Cyberassurance

Ce qui décide sur ce contrat. Sur un contrat cyber, la clause qui décide est la liste des mesures de sécurité imposées : elle transforme une garantie en obligation de moyens à votre charge.

Assurance cyber-risques : ce qui est couvert, ce qui reste dehors

Le contrat combine trois volets : l'assistance technique en réponse à incident, la prise en charge des pertes financières dont la perte d'exploitation, et la responsabilité civile envers les tiers dont les données ont été compromises.

Restent dehors les incidents antérieurs à la souscription, les défauts de correctif connus et non appliqués, les sanctions administratives lorsque la loi en interdit l'assurance, et les incidents résultant du non-respect des mesures de sécurité imposées.

À qui ce contrat s'adresse

• TPE et PME manipulant des données clients
• Commerce en ligne
• Cabinet libéral détenant des données sensibles
• Collectivité et association
• Entreprise dépendant d’un outil métier unique

Obligatoire ou non : cela dépend de votre profil

Aucune obligation d'assurance. En revanche, la protection des données personnelles impose des obligations de sécurité et de notification en cas de violation. Le versement d'une rançon ne peut être indemnisé que si la victime dépose plainte dans le délai prévu par la loi.

Les garanties, et le chiffre qui les borne

Une garantie ne se juge pas sur son intitulé. Pour chacune, la troisième colonne est celle qui décide du montant que vous toucherez.

Les clauses qui décident vraiment

Ce sont elles qu'il faut chercher dans les conditions particulières, avant même de comparer les prix.

• les mesures de sécurité imposées, vérifiées après le sinistre et non avant
• la franchise en heures sur la perte d’exploitation, souvent supérieure à la durée réelle des incidents courants
• l’absence de sauvegarde testée, qui vide la garantie reconstitution de données
• l’exclusion des correctifs de sécurité connus et non appliqués
• la définition de l’interruption d’activité, plus étroite que ce que l’on imagine

Quel niveau de couverture selon votre situation

Ce qui fait le prix, et ce qui le fait baisser

Aucune moyenne de marché ne dit ce que vous paierez : la cotisation se construit sur votre dossier. Les critères qui pèsent, en revanche, sont connus.

• taille de l’entreprise et chiffre d’affaires
• volume et sensibilité des données traitées
• niveau de maturité en sécurité
• plafonds et franchises retenus
• étendue de l’assistance

Les leviers qui ne dégradent pas la protection

• mettre en place les mesures exigées avant de négocier le tarif
• documenter les sauvegardes et leurs tests de restauration
• calibrer la franchise en heures sur la réalité de votre activité
• articuler le contrat cyber avec la RC professionnelle pour éviter les zones grises

Renouveler ou changer de contrat cyber

Contrat professionnel résiliable à l'échéance avec préavis, hors champ de la loi Hamon. Le questionnaire de sécurité est réactualisé à chaque renouvellement : une dégradation de vos pratiques peut entraîner une hausse, une exclusion ou un refus de reconduction.

Incident en cours : la première heure

Appelez la cellule d'assistance avant d'intervenir sur les systèmes. Isoler sans conserver les traces complique l'analyse et parfois l'indemnisation. Déposez plainte sans attendre, ce dépôt conditionne certaines prises en charge et déclenche la procédure de notification.

• conserver les journaux et les preuves techniques
• déposer plainte immédiatement
• notifier la violation de données dans le délai prévu

Fraude bancaire : la loi impose déjà à votre banque de rembourser

Avant de souscrire quoi que ce soit contre le piratage de compte, il faut connaître une règle que la plupart des victimes ignorent : le remboursement d'une opération de paiement non autorisée n'est pas une faveur commerciale de la banque, c'est une obligation inscrite dans le code monétaire et financier.

Le principe est net. Dès que le titulaire signale une opération qu'il n'a pas autorisée, la banque doit lui rembourser le montant immédiatement, et remettre le compte dans l'état où il se serait trouvé sans l'opération. Ce remboursement est la règle, et le refus l'exception. Deux exceptions seulement l'autorisent : la fraude du titulaire lui-même, ou une négligence grave de sa part dans la conservation de ses données de sécurité.

La charge de la preuve pèse sur la banque, pas sur le client. C'est à l'établissement de démontrer la fraude ou la négligence grave. L'enregistrement technique de l'opération, y compris la validation par authentification forte, ne suffit pas à lui seul à établir que le client était négligent. Ce point a été confirmé à plusieurs reprises par la Cour de cassation, et il change tout dans une discussion avec un conseiller qui oppose le fait que le code a bien été saisi.

La négligence grave, justement, reste une notion étroite. Communiquer volontairement son code confidentiel écrit au dos de la carte en est une. Se laisser abuser par un appel d'une personne se présentant comme le service anti-fraude de la banque, alors que le numéro affiché est celui de l'agence, en est beaucoup moins une, précisément parce que la manipulation était sophistiquée. Les décisions récentes vont dans ce sens pour les victimes de hameçonnage bien construit.

Les délais comptent. Une opération non autorisée se conteste dans les treize mois qui suivent le débit, ramenés à un délai plus court lorsque le prestataire est situé hors de l'Espace économique européen. En cas de perte ou de vol du moyen de paiement, une franchise limitée peut rester à la charge du titulaire pour les opérations effectuées avant l'opposition, et rien après. Faire opposition sans attendre est donc autant un réflexe juridique qu'un réflexe pratique.

Deux démarches accompagnent la contestation et se font en parallèle. Le signalement sur la plateforme de signalement des fraudes à la carte bancaire, qui alimente les enquêtes sans remplacer la plainte. Et la plainte elle-même, que la banque demande fréquemment et qui reste utile même quand elle n'est pas exigée.

Où se situe alors le contrat cyber pour un particulier ? Précisément là où l'obligation bancaire s'arrête. Il ne double pas le remboursement des opérations non autorisées. Il prend en charge ce que la banque ne doit pas : les fonds transférés par la victime elle-même après manipulation, quand la banque oppose valablement un virement autorisé, les frais de reconstitution d'identité, l'assistance juridique, le temps passé, et les conséquences réputationnelles. Acheter un contrat en croyant qu'il servira sur une fraude à la carte, c'est acheter une garantie qui fera doublon.

Usurpation d'identité : le poste où l'assurance change vraiment la vie

L'usurpation d'identité est le sinistre numérique le plus long à réparer. Il ne se solde pas par un virement, mais par des mois de courriers, d'appels et de justificatifs, et c'est cette charge administrative qui justifie une garantie.

Le scénario type commence par une fuite de données. Nom, date de naissance, adresse, copie de pièce d'identité récupérée sur un site marchand mal protégé ou lors d'une location. Le fraudeur ouvre ensuite un compte, souscrit un crédit à la consommation, commande du matériel, ou dépose une déclaration au nom de la victime. Celle-ci l'apprend le plus souvent par une relance d'impayé portant sur un contrat qu'elle n'a jamais signé.

La riposte s'organise en trois temps, et l'ordre compte. D'abord la plainte, qui donne le document opposable à tous les créanciers. Ensuite les contestations écrites auprès de chaque organisme concerné, avec copie du dépôt de plainte, en demandant la nullité du contrat pour défaut de consentement. Enfin la vérification des fichiers tenus par la Banque de France, qui recensent les incidents de paiement et les interdictions bancaires : une inscription abusive s'y efface sur demande documentée, mais elle ne s'efface pas toute seule.

L'usurpation d'identité est un délit pénal autonome depuis 2011, ce qui permet de porter plainte même si aucun préjudice financier n'est encore constaté. La création d'un faux profil sur un réseau social au nom d'une personne, dans le but de troubler sa tranquillité ou de porter atteinte à son honneur, entre dans ce champ. Beaucoup de victimes renoncent à déposer plainte en pensant qu'il ne s'est rien passé de grave : c'est une erreur, car la plainte est la pièce qui ouvre toutes les autres démarches.

Ce que les garanties d'assurance apportent ici est concret. Un accompagnement par un juriste qui rédige les courriers, un service qui identifie les organismes à contacter, la prise en charge des frais de procédure, une indemnisation forfaitaire du temps passé selon certains contrats, et le remboursement des frais engagés pour reconstituer les pièces d'identité. Sur un dossier qui s'étale sur un an, la valeur de cet accompagnement dépasse largement la cotisation.

Deux limites méritent d'être connues avant de signer. La première : ces garanties couvrent la réparation, pas la perte de chance. Un prêt immobilier refusé pendant l'inscription abusive à un fichier ne donne pas lieu à indemnisation du projet abandonné. La seconde : la surveillance des données personnelles proposée en option, qui alerte lorsque des identifiants apparaissent dans une fuite, informe sans réparer. Elle a une utilité préventive et ne remplace pas la garantie.

Un mot sur la prévention, puisqu'elle réduit vraiment l'exposition. Filigraner les copies de pièces d'identité transmises avec la mention de leur usage et de la date, refuser de transmettre une pièce d'identité pour une démarche qui ne l'exige pas, et activer l'authentification à deux facteurs sur la messagerie principale, qui sert de clé de récupération à tous les autres comptes. Ces trois gestes coûtent quelques minutes.

Cyberharcèlement et atteinte à la réputation : réparer un dommage qui n'est pas financier

C'est le volet le plus récent des contrats destinés aux particuliers, et le moins bien compris, parce que le préjudice ne se chiffre pas comme une perte d'exploitation. Il n'en est pas moins réel, et il touche particulièrement les adolescents et les personnes exposées publiquement.

Le cadre juridique s'est renforcé. Le harcèlement moral commis en ligne, y compris lorsqu'il résulte d'une action concertée de plusieurs personnes qui n'ont chacune agi qu'une fois, est réprimé pénalement. La diffusion sans consentement d'images à caractère intime l'est également. Ces qualifications permettent de porter plainte, ce qui reste le premier acte utile, et de demander le retrait des contenus.

La procédure de retrait obéit à des règles précises. Le signalement auprès de la plateforme est la première étape, avec conservation des captures d'écran datées et des adresses des contenus. Un dispositif public de signalement permet de saisir les autorités, et une autorité administrative dispose de pouvoirs propres sur certaines catégories de contenus. Lorsque la plateforme ne réagit pas, la voie judiciaire en référé permet d'obtenir le retrait et, dans certains cas, l'identification de l'auteur auprès de l'hébergeur.

Ce que les contrats apportent, ici, tient en trois prestations. Une assistance juridique qui rédige les mises en demeure et pilote les signalements. Un service de nettoyage qui obtient la suppression ou le déréférencement des contenus, en s'appuyant sur le droit à l'effacement et sur le droit au déréférencement issus de la réglementation européenne sur les données personnelles. Et un soutien psychologique, sous forme de séances prises en charge, dont l'utilité est directe quand la victime est mineure.

La distinction entre suppression et déréférencement mérite d'être posée, car les deux sont souvent confondus. La suppression retire le contenu de la plateforme qui l'héberge. Le déréférencement le retire des résultats d'un moteur de recherche, sans le faire disparaître de son site d'origine. Le second est plus facile à obtenir que le premier, et il suffit souvent en pratique, puisque l'essentiel de la visibilité passe par la recherche.

Les limites sont franches et il faut les dire. Aucune garantie ne fait disparaître un contenu déjà largement recopié. Aucune ne rétablit une réputation professionnelle abîmée. Et l'indemnisation du préjudice moral reste modeste, parce qu'elle relève, en dernier ressort, de l'appréciation d'un juge et non d'un barème contractuel. Le contrat achète de l'accompagnement et de la rapidité, pas une remise à zéro.

Pour les familles, une précision utile. La couverture s'applique généralement aux enfants du souscripteur rattachés au foyer, y compris pour des faits survenus dans le cadre scolaire. Elle se cumule alors avec la protection juridique du contrat habitation et, le cas échéant, avec l'assurance scolaire. Vérifier lequel des trois contrats est le mieux doté évite d'ouvrir trois dossiers en parallèle.

Fraude au virement en entreprise : le sinistre que le contrat cyber ne couvre pas toujours

Voici la confusion la plus coûteuse du marché professionnel. Une entreprise victime d'un faux ordre de virement croit relever de son contrat cyber. Elle en relève rarement, et la découverte se fait après le sinistre.

Le mécanisme n'a rien de technique. Un fraudeur se fait passer pour le dirigeant, pour un fournisseur qui change de coordonnées bancaires, ou pour un prestataire informatique, et obtient d'un salarié qu'il exécute un virement parfaitement autorisé. Aucun système n'a été forcé. Aucune donnée n'a été chiffrée. Le contrôle interne a cédé, pas l'informatique.

Or la majorité des contrats cyber couvrent les conséquences d'une atteinte au système d'information, et excluent la fraude reposant uniquement sur la manipulation d'une personne. La garantie correspondante existe, mais elle porte un autre nom, fraude aux moyens de paiement ou détournement de fonds, et elle se souscrit séparément, souvent au sein d'un contrat de fraude ou d'une multirisque professionnelle. Elle s'accompagne presque toujours d'obligations de procédure interne : double validation au-delà d'un seuil, rappel du fournisseur sur un numéro connu, interdiction de modifier des coordonnées bancaires sur simple courriel.

Ces obligations ne sont pas décoratives. Elles conditionnent la garantie, et l'assureur vérifiera après coup qu'elles ont été respectées. Une entreprise dont la procédure existe sur le papier mais n'a jamais été appliquée se retrouve dans la même position que celle qui n'en avait pas.

Du côté bancaire, la position est défavorable à l'entreprise. Un virement validé par une personne habilitée est une opération autorisée : la banque n'a pas d'obligation de remboursement, contrairement au cas de l'opération non autorisée du particulier. Sa responsabilité ne peut être recherchée que sur un terrain étroit, celui du devoir de vigilance face à une anomalie apparente, et l'issue est incertaine.

La seule fenêtre réellement utile est celle du temps. Un virement signalé très vite peut parfois être bloqué ou rappelé avant d'être crédité, surtout s'il transite par plusieurs comptes. Cela suppose d'appeler la banque dans l'heure, d'obtenir la référence de l'opération et de déposer plainte immédiatement pour appuyer la demande de blocage. Passé quelques jours, les fonds ont généralement quitté le circuit.

Pour une petite structure, la protection efficace tient donc moins à un contrat qu'à trois règles écrites et appliquées : aucun changement de coordonnées bancaires sans vérification par un canal indépendant, double signature au-delà d'un montant défini, et absence totale d'urgence acceptable en matière de paiement. Un fraudeur travaille sur le sentiment d'urgence ; le supprimer supprime l'essentiel du risque.

Violation de données : le compte à rebours de 72 heures, et ce qui n'est pas assurable

Une entreprise qui subit une fuite de données personnelles entre dans un calendrier réglementaire indépendant de son assurance. Le confondre avec la déclaration de sinistre fait perdre les premières heures, qui sont les seules qui comptent.

La règle européenne impose de notifier la violation à l'autorité de contrôle dans les soixante-douze heures après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les personnes. Le délai court à partir de la prise de connaissance, pas de l'incident lui-même, et une notification tardive doit être motivée. Lorsque le risque est élevé pour les personnes concernées, celles-ci doivent en outre être informées individuellement, dans les meilleurs délais.

La notification n'exige pas un dossier complet. Elle peut être faite par étapes, avec les éléments disponibles, puis complétée. Beaucoup d'entreprises attendent de comprendre l'incident avant de notifier et dépassent le délai pour cette raison. La bonne pratique consiste à notifier ce que l'on sait, en indiquant que l'analyse se poursuit.

Vient ensuite la question qui fâche : que peut payer l'assurance. Les frais de gestion de l'incident sont assurables, et ils représentent l'essentiel du coût pour une petite structure. Analyse technique, expertise judiciaire, hébergement d'urgence, reconstitution des données, communication de crise, frais de notification aux personnes concernées, assistance juridique, éventuellement service de surveillance offert aux clients touchés.

Les sanctions administratives prononcées par l'autorité de contrôle, en revanche, ne sont pas assurables en France. Le principe est ancien : une amende à caractère de sanction personnelle ne peut pas être transférée à un assureur, sous peine de vider la sanction de son effet. Un contrat qui laisserait entendre le contraire serait sans effet sur ce point. En revanche, les frais de défense devant l'autorité et devant le juge restent, eux, garantissables.

La responsabilité civile envers les tiers occupe une place à part. Les personnes dont les données ont été compromises peuvent demander réparation de leur préjudice, y compris moral, et des actions groupées sont possibles. C'est ce poste que couvre le volet responsabilité du contrat cyber, avec un plafond distinct de celui des pertes propres à l'entreprise. Sur un fichier client de quelques milliers de personnes, l'enjeu cesse d'être théorique.

Deux réflexes complètent le dispositif et ne coûtent rien. Tenir à jour un registre des traitements, qui sert de base à l'analyse le jour de l'incident et que l'autorité demandera. Et désigner à l'avance qui notifie, qui parle aux clients et qui décide, car improviser cette répartition pendant la crise consomme précisément les soixante-douze heures disponibles.

Rançongiciel : la chronologie qui décide, et ce que dit la loi sur le paiement

Un rançongiciel ne se joue pas sur le montant demandé mais sur la qualité des vingt-quatre premières heures. Les entreprises qui s'en sortent le mieux ne sont pas celles qui paient, ce sont celles qui savaient quoi faire avant.

Première heure : isoler sans détruire. Débrancher du réseau les machines touchées, couper les accès distants, suspendre les sauvegardes automatiques pour éviter qu'elles ne recopient les fichiers chiffrés. Ne pas éteindre brutalement les serveurs, car la mémoire vive contient parfois des éléments utiles à l'analyse, et ne pas reformater : les traces conditionnent à la fois l'enquête et l'indemnisation.

Deuxième étape : appeler la cellule d'assistance prévue au contrat avant toute intervention technique. La plupart des contrats imposent le recours à des prestataires référencés, et une remise en état conduite par le prestataire habituel de l'entreprise peut être écartée de la prise en charge. Cet appel déclenche aussi la mobilisation d'un juriste et, si nécessaire, d'un négociateur.

Troisième étape : la plainte. La loi française conditionne désormais l'indemnisation d'une rançon versée dans le cadre d'une activité professionnelle au dépôt d'une plainte de la victime dans les soixante-douze heures suivant la connaissance de l'infraction. Ce délai est court et il se compte en heures ouvrées comme en heures non ouvrées. Sans plainte dans ce délai, ce poste précis n'est pas indemnisable, même si le reste du contrat joue normalement.

Sur le paiement lui-même, les autorités françaises maintiennent une position claire : elles le déconseillent. Les raisons sont pratiques autant que morales. Le paiement ne garantit pas la restitution des données, ne garantit pas leur non-publication, finance l'écosystème criminel et désigne l'entreprise comme une cible qui paie. Les retours d'expérience montrent que la restauration à partir de sauvegardes reste la voie la plus fiable quand ces sauvegardes existent et ont été testées.

D'où le poids de la sauvegarde dans la souscription. Une sauvegarde utile est déconnectée ou immuable, testée par une restauration réelle et non par un simple contrôle de présence, et conservée sur plusieurs supports dont un hors site. Un assureur qui pose la question ne cherche pas à faire du zèle : il sait que ce point détermine à lui seul la durée de l'interruption, donc le coût du sinistre.

Reste la double extorsion, devenue la norme. Les attaquants exfiltrent les données avant de les chiffrer, puis menacent de les publier. Restaurer ses systèmes ne règle alors que la moitié du problème : la fuite de données déclenche le calendrier réglementaire évoqué plus haut et la responsabilité envers les personnes concernées. Un plan de réponse qui ne prévoit que la remise en route technique est un plan incomplet.

Enfin, les ressources publiques existent et sont gratuites. Un dispositif national d'assistance aux victimes oriente les particuliers et les petites structures vers des prestataires et fournit des guides opérationnels. L'agence nationale chargée de la sécurité des systèmes d'information publie des recommandations et intervient sur les incidents majeurs. Les consulter avant l'incident vaut mieux que les découvrir pendant.

Faut-il un contrat dédié, ou une option sur un contrat que vous avez déjà

Pour un particulier, la question n'est presque jamais de savoir s'il faut se protéger, mais où loger cette protection. Trois supports existent, ils ne couvrent pas la même chose, et les acheter tous les trois revient à payer deux fois pour un seul risque.

Le premier support est l'extension du contrat habitation. Les assureurs proposent depuis quelques années une option de protection numérique du foyer, facturée quelques euros par mois, qui couvre l'usurpation d'identité, l'atteinte à la réputation en ligne, l'assistance en cas de piratage de comptes et parfois les achats en ligne litigieux. C'est la formule la moins chère, et son périmètre est souvent suffisant pour un foyer ordinaire.

Le deuxième support est la garantie incluse dans certaines cartes bancaires haut de gamme ou dans les offres bancaires groupées. Elle existe, elle est déjà payée, et presque personne ne la connaît. La notice le dit, la publicité ne le dit pas. Avant d'acheter une option ailleurs, il vaut la peine de demander à sa banque ce que couvre déjà la convention de compte, notamment sur l'usurpation d'identité et l'assistance juridique.

Le troisième support est le contrat autonome de protection numérique, plus complet et plus cher, avec surveillance des fuites de données, nettoyage de la réputation, accompagnement psychologique et plafonds supérieurs. Il se justifie pour les personnes exposées publiquement, pour les familles avec adolescents très présents en ligne, et pour ceux qui ont déjà subi une usurpation, car la récidive est fréquente.

Un point de vigilance commun aux trois : la protection juridique. Beaucoup de contrats habitation en comportent déjà une, avec un seuil d'intervention et un plafond annuel qui couvrent une partie des démarches décrites plus haut. Ajouter une garantie cyber comportant elle aussi une assistance juridique crée un doublon, et en cas de sinistre un seul des deux contrats interviendra. Lire les deux avant de signer évite de payer une prestation en double pendant des années.

Pour un professionnel, la logique diffère. Un contrat cyber autonome se justifie dès que l'activité dépend d'un outil informatique dont l'arrêt stoppe la facturation. En dessous, l'extension proposée dans une multirisque professionnelle couvre l'assistance et une reconstitution de données limitée, ce qui suffit à un artisan sans système d'information critique. La bonne question n'est pas la taille de l'entreprise, c'est le nombre de jours d'activité perdus si tout s'arrête demain matin.

Questions fréquentes

Ce qu'il faut retenir

Reprenez vos conditions particulières et vérifiez un seul point avant tout le reste : sur un contrat cyber, la clause qui décide est la liste des mesures de sécurité imposées : elle transforme une garantie en obligation de moyens à votre charge. Si ce point est réglé, le reste du contrat se compare vite.

Où vérifier par vous-même

Les textes applicables sont publics : le Code des assurances et les lois citées sont consultables sur Légifrance, les démarches sur service-public.fr. L'agrément d'un assureur se vérifie auprès de l'ACPR.