La cyber-assurance n'est pas une protection magique. C'est un produit financier qui couvre certaines pertes, exclut d'autres, et impose un socle de sécurité préalable. Beaucoup de dirigeants découvrent au moment de l'incident que la police ne couvre ni la durée de la crise, ni l'effet de bord client, ni les conséquences d'une négligence caractérisée. Comprendre ce qui est couvert et ce qui ne l'est pas conditionne l'architecture de la gestion de crise et les arbitrages budgétaires en amont.
Les chiffres-clés à connaître
Ce que couvre vraiment une cyber-assurance
Une police de cyber-assurance classique se structure autour de 7 garanties principales. Toutes les polices ne les incluent pas : leur présence et leurs plafonds dépendent de la rédaction du contrat, jamais d'un schéma type.
- Frais de gestion d'incident : forensique, prestataire PRIS, restauration des systèmes, support informatique d'urgence.
- Frais juridiques : avocat spécialisé, qualification pénale, contentieux clients ou fournisseurs.
- Frais de communication de crise : agence de communication, média-training, gestion presse, soutien aux victimes.
- Pertes d'exploitation : indemnisation de la perte de marge brute pendant l'interruption, généralement après un délai de carence de 24 à 72 heures.
- Frais de notification : information aux personnes concernées en cas de violation de données personnelles, monitoring de crédit, hotline dédiée.
- Cyber-extorsion et rançon : indemnisation conditionnée à la plainte dans les 72 heures (LPM 2023 article 5), souvent assortie de plafonds et de franchises élevés.
- Responsabilité civile : dommages causés à des tiers (clients, partenaires) en cas de fuite de données ou de défaillance liée à l'incident.
Ce que la cyber-assurance ne couvre PAS
C'est souvent ce qui surprend le plus en cellule de crise. Cinq exclusions reviennent dans la quasi-totalité des polices.
1. La perte longue de chiffre d'affaires
L'indemnité des pertes d'exploitation s'arrête généralement à 90 ou 180 jours selon les contrats. Une organisation qui ne récupère son rythme commercial qu'au bout d'un an reste avec un trou non couvert qui peut dépasser plusieurs millions d'euros.
2. La perte de réputation et l'effet de bord client
La résiliation d'un contrat majeur, le refus d'un appel d'offres, la perte d'un partenariat stratégique ne sont pas assurés. Or ce sont souvent les coûts les plus lourds sur le long terme. La cyber-assurance compense le sinistre, pas ses conséquences commerciales étendues.
3. Le manquement caractérisé à l'obligation de sécurité
Négligence grave, absence de sauvegarde, refus d'appliquer des correctifs critiques connus depuis plus de 30 jours, absence de MFA sur les comptes administrateurs : ces situations peuvent entraîner un refus partiel ou total d'indemnisation. La police suppose un socle minimal de sécurité.
4. Les actes de guerre cyber et les attaques étatiques
La clause war exclusion exclut de plus en plus les attaques attribuables à un acteur étatique. Plusieurs jugements récents ont confirmé cette exclusion (NotPetya, attaques attribuées à des groupes étatiques). C'est un sujet de débat majeur, et l'attribution faite par VIGINUM ou l'ANSSI peut peser sur la couverture.
5. Les défaillances de prestataires non couverts par la police
Une attaque sur un fournisseur cloud, un éditeur SaaS ou un sous-traitant n'est couverte que si la police le prévoit explicitement. Or les supply chain attacks sont aujourd'hui la première cause d'incident chez les ETI. À vérifier ligne à ligne.
À retenir : la cyber-assurance n'est pas une stratégie de cybersécurité. C'est un instrument de transfert de risque qui complète, mais ne remplace pas, une cellule de crise opérationnelle, un PCA testé et un socle de sécurité conforme.
L'assureur et votre cellule de crise : comment ils s'articulent
L'assureur n'est pas un simple payeur. C'est aussi un mobilisateur de prestataires qu'il convient de positionner correctement dans la cellule de crise.
Le panel de prestataires contractuels
L'assureur déclenche un panel pré-référencé : forensique, avocat spécialisé, communication de crise, parfois négociateur en cas de rançongiciel. Ces prestataires arrivent vite et avec un cadre tarifaire négocié. Avantage : rapidité et coût maîtrisé. Limite : ils ne connaissent pas votre organisation. La cellule de crise interne doit les briefer dans les premières heures.
La déclaration de sinistre
Tout sinistre cyber doit être déclaré à l'assureur dans les délais contractuels (souvent 72 heures pour les sinistres significatifs, plus court pour les rançongiciels). La déclaration tardive est une cause classique de refus d'indemnisation. Un modèle de déclaration préparé à froid évite la perte de temps en cellule.
L'articulation avec les autorités
L'assureur n'agit pas à votre place auprès des autorités. La saisine du CERT-FR, des CSIRT territoriaux, de la CNIL ou de la gendarmerie reste votre responsabilité, et conditionne l'indemnisation (notamment pour la rançon, voir LPM 2023).
La LPM 2023 et la rançon assurable
L'article 5 de la loi de programmation militaire de 2023 a clarifié un point longtemps débattu : une cyber-rançon est juridiquement assurable en France, à condition que la victime ait déposé plainte dans les 72 heures qui suivent le paiement. Cette obligation est cumulative : pas de plainte, pas d'indemnisation. La loi vise à concilier la réalité opérationnelle (certaines organisations paient pour récupérer leurs données) et l'intérêt collectif (alimenter les enquêtes judiciaires).
Plusieurs assureurs européens vont plus loin que la loi : refus pur de couvrir la rançon, plafonds très bas, franchises de 30 à 50 %, conditions d'éligibilité strictes (preuve de l'impossibilité de restaurer autrement). Sur ce sujet, lire la police ligne à ligne avant tout sinistre est une obligation de gouvernance.
Tableau récapitulatif : ce qui est couvert vs ce qui ne l'est pas
| Type de coût | Couvert ? | Conditions |
|---|---|---|
| Forensique et restauration | Oui (large) | Prestataire du panel assureur |
| Avocat et juridique | Oui | Plafond négociable |
| Communication de crise | Oui | Agence du panel ou agréée |
| Perte d'exploitation court terme | Oui | Délai de carence, plafond 90-180 j |
| Notification CNIL et personnes | Oui | Sur justificatifs |
| Rançon | Conditionnel | Plainte sous 72h, plafonds, franchises |
| Responsabilité civile tiers | Oui | Plafond selon contrat |
| Perte longue de CA (> 6 mois) | Non | Exclusion fréquente |
| Perte réputation et clients | Non | Exclusion quasi-générale |
| Négligence grave | Non | Refus possible |
| Attaque étatique / guerre | Non | Clause war exclusion |
| Défaillance fournisseur tiers | Variable | À vérifier ligne à ligne |
Prérequis pour être assurable en 2026
Le marché de la cyber-assurance s'est durci depuis 2022 après plusieurs années de sinistralité explosive. Les assureurs exigent désormais un socle de sécurité minimal :
- Authentification multifacteur sur les accès administrateurs, la messagerie, les VPN et les accès distants.
- Sauvegarde immuable testée régulièrement, segmentée du système de production, avec restauration vérifiée.
- Plan de réponse à incident documenté avec contacts, rôles, modèles de notification.
- Sensibilisation des collaborateurs au phishing et aux fraudes au virement.
- Gestion des correctifs avec délai cible (souvent 30 jours pour les vulnérabilités critiques).
- Audit ou score de sécurité externe (cyber rating, audit ANSSI, certification), de plus en plus exigé.
Sans ce socle, soit l'organisation est refusée, soit le contrat exclut le rançongiciel ou impose une franchise dissuasive. Une cellule de crise opérée et testée fait partie de ce socle de fait.
Sources publiques et références :
- Loi de programmation militaire 2023, article 5 (assurance cyber)
- AMRAE, Association pour le management des risques et des assurances de l'entreprise
- Direction générale du Trésor, doctrine sur l'assurabilité cyber
- ANSSI, guides pour la conformité préalable à l'assurance
- FFA, Fédération française de l'assurance, panorama cyber
- Cybermalveillance.gouv.fr, ressources sur la déclaration de sinistre
Pour aller plus loin
Aligner votre cellule de crise avec votre police cyber ?
30 minutes pour cartographier ce qui est couvert et ce qui ne l'est pas, prioriser les chantiers de mise en conformité et préparer le pilotage le jour J.
Échanger avec un consultant →