2 min de lecture<\/p>\n
Les assurances cyber connaissent un essor – le march\u00e9 cro\u00eet annuellement de 25 pour cent. Cependant, la d\u00e9sillusion survient en cas de sinistre : de plus en plus d’entreprises constatent que leur police ne couvre pas les dommages. Les exclusions de guerre, les exigences de conformit\u00e9 et les clauses r\u00e9troactives rendent de nombreuses polices inutiles en cas de sinistre. Ce que les entreprises doivent savoir avant de souscrire.<\/strong><\/p>\n Les assurances cyber vendent la s\u00e9curit\u00e9. Ce qu’elles fournissent r\u00e9ellement, c’est un contrat rempli de conditions qui agissent syst\u00e9matiquement contre l’assur\u00e9 en cas de sinistre. Ce n’est pas une fraude – c’est un mod\u00e8le \u00e9conomique bas\u00e9 sur l’information asym\u00e9trique.<\/p>\n Une entreprise de fabrication de taille moyenne paie 40 000 euros de prime annuelle pour une police cyber avec une couverture de 5 millions d’euros. Cela semble solide. Puis survient l’attaque par ransomware. L’assurance examine le dossier – et constate : sur trois des 200 serveurs, Windows Server 2012 fonctionnait sans mises \u00e0 jour de s\u00e9curit\u00e9 \u00e9tendues. Clause 4.7 : \u00ab La couverture d’assurance est annul\u00e9e si les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 connues ne sont pas corrig\u00e9es dans les 30 jours. \u00bb Pas de paiement.<\/p>\n 1. Exclusion de guerre (War Exclusion) :<\/strong> Apr\u00e8s l’attaque NotPetya en 2017, les assureurs ont refus\u00e9 de verser 100 millions de dollars \u00e0 Mondelez – justification : l’attaque aurait \u00e9t\u00e9 un acte de guerre russe. Lloyd’s of London a \u00e9largi les exclusions de guerre en 2023 : tous les \u00ab actes soutenus par l’\u00c9tat \u00bb peuvent \u00eatre exclus. Le probl\u00e8me : plus de 60 pour cent de toutes les attaques APT sont attribu\u00e9es \u00e0 des acteurs proches de l’\u00c9tat.<\/p>\n 2. Exigences de conformit\u00e9 :<\/strong> Les polices modernes listent les exigences techniques minimales : MFA sur tous les acc\u00e8s \u00e0 distance, EDR sur tous les points de terminaison, scans de vuln\u00e9rabilit\u00e9s r\u00e9guliers, sauvegardes hors ligne test\u00e9es. Si un \u00e9l\u00e9ment manque, les assureurs invoquent une \u00ab violation des obligations \u00bb. La charge de la preuve incombe \u00e0 l’assur\u00e9.<\/p>\n 3. Sous-limites et p\u00e9riodes d’attente :<\/strong> La couverture de 5 millions d’euros semble rassurante – jusqu’\u00e0 ce que l’on lise les sous-limites. Interruption de service : maximum 500 000 euros. Paiement de ran\u00e7on : exclu. Forensique : limit\u00e9 \u00e0 100 000 euros. P\u00e9riode d’attente avant le d\u00e9but de la couverture pour interruption de service : 12 heures. En cas d’attaque par ransomware qui immobilise la production pendant une semaine, la couverture r\u00e9elle est rarement suffisante pour le pr\u00e9judice r\u00e9el.<\/p>\n Le secteur de l’assurance a ses raisons : le ratio combin\u00e9 – le rapport entre les dommages et les primes – \u00e9tait sup\u00e9rieur \u00e0 100 pour cent pour les polices cyber pendant des ann\u00e9es. L’activit\u00e9 \u00e9tait d\u00e9ficitaire. Le durcissement des clauses est la r\u00e9ponse. Le fait qu’il soit \u00e9quitable est une autre question.<\/p>\n Les assureurs argumentent que des exigences strictes obligent les assur\u00e9s \u00e0 une meilleure s\u00e9curit\u00e9. Cela est partiellement vrai – les entreprises avec une police cyber ont une s\u00e9curit\u00e9 de base prouv\u00e9e. Mais la disparit\u00e9 entre les promesses marketing et la r\u00e9alit\u00e9 contractuelle reste probl\u00e9matique.<\/p>\n Avant la souscription :<\/strong> Faites examiner la police par un courtier ind\u00e9pendant ET un avocat sp\u00e9cialis\u00e9. Accordez une attention particuli\u00e8re aux exclusions de guerre, aux exigences techniques et aux sous-limites. Posez explicitement la question : \u00ab Dans quelles circonstances ne payez-vous PAS ? \u00bb<\/p>\n Pendant la dur\u00e9e de validit\u00e9 :<\/strong> Documentez vos mesures de s\u00e9curit\u00e9 de mani\u00e8re exhaustive. Chaque correctif, chaque scan, chaque formation de sensibilisation. En cas de sinistre, la charge de la preuve est de votre c\u00f4t\u00e9. Traitez votre documentation de s\u00e9curit\u00e9 comme une d\u00e9claration fiscale – elle doit r\u00e9sister \u00e0 un contr\u00f4le.<\/p>\n Strat\u00e9gie alternative :<\/strong> Examinez si les 40 000 euros de prime annuelle ne seraient pas mieux investis dans un contrat de r\u00e9ponse aux incidents, des sauvegardes am\u00e9lior\u00e9es et un comit\u00e9 de crise. Pour de nombreux PME, l’auto-assurance avec une pr\u00e9vention cibl\u00e9e est \u00e9conomiquement plus avantageuse qu’une police pleine d’exclusions.<\/p>\n Les assurances cyber ont leur justification – comme derni\u00e8re ligne de d\u00e9fense, pas comme premi\u00e8re. Celui qui ach\u00e8te une police pour remplacer la s\u00e9curit\u00e9 est doublement puni en cas de sinistre : par le dommage et par le rejet. Le secteur doit devenir plus transparent. Et les entreprises doivent cesser de consid\u00e9rer les primes d’assurance comme un budget de s\u00e9curit\u00e9.<\/p>\n Taux de rejet :<\/strong> Plus de 30 pour cent des d\u00e9clarations de sinistres cyber sont enti\u00e8rement ou partiellement rejet\u00e9es par les assureurs (Marsh, 2024).<\/p>\n Conflit NotPetya :<\/strong> Merck a gagn\u00e9 en 2023 le litige contre Ace American Insurance pour 1,4 milliard de dollars – un cas exceptionnel qui a \u00e9branl\u00e9 le secteur.<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Pour les grandes entreprises avec des \u00e9quipes de s\u00e9curit\u00e9 d\u00e9di\u00e9es et une documentation propre : oui, comme transfert de risque pour des dommages catastrophiques. Pour les PME avec une s\u00e9curit\u00e9 lacunaire : la prime est souvent mieux investie dans des mesures de protection directes.<\/p>\n<\/details>\n Trois drapeaux rouges : premi\u00e8rement, si les \u00ab attaques soutenues par l’\u00c9tat \u00bb sont enti\u00e8rement exclues. Deuxi\u00e8mement, si les exigences techniques sont formul\u00e9es sans r\u00e8gle de tol\u00e9rance. Troisi\u00e8mement, si les sous-limites r\u00e9duisent de facto la somme de couverture globale \u00e0 une fraction.<\/p>\n<\/details>\n L’UE travaille sur des normes pour les contrats d’assurance cyber. Jusqu’\u00e0 ce que celles-ci s’appliquent, la responsabilit\u00e9 incombe \u00e0 l’assur\u00e9 : examiner soigneusement les polices, remplir et documenter les conditions pr\u00e9alables, consulter un avocat en cas de doute.<\/p>\n<\/details>\n Plus du r\u00e9seau MBF Media<\/p>\nL’essentiel<\/h2>\n
\n
Le mod\u00e8le \u00e9conomique de la peur<\/h2>\n
Les trois clauses les plus dangereuses<\/h2>\n
Pourquoi les assureurs durcissent les conditions<\/h2>\n
Ce que les entreprises devraient faire<\/h2>\n
Conclusion : l’assurance n’est pas un substitut \u00e0 la s\u00e9curit\u00e9<\/h2>\n
Faits cl\u00e9s<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Une assurance cyber vaut-elle encore la peine ?<\/strong><\/summary>\n
Comment reconna\u00eetre les clauses probl\u00e9matiques ?<\/strong><\/summary>\n
La r\u00e9glementation am\u00e9liorera-t-elle la situation ?<\/strong><\/summary>\n
Articles connexes<\/h2>\n
\n