Cyberassurance
Contrat qui couvre tout ou partie des pertes d'une cyberattaque ; l'indemnisation exige une plainte dans les 72 heures.
Définition complète
La cyberassurance désigne les garanties d'assurance qui couvrent les conséquences d'une cyberattaque ou d'un incident numérique. Selon l'ANSSI, les contrats peuvent prévoir une assistance juridique et technique, la couverture de la perte d'exploitation, l'accompagnement lors d'une violation de données personnelles ou la prise en charge de la restauration du système d'information. Ces garanties figurent dans un contrat dédié ou dans une police classique.
Depuis le 24 avril 2023, l'article L12-10-1 du code des assurances, issu de la loi LOPMI du 24 janvier 2023, conditionne le versement d'une indemnité liée à une atteinte à un système de traitement automatisé de données au dépôt d'une plainte par la victime au plus tard 72 heures après la connaissance de l'atteinte. Cette règle s'applique aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle.
L'assurance ne remplace pas la sécurité : les assureurs évaluent le niveau de protection avant de souscrire, et les exclusions varient fortement d'un contrat à l'autre. L'ANSSI recommande de vérifier que les risques les plus redoutés pour la pérennité de l'entreprise sont effectivement couverts.
Sources : Légifrance, article L12-10-1 du code des assurances ; ANSSI, La cybersécurité pour les TPE/PME en treize questions
Exemple concret
Un bureau d'études de 30 salariés subit un rançongiciel un vendredi soir. Le gérant appelle d'abord l'assistance de son assureur, qui envoie un prestataire, puis dépose plainte le lundi matin, dans le délai de 72 heures. Sa garantie prend en charge l'intervention technique et une partie de la perte d'exploitation. Un confrère voisin, qui avait attendu une semaine avant de porter plainte, s'expose à un refus d'indemnisation.
Comment se protéger
- Lire les exclusions et les conditions de garantie (mesures de sécurité exigées, plafonds, franchises)
- Vérifier la couverture de la perte d'exploitation et des frais d'intervention technique
- Noter le numéro d'assistance de l'assureur dans le plan de réponse à incident, hors du système d'information
- Porter plainte dans les 72 heures suivant la découverte de l'attaque
- Déclarer le sinistre à l'assureur sans attendre et conserver toutes les preuves
- Mettre à jour le questionnaire de souscription quand les protections évoluent
Questions fréquentes
Oui. L'article L12-10-1 du code des assurances conditionne l'indemnisation des pertes causées par une atteinte à un système informatique à une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte.
Non, le texte fixe le point de départ à la connaissance de l'atteinte par la victime, c'est-à-dire à sa découverte.
Parfois partiellement, souvent pas. L'ANSSI recommande de faire évaluer la couverture existante et de vérifier que les risques les plus graves pour l'entreprise sont couverts.
Termes liés
Notification de violation de données (CNIL)
Obligation de signaler à la CNIL, dans les 72 heures, une violation de données personnelles présentant un risque pour les personnes.
Plan de réponse à incident
Procédure écrite qui indique qui fait quoi, dans quel ordre et avec quels contacts dès qu'une cyberattaque est détectée.
Ransomware
Logiciel malveillant qui chiffre vos données et exige une rançon.
Plan de continuité d'activité (PCA)
Ensemble des mesures qui permettent à l'entreprise de maintenir ses activités essentielles pendant une crise, y compris une cyberattaque.
Vous avez besoin d'un expert en Cyberassurance ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.