Assurance cyber-risques

La plainte sous 72 heures conditionne toute l'indemnisation

L'article L12-10-1 du code des assurances a été créé par la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur, et s'applique depuis le 24 avril 2023. Il subordonne le versement d'une indemnité couvrant les pertes et dommages causés par une atteinte à un système de traitement automatisé de données au dépôt d'une plainte par la victime, au plus tard 72 heures après qu'elle a eu connaissance de l'atteinte.

Deux précisions renversent la lecture courante. Le texte ne parle pas de rançon : il vise toute indemnité liée à l'intrusion, la remise en état comme la perte d'exploitation. Il ne concerne en revanche que les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle. Le délai court de la connaissance de l'atteinte, pas du jour où l'attaque a commencé. Une intrusion découverte trois semaines après les faits laisse encore 72 heures.

Ce que l'article ne dit pas compte autant. Il ne décide pas, à lui seul, si une rançon versée sera remboursée : cette prise en charge dépend du contrat, qui peut la prévoir, l'encadrer ou l'exclure. La plainte est une condition de l'indemnisation. Elle n'en garantit pas le montant.

Dans l'urgence, le délai passe facilement inaperçu. L'équipe technique isole les postes, le dirigeant appelle l'assistance, et personne ne pense à la plainte avant le troisième jour. Inscrivez-la dans la procédure de crise au même rang que l'appel à l'assistance et la préservation des traces techniques, avec le nom de la personne qui la signe.

À lire aussi : Déclarer un sinistre

Notification à la CNIL : un autre délai, un autre point de départ

La notification d'une violation de données personnelles ne relève ni de l'assureur ni de la plainte. L'article 33 du règlement général sur la protection des données impose au responsable du traitement de notifier la violation à l'autorité de contrôle, la CNIL en France, « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Passé 72 heures, la notification est accompagnée des motifs du retard.

Le point de départ diffère de celui de la plainte. Ici, la connaissance de la violation de données ; là, la connaissance de l'atteinte au système. Les deux moments coïncident souvent, mais pas forcément : une intrusion repérée un lundi peut ne révéler la copie de fichiers clients que le jeudi, une fois l'analyse terminée.

Deux règles voisines complètent le dispositif. Lorsque la violation est susceptible d'engendrer un risque élevé pour les personnes, l'article 34 impose de les en informer. Et le sous-traitant, hébergeur ou infogérant par exemple, doit prévenir le responsable du traitement dans les meilleurs délais après avoir pris connaissance de la violation (article 33, paragraphe 2). Votre contrat avec lui devrait dire comment.

Un manquement à ces obligations expose à une amende administrative pouvant atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu (article 83, paragraphe 4). Cette amende est-elle assurable ? La question se pose par écrit à l'assureur, avant la souscription.

Les mesures de sécurité déclarées deviennent des conditions de garantie

Le questionnaire de souscription demande si les sauvegardes sont testées, si l'accès distant passe par une authentification renforcée, si les postes reçoivent les correctifs, si un système en fin de support subsiste sur le réseau. Les réponses servent à tarifer. Elles servent aussi à délimiter la garantie.

Une recommandation non suivie n'a pas de conséquence contractuelle. À l'inverse, une condition non respectée en a une, et l'assureur la vérifiera pendant l'analyse technique qui suit l'incident. Cette analyse reconstitue la chronologie : par où l'accès s'est fait, quel correctif manquait, à quelle date la sauvegarde avait été restaurée pour la dernière fois.

L'effet d'un manquement dépend de la rédaction de la clause. Le code des assurances exige des exclusions formelles et limitées (article L113-1), mais une condition de garantie ou une déchéance ne se lit pas de la même manière. Deux questions sont donc à poser avant de signer. La mesure exigée est-elle une condition de garantie ou une exclusion ? Le refus de prise en charge suppose-t-il un lien entre le manquement et le sinistre ?

Un effet pervers mérite d'être dit. Des réponses optimistes font baisser la cotisation, et elles achètent une garantie plus fragile. L'économie se voit sur l'échéancier ; la fragilité, le jour du sinistre.

Deux habitudes limitent le risque. Relire chaque année le questionnaire signé et le corriger si l'infrastructure a changé. Documenter les tests de restauration avec une date et un résultat, au lieu de se fier au voyant vert du logiciel de sauvegarde.

À lire aussi : Conditions générales · Conditions particulières

Franchise en heures et carence fournisseur

Sur la perte d'exploitation, la franchise qui compte se mesure en heures d'arrêt. La franchise en montant s'applique aux frais et aux dommages, comme sur n'importe quel contrat. La franchise en heures, que certaines polices appellent délai de carence, fixe la durée d'arrêt à partir de laquelle l'indemnisation commence.

Le problème apparaît sur un exemple, pris comme simple hypothèse. Avec une franchise de 24 heures, une activité qui redémarre en 30 heures ne se fait indemniser que 6 heures d'arrêt. Le contrat existe ; il paie peu.

La solution part de votre propre délai de reprise. Combien de temps l'activité tient-elle sans système d'information ? Une entreprise dont les commandes passent uniquement par une plateforme en ligne s'arrête presque aussitôt. Un atelier dont la production continue et dont seule la facturation est bloquée peut tenir plusieurs jours. Ces deux profils n'ont besoin ni de la même franchise en heures, ni de la même période d'indemnisation.

Reste la dépendance aux prestataires. Si votre hébergeur, l'éditeur de votre logiciel métier ou votre infogérant subit l'attaque, votre contrat couvre-t-il l'arrêt qui en résulte chez vous ? Cette garantie existe dans certaines formules, sous le nom de carence fournisseur. Résultat de l'exercice : vous savez quel risque reste à votre charge, et vous le négociez au lieu de le découvrir.

À lire aussi : Franchise en heures et en montant

Les exclusions à lire avant les plafonds, et la faute d'un salarié

Les exclusions décident avant les montants. Un plafond élevé ne sert à rien si l'événement tombe dans une clause d'exclusion, et le code des assurances impose qu'elles soient formelles et limitées (article L113-1) : elles doivent se comprendre sans interprétation.

Premier point de lecture, les systèmes en fin de support, qui ne reçoivent plus de correctifs de sécurité. Selon les rédactions, ils sont exclus, tolérés s'ils sont isolés du réseau, ou seulement à déclarer. La formulation se discute à la souscription.

Viennent ensuite les actes liés à un conflit armé ou à une opération étatique. Demandez comment l'assureur établit cette qualification et à qui incombe la preuve : pour une attaque dont l'origine reste incertaine, la réponse pèse lourd. Même vigilance pour les vulnérabilités connues et non corrigées : une faille signalée, documentée, puis laissée en l'état pendant des mois place l'assuré en position difficile.

À côté des exclusions, une clause discrète : l'obligation de recourir aux prestataires référencés par l'assureur. Appeler son informaticien habituel sans accord préalable peut conduire à un refus de prise en charge des frais engagés, même sur un sinistre couvert.

Reste la faute d'un salarié, qui inquiète beaucoup de dirigeants. L'article L113-1 exclut la faute intentionnelle ou dolosive de l'assuré, c'est-à-dire de l'entreprise ou de son dirigeant. De son côté, l'article L121-2 dispose que l'assureur garantit les pertes et dommages causés par les personnes dont l'assuré est civilement responsable, quelles que soient la nature et la gravité de leurs fautes. Un clic imprudent, et même une faute grave d'un préposé, ne s'écartent donc pas pour leur seule gravité. Une limite est à faire vérifier : le salarié qui agit hors de ses fonctions, à des fins étrangères à son emploi. Demandez si le contrat mentionne expressément la malveillance interne.

À lire aussi : Exclusion de garantie

Assurance cyber, RC pro, multirisque pro : ce que chacun laisse aux autres

Le problème surgit après l'incident, quand chaque assureur renvoie vers l'autre contrat. La responsabilité civile professionnelle, la multirisque professionnelle et l'assurance cyber-risques ne couvrent pas le même dommage, et le trou se loge entre elles.

Trois vérifications se font contrat en main. Votre RC professionnelle couvre-t-elle les dommages immatériels non consécutifs subis par un client après une fuite de ses données, c'est-à-dire un préjudice financier sans dommage matériel ou corporel préalable ? La perte d'exploitation de votre multirisque est-elle subordonnée à un dommage matériel, ce qui laisserait de côté un arrêt informatique sans incendie ni dégât des eaux ? Votre protection juridique intervient-elle quand une autorité de contrôle ouvre une procédure ?

La solution tient dans une lecture croisée : poser côte à côte les conditions générales des trois contrats avant de signer le troisième, et noter pour chaque scénario quel contrat répond. Le résultat se mesure le jour de l'attaque. L'entreprise sait quel assureur appeler en premier, et elle évite de payer deux fois la même garantie.

À lire aussi : Responsabilité civile professionnelle · Assurance multirisque professionnelle · Dommages immatériels non consécutifs · Protection juridique

Ce qui fait varier le prix d'une assurance cyber-risques

Nous n'avons trouvé aucun tarif de marché de l'assurance cyber-risques publié par une source nommée. Cette page n'affiche donc pas de montant. Un tarif d'appel, lui, ne dit rien de votre profil.

Le prix suit ce que l'assureur demande au devis : chiffre d'affaires, nombre de postes, nature et volume des données détenues, état des sauvegardes et de l'authentification. Il suit aussi vos choix : plafonds par garantie, franchise en montant, franchise en heures, extensions pour la carence fournisseur ou la fraude au virement. Deux devis ne se comparent qu'à paramètres égaux.

Préparez ces informations avant de demander un devis, avec la date du dernier test de restauration. Elles servent deux fois : pour le prix, et pour la solidité de la garantie obtenue.

À lire aussi : Classement des assurances cyber-risques

La page de crise à écrire avant l'incident

Un contrat cyber ne se déclenche pas tout seul. Il suppose une procédure courte, connue de plusieurs personnes, qui tient sur une page imprimée.

En tête, le numéro d'assistance prévu au contrat, accessible hors du système d'information : un annuaire chiffré ne s'ouvre pas. Puis les personnes à prévenir et l'ordre de décision. Qui autorise la coupure des accès ? Qui parle aux clients ? Qui signe la plainte ?

Ensuite les deux délais, chacun avec son point de départ et un nom en face. La plainte, au plus tard 72 heures après la connaissance de l'atteinte. La notification à la CNIL, dans les meilleurs délais et si possible sous 72 heures après la connaissance de la violation de données. Enfin la consigne de ne rien effacer ni réinstaller avant l'analyse : les traces servent à l'enquête, à l'assureur et parfois à la reconstitution des données.

Dernier geste : relire cette page à blanc une fois par an avec les personnes qui y figurent. Un départ, un numéro changé, et la procédure cale au moment où elle doit servir. Tenue à jour, elle vaut davantage qu'un plafond élevé, parce qu'elle est écrite pour des gens sous pression.

À lire aussi : Sinistre : définition