Un ransomware chiffre le serveur de facturation un vendredi soir, l’équipe informatique est en astreinte réduite, et le prestataire de sauvegarde met 48 heures à restaurer un backup partiel. Pendant ce temps, les commandes clients ne partent plus, la ligne téléphonique sature, et la police multirisque professionnelle ne prévoit aucune prise en charge pour ce type de sinistre.
Ce scénario, on le croise de plus en plus souvent dans des entreprises de toutes tailles, y compris celles qui pensaient avoir « assez de sécurité informatique » en interne.
A lire également : Bion 3 Senior : Précautions et risques en cas d'hypertension ou de diabète
Preuves exigées par les assureurs cyber : ce qui bloque réellement l’indemnisation
La plupart des dirigeants imaginent qu’une assurance cyber risques fonctionne comme une assurance auto : on déclare le sinistre, on attend le versement. La réalité terrain est très différente. Les assureurs ont durci leurs exigences ces dernières années, et sans preuves matérielles détaillées, l’indemnisation peut être refusée.
Concrètement, au moment de la déclaration de sinistre, on nous demande de fournir un inventaire précis des actifs touchés, les journaux d’incidents horodatés, les attestations de formation du personnel à la cybersécurité, et la preuve que les correctifs logiciels étaient déployés avant l’attaque. Si les tests de sauvegardes n’ont pas été documentés, l’assureur peut invoquer la « négligence caractérisée » pour réduire ou annuler la couverture.
A lire également : Comment protéger le rhododendron en canicule : conseils pour climat chaud
Avant même de comparer les contrats, il faut donc comprendre les avantages de l’assurance cyber risques en regard de ce que chaque police exige comme prérequis techniques. Un contrat peu cher avec des exclusions larges coûte plus cher qu’un contrat rigoureux qui indemnise réellement.
- Tenir un registre à jour des fournisseurs et sous-traitants ayant accès au système d’information, avec leurs niveaux d’habilitation
- Documenter chaque test de restauration de sauvegarde (date, périmètre testé, résultat) pour prouver que le plan de reprise fonctionne
- Conserver les preuves de déploiement des mises à jour de sécurité sur les postes et serveurs critiques
- Archiver les supports et attestations de formation cyber dispensée aux salariés, même les sessions courtes
Directive NIS2 et responsabilité personnelle des dirigeants
On parle beaucoup de conformité RGPD, mais la directive NIS2 change la donne sur un point précis. L’article 20 de NIS2 impose aux organes de direction d’approuver eux-mêmes les mesures de gestion des risques cyber, d’en superviser la mise en oeuvre et de suivre une formation adaptée.
Ce n’est pas symbolique. Pour les entités qualifiées d’importantes, les dirigeants peuvent être suspendus temporairement de leurs fonctions en cas de manquement. La cybersécurité n’est plus un sujet délégué au service informatique : c’est une obligation de gouvernance qui engage personnellement le dirigeant.
Cette responsabilité personnelle renforce l’intérêt d’une assurance cyber qui couvre aussi la mise en cause des dirigeants. Les polices RC dirigeants classiques n’intègrent pas toujours ce volet. Il faut vérifier que le contrat couvre explicitement les sanctions administratives et les frais de défense liés à un manquement aux obligations de cybersécurité.
Transposition en droit français : anticiper malgré le retard
La transposition française de NIS2 tarde, mais les obligations arrivent. Attendre la publication du texte national pour agir revient à préparer ses preuves de conformité dans l’urgence, exactement le scénario que les assureurs sanctionnent. Anticiper la mise en conformité NIS2 améliore directement les conditions d’assurance, car les assureurs intègrent déjà ces critères dans leurs questionnaires de souscription.
Assurance cyber et chaîne de sous-traitance : un angle mort fréquent
NIS2 impose aussi une responsabilité sur la chaîne d’approvisionnement. Si un sous-traitant subit une cyberattaque et que cela impacte votre activité, vous devez pouvoir démontrer que vous aviez évalué son niveau de sécurité. Les retours varient sur ce point selon les secteurs, mais la tendance est claire : les donneurs d’ordre exigent de plus en plus des attestations d’assurance cyber de leurs prestataires.
L’assurance cyber devient un critère commercial, pas seulement une protection financière. Certains appels d’offres incluent déjà une clause imposant une couverture cyber minimale au prestataire. Ne pas être assuré peut signifier perdre un marché, avant même d’avoir subi une attaque.
Ce que couvre réellement un contrat cyber sur la sous-traitance
Un bon contrat d’assurance cyber couvre les pertes d’exploitation causées par une défaillance informatique chez un fournisseur lié par contrat. Il prend en charge les frais de notification aux clients si des données personnelles ont transité par le sous-traitant compromis. En revanche, si aucun contrat formel ne lie les deux parties, la couverture est souvent exclue.
Coûts d’une cyberattaque sans assurance : pertes directes et indirectes
Selon le cabinet Asterès, 385 000 cyberattaques réussies ont touché des organisations françaises en 2022, pour un coût global estimé à 2 milliards d’euros. Ces chiffres agrègent les pertes directes (rançons, restauration des systèmes, remplacement de matériel) et les coûts indirects souvent sous-estimés.
Les coûts indirects représentent la part la plus lourde : interruption de l’activité pendant plusieurs jours, perte de clients qui ne reviennent pas après une fuite de données, frais juridiques liés aux plaintes, et atteinte à la réputation que aucune campagne de communication ne répare rapidement. Une entreprise non assurée absorbe l’intégralité de ces pertes sur sa trésorerie.
- Frais de gestion de crise : experts forensiques, communication de crise, hotline dédiée aux clients affectés
- Pertes d’exploitation pendant la période d’indisponibilité du système informatique
- Responsabilité civile envers les tiers dont les données ont été compromises
- Sanctions administratives (CNIL, et bientôt NIS2) pouvant atteindre des montants significatifs selon la taille de l’entreprise
La protection informatique (pare-feu, antivirus, formation) réduit la probabilité d’une attaque. L’assurance cyber couvre les conséquences financières quand la protection échoue. Les deux fonctionnent ensemble, pas l’un à la place de l’autre. Même un système bien protégé reste exposé à des attaques réussies, et c’est précisément ce qui rend la couverture assurantielle nécessaire pour toute entreprise qui dépend de son système d’information au quotidien.