançons : il s’applique à toute atteinte réprimée par les articles 323-1 à 323-3-1 du code pénal, intrusion, entrave, extraction ou modification frauduleuse de données, avec ou sans fuite.
Il concerne les contrats souscrits par une entreprise ou par une personne physique dans le cadre de son activité professionnelle. Sans plainte dans le délai, l’assureur peut refuser d’indemniser.
La plainte se dépose auprès de la police, de la gendarmerie ou directement auprès du procureur de la République. Le délai court à partir de la découverte de l’attaque, pas de la fin des investigations : la plainte peut être complétée ensuite.
Deux délais de 72 heures à ne pas confondre
Une cyberattaque qui expose des données personnelles déclenche une seconde obligation, distincte. Le règlement général sur la protection des données impose de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes concernées (article 33).
Les deux délais partent du même moment, mais s’adressent à des autorités différentes et poursuivent des buts différents : la plainte conditionne l’indemnisation par l’assureur, la notification protège les personnes dont les données ont fuité. L’une ne remplace pas l’autre.
Le jour de l’attaque : l’ordre des démarches
Dans les premières heures, quatre démarches se mènent en parallèle :
- isoler les machines touchées et conserver les traces, sans réinstaller ni effacer ;
- déclarer le sinistre à l’assureur, qui mandate souvent un expert ;
- déposer plainte dans les 72 heures, avec les premiers éléments disponibles ;
- notifier la CNIL dans le même délai si des données personnelles sont touchées.
Ce qui coince en pratique, c’est l’horloge : les deux délais de 72 heures tombent pendant que les équipes sont mobilisées sur la remise en route. Les noms des interlocuteurs, assureur, expert et service de plainte, se notent donc avant l’incident.
Sources
- Code des assurances, article L12-10-1, créé par l’article 5 de la loi n° 2023-22 du 24 janvier 2023
- Code pénal, articles 323-1 à 323-3-1
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), article 33
Signaler une erreur dans cet article · Comment nous écrivons nos articles