Un sinistre immatériel aux multiples postes de préjudice
Les contrats cyber combinent généralement plusieurs volets : frais de réponse à incident (investigation numérique, restauration des systèmes, conseil juridique, communication de crise), pertes d’exploitation consécutives à l’indisponibilité du système d’information, responsabilité civile envers les clients ou partenaires dont les données ont été exposées, et parfois frais de notification aux personnes concernées.
Certains contrats couvrent aussi la fraude au président ou au faux fournisseur, d’autres l’excluent ou la plafonnent fortement. Les garanties, sous-limites et franchises diffèrent beaucoup d’un assureur à l’autre, ce qui rend la lecture du contrat aussi importante que l’analyse technique.
Les premières heures conditionnent le dossier
La plupart des polices cyber imposent d’appeler très vite une cellule d’assistance désignée par l’assureur, qui mobilise des prestataires de réponse à incident. Ne pas suivre ce circuit peut compliquer la prise en charge des frais engagés auprès d’un prestataire choisi seul.
En parallèle, l’entreprise doit préserver les traces : ne pas réinstaller les postes à la hâte, isoler les machines touchées, conserver les journaux de connexion et les messages des attaquants. Lorsque des données personnelles sont concernées, le RGPD prévoit en principe une notification à l’autorité de contrôle dans les 72 heures, la CNIL en France, l’APD en Belgique ; en Suisse et au Canada, des obligations comparables existent selon la législation locale.
Le dépôt de plainte
Beaucoup de contrats exigent une plainte auprès des services de police ou de gendarmerie pour indemniser certains postes, notamment la fraude. Il est prudent de la déposer rapidement et d’en conserver le récépissé dans le dossier de sinistre.
Comment l’assureur instruit un dossier cyber
L’expert ou le gestionnaire de l’assureur s’appuie sur le rapport d’investigation numérique pour établir la date d’intrusion, le vecteur d’attaque, l’étendue de la compromission et les mesures de sécurité en place. Il compare ensuite ces éléments aux déclarations faites lors de la souscription, souvent recueillies par questionnaire.
Le chiffrage suit : temps passé par les prestataires, coûts de reconstruction des serveurs, heures supplémentaires du personnel, perte de chiffre d’affaires et de marge pendant l’indisponibilité, réclamations de tiers. Chaque poste est confronté au plafond et à la sous-limite correspondants.
Preuves à rassembler
L’assuré gagne à constituer lui-même un dossier structuré, indépendamment de celui des prestataires mandatés par l’assureur.
- Chronologie précise de l’incident, de la détection à la reprise
- Rapports d’investigation, journaux système, copies des demandes de rançon
- Factures des prestataires informatiques, juridiques et de communication
- Données comptables avant et après l’attaque pour mesurer la baisse d’activité
- Correspondances avec l’autorité de protection des données, les clients et les banques
- Questionnaire de souscription et preuves des mesures de sécurité déclarées (sauvegardes, authentification forte, mises à jour)
Points de friction fréquents
Le premier terrain de discussion porte sur les déclarations initiales : si l’assureur estime que l’authentification forte ou les sauvegardes hors ligne annoncées n’existaient pas réellement, il peut contester la garantie ou réduire l’indemnité. Le deuxième concerne la période d’indemnisation des pertes d’exploitation et le délai de carence, souvent exprimé en heures.
Viennent ensuite la qualification de la fraude au virement, parfois exclue, le caractère nécessaire de certains frais engagés, la prise en charge des améliorations de sécurité réalisées après l’attaque, et la question du paiement d’une rançon, que de nombreux contrats et autorités déconseillent ou encadrent.
La question de la sauvegarde est souvent centrale : des sauvegardes récentes, testées et isolées du réseau réduisent la durée d’arrêt et donc le préjudice, mais leur existence doit aussi être prouvée. À l’inverse, la restauration de données à partir de sources partielles, la ressaisie manuelle et la reconstitution de fichiers clients représentent des coûts internes réels, qu’il faut chiffrer heure par heure pour qu’ils ne soient pas oubliés.
Ce que l’expert d’assuré apporte en matière cyber
L’expert d’assuré coordonne les éléments techniques et financiers, vérifie que chaque poste de préjudice a bien été déclaré, et documente la perte d’exploitation avec l’expert-comptable de l’entreprise. Il discute les interprétations restrictives du contrat et veille à ce que les frais engagés sous la pression de l’urgence soient justifiés plutôt que rejetés.
Dans quels cas se faire accompagner
L’accompagnement est particulièrement utile en cas d’arrêt prolongé de l’activité, de réclamations de clients, de refus partiel fondé sur une fausse déclaration supposée, ou lorsque plusieurs contrats peuvent intervenir (cyber, multirisque, fraude, responsabilité civile). Les petites structures, qui n’ont pas de direction juridique, y trouvent un appui précieux.
En cas de désaccord durable, les voies habituelles restent ouvertes : réclamation écrite, médiation de l’assurance selon le pays, expertise contradictoire, puis voie judiciaire. Le dossier technique constitué dès les premiers jours sera alors déterminant.
Organismes qui proposent ce service
- UnderDefense – Insurance & Law Firms : Société de cybersécurité accompagnant assureurs et cabinets d'avocats lors d'incidents, avec réponse à incident et investigations numériques pour leurs clients.
- CohnReznick – Incident Response & Recovery : Cabinet de conseil proposant des services de réponse aux incidents de cybersécurité et d'accompagnement à la reprise d'activité après une attaque.
- La Médiation de l'Assurance : Dispositif de médiation du secteur de l'assurance en France, saisi pour les litiges entre assurés et assureurs, qui publie une charte et un rapport annuel.
- La Médiation de l'Assurance : Service de médiation auquel les assurés peuvent soumettre un litige avec leur assureur, encadré par une charte du Médiateur publiée en ligne.
Liens externes fournis à titre informatif ; vérifiez les conditions directement auprès de chaque organisme.
Questions fréquentes
Le paiement d’une rançon est-il remboursé ?
Cela dépend du contrat et de la réglementation applicable ; beaucoup d’assureurs l’excluent ou l’encadrent strictement. Il ne faut jamais payer sans en parler d’abord à l’assureur et aux autorités compétentes.
Puis-je choisir mon propre prestataire de réponse à incident ?
Souvent oui, mais certains contrats ne remboursent pleinement que les prestataires du réseau de l’assureur. Vérifiez la clause avant d’engager des frais importants.
Comment prouver une perte d’exploitation après une cyberattaque ?
En comparant le chiffre d’affaires et la marge avec les périodes de référence, à partir de la comptabilité, des carnets de commandes et des données de production, idéalement avec l’expert-comptable.
Une fausse déclaration à la souscription entraîne-t-elle forcément un refus ?
Pas forcément : les conséquences varient selon la bonne ou mauvaise foi et le droit applicable, allant d’une réduction proportionnelle à une contestation de la garantie.
Un sinistre cyber se prépare avant même l’attaque, par des déclarations exactes et des sauvegardes réelles. Après l’incident, une documentation rigoureuse et un regard indépendant restent les meilleurs atouts de l’assuré.