Cyberassurance : principes, conditions d'indemnisation, prévention

Une cyberassurance est un contrat qui prend en charge, selon ses termes, des pertes et des frais liés à une atteinte aux systèmes d'information : rançongiciel, intrusion, vol ou destruction de données.

Aucune disposition générale n'impose aux entreprises de souscrire une cyberassurance.

Le contenu varie fortement d'un contrat à l'autre. On peut y trouver, selon les cas, les éléments suivants.

• frais d'intervention technique et de restauration des systèmes ;
• pertes d'exploitation consécutives à l'incident ;
• frais de notification et de gestion de crise ;
• responsabilité civile envers les tiers dont les données sont touchées ;
• assistance juridique.

L'article L12-10-1 du Code des assurances subordonne le versement d'une indemnité, au titre d'une atteinte à un système de traitement automatisé de données, au dépôt d'une plainte. La plainte doit être déposée au plus tard 72 heures après que la victime a eu connaissance de l'atteinte.

Cette règle vise les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle.

Il s'agit d'une condition d'indemnisation, non d'une obligation d'assurance.

La fiche réflexe de Cybermalveillance.gouv.fr sur les rançongiciels rappelle de porter plainte, de prévenir son assureur et, si des données personnelles sont concernées, de notifier la CNIL dans les 72 heures, conformément au RGPD.

Cette fiche déconseille de payer la rançon.

L'ANSSI publie un guide de cybersécurité destiné aux TPE et PME, sous forme de questions pratiques : sauvegardes, mises à jour, mots de passe, sensibilisation.

Les mesures de prévention en place peuvent être examinées par l'assureur lors de la souscription.

Les entreprises d'assurance doivent être agréées. L'ACPR contrôle les organismes d'assurance et peut aussi contrôler les intermédiaires. Le registre des organismes d'assurance de l'ACPR permet de vérifier un agrément.

Le contrat peut être souscrit directement auprès d'un assureur ou par un intermédiaire en assurance (IAS) : courtier, agent général, mandataire d'assurance ou mandataire d'intermédiaire. Tout intermédiaire doit être immatriculé à l'ORIAS (article L512-1 du Code des assurances).

Avant la conclusion du contrat, le distributeur doit préciser par écrit les exigences et les besoins du souscripteur. Il propose un contrat cohérent avec ces besoins et motive son conseil (article L521-4).

La prime dépend notamment de l'activité, de la taille de l'entreprise, des données traitées et du niveau de sécurité. Aucun montant indicatif n'est donné ici.

• événements couverts et exclusions prévues au contrat ;
• plafonds et sous-plafonds par garantie ;
• franchises et délais de carence pour la perte d'exploitation ;
• services d'assistance disponibles et délais d'intervention ;
• conditions de déclaration de l'incident.