Assurance cyber couverture et exclusions de contrat

Assurance cyber couverture et exclusions de contrat

Une assurance cyber finance une partie des conséquences d’un incident, elle ne transfère ni le risque opérationnel ni la responsabilité de le traiter correctement. Le compromis est net : on gagne une capacité financière et un accès encadré à des prestataires de crise, on paie des primes, des franchises, des exclusions et des obligations techniques dont la violation peut neutraliser la garantie au pire moment.

Explication de la marmotte

Une assurance cyber ressemble à une assurance habitation après un dégât des eaux : elle peut payer des réparations et des spécialistes, mais elle ne remet pas les fichiers perdus ni les journées de travail envolées. Elle sert à absorber une partie de la facture quand un incident numérique atteint l’activité.

→ Lire l’explication complète de la marmotte

Couverture cyber : frais de crise, pertes et responsabilité

Le contrat distingue généralement les garanties de première partie et de responsabilité civile. Les premières indemnisent les pertes subies directement : investigation, restauration, interruption d’activité, communication de crise, assistance juridique, notification des personnes concernées, surveillance d’identité et, selon le contrat, négociation liée à une extorsion. Les secondes couvrent les réclamations de tiers, par exemple après une fuite de données ou l’interruption d’un service hébergé.

La garantie de réponse à incident est souvent la plus immédiatement exploitable. Elle finance une équipe d’investigation numérique, un cabinet spécialisé et parfois un prestataire de communication. Cette garantie ne remplace pourtant pas une capacité interne de décision : sans inventaire des applications, propriétaires de données, journaux exploitables et contacts d’astreinte, chaque heure facturée sert à retrouver qui possède quoi. Le chaos coûte cher, y compris avec une police très bien rédigée.

L’interruption d’activité mérite une lecture arithmétique, pas une lecture marketing. L’assureur indemnise généralement une perte de marge brute pendant une période d’indemnisation, après une franchise temporelle ou financière. La perte de chiffre d’affaires n’est pas la perte indemnisable. Il faut retirer les charges variables évitées et démontrer le lien causal avec l’événement couvert. Une base de données indisponible pendant douze heures ne vaut rien contractuellement si l’activité peut continuer par un canal manuel déjà prévu.

Les coûts de restauration sont également bornés. La reconstruction d’un serveur compromis peut être couverte, mais l’amélioration architecturale décidée pendant la crise ne l’est pas nécessairement. Remplacer une ferme obsolète par une plateforme conteneurisée relève rarement du sinistre, même si l’ancienne plateforme avait la grâce fonctionnelle d’un grille-pain sous la pluie.

Une police cyber doit être lue avec la cartographie des dépendances. Une attaque contre un fournisseur de logiciel, un opérateur cloud ou un prestataire de paiement ne déclenche une garantie d’interruption contingente que si cette dépendance est explicitement prévue. Les dépendances nommées, les fournisseurs critiques et les sous-traitants de rang deux doivent figurer dans l’analyse. Les principes de sécurité réseau et les frontières de responsabilité cloud déterminent ici la qualité de la preuve autant que la capacité de défense.

Exclusions contractuelles : là où le transfert de risque s’arrête

Les exclusions ne sont pas une annexe décorative. Elles définissent le sinistre réellement assurable. Une exclusion fréquente vise les actes intentionnels, la fraude interne, les litiges contractuels, les défauts corporels, les sanctions internationales et les dommages matériels. Certaines polices réintroduisent une couverture limitée pour les conséquences d’un acte malveillant commis par un salarié, mais cette rédaction varie fortement.

L’exclusion de guerre cyber est devenue un point de friction majeur. Les assureurs cherchent à exclure les actions attribuées à un État, les opérations militaires et parfois les cyberopérations produisant des effets systémiques. L’attribution technique est incertaine, lente et politiquement chargée. Il faut exiger une définition contractuelle de l’événement exclu, de l’autorité susceptible de l’attribuer et du niveau de preuve attendu. Une exclusion qui repose sur une notion vague de « conflit » laisse une marge de manœuvre peu compatible avec un budget de crise.

Les pertes liées à une vulnérabilité connue mais non corrigée exposent à deux mécanismes différents : exclusion explicite et manquement à une déclaration préalable. Une police peut exiger l’application de correctifs critiques dans un délai défini, le maintien d’une authentification multifacteur ou la sauvegarde des données. L’assureur ne doit pas pouvoir transformer une hygiène imparfaite en refus automatique pour un incident sans rapport causal. La rédaction à rechercher lie le manquement au sinistre et exige qu’il ait augmenté matériellement le dommage.

Les rançongiciels illustrent la limite la plus brutale. Le paiement peut être couvert sous réserve de validation, mais une sanction internationale, une interdiction réglementaire ou l’impossibilité de vérifier le destinataire peut empêcher tout règlement. Surtout, payer ne garantit ni la restitution des données, ni la destruction des copies exfiltrées, ni l’absence de nouvelle extorsion. Le déchiffreur fourni par un groupe criminel est un logiciel non testé distribué sous pression : l’industrie a inventé pire qu’une dépendance non maintenue, puis a ajouté une échéance.

L’assurance ne garantit pas non plus la confidentialité réelle des données divulguées. Une fois exfiltrée, une donnée peut être copiée, revendue et recoupée indéfiniment. La prévention dépend de la protection des données, du cloisonnement, du chiffrement et de la minimisation des accès. La police finance des conséquences, elle ne révoque pas une copie adverse.

Conditions de garantie : preuves, sécurité déclarée et délai de notification

La souscription repose sur des déclarations : chiffre d’affaires, historique d’incidents, dépendances critiques, exposition Internet, méthodes d’authentification, sauvegardes et mesures de sécurité. Ces réponses deviennent un élément du risque tarifé. Un questionnaire rempli par approximation crée une dette contractuelle. Une authentification multifacteur déclarée « généralisée » alors que les comptes d’administration, les comptes de service ou le réseau privé virtuel y échappent est une erreur classique et évitable.

L’authentification multifacteur doit couvrir les accès distants, l’administration, la messagerie, les consoles cloud, les outils de développement et les comptes à privilèges. Un accès hérité laissé hors périmètre suffit à contourner le dispositif. Le détail des mécanismes se rattache à la gestion des identités, pas à une case cochée dans un questionnaire de courtage.

Les sauvegardes doivent être restaurables, isolées des identités d’administration ordinaires et testées à fréquence définie. Une sauvegarde accessible avec le même compte compromis que la production n’est pas une capacité de reprise, c’est une copie de travail avec une espérance de vie réduite. L’assureur examinera souvent cette capacité lors de la souscription, puis lors du sinistre.

La notification doit intervenir dans le délai contractuel, parfois dès la suspicion raisonnable d’un incident. Contacter d’abord un prestataire non agréé peut compromettre le remboursement de ses frais. Cette contrainte est désagréable, mais prévisible : conserver dans le plan de réponse les coordonnées de l’assureur, du courtier, de la hotline de crise et des conseils autorisés. Le plan doit préciser qui peut déclarer le sinistre et qui peut engager une dépense d’urgence.

Les journaux doivent être horodatés, centralisés et protégés contre l’altération. Sans traces d’authentification, d’exécution, de flux réseau et d’accès aux données, démontrer la période d’intrusion ou chiffrer une perte devient spéculatif. La supervision ne constitue pas une garantie d’assurance, mais son absence dégrade simultanément la défense, la reprise et la négociation. Trois fonctions défaillantes pour le prix d’une seule, le secteur sait optimiser.

Plafonds, franchises et sous-limites : lire les montants par scénario

Le plafond global est presque toujours inférieur à l’exposition maximale plausible. Les sous-limites réduisent encore la couverture disponible pour l’extorsion, les frais de notification, la fraude par ingénierie sociale ou l’interruption d’un fournisseur. Une limite de 5 millions d’euros ne signifie pas nécessairement 5 millions disponibles pour restaurer, notifier, défendre et indemniser des tiers. Chaque garantie peut consommer son propre compartiment ou le plafond global selon la rédaction.

La franchise doit être évaluée contre le coût minimal d’un incident crédible. Une franchise de 250 000 euros peut être rationnelle pour réduire la prime si l’organisation sait financer elle-même les incidents de faible ampleur. Elle devient absurde si l’équipe de réponse ne peut être mobilisée sans validation financière longue. Le compromis central est là : retenir les pertes fréquentes et limitées, assurer les scénarios rares qui menacent la continuité ou la trésorerie.

La période d’attente sur l’interruption d’activité mérite le même traitement. Si elle est de vingt-quatre heures, les arrêts courts ne produiront aucune indemnisation. Pour une plateforme dont le coût augmente fortement dès la première heure, mieux vaut financer la résilience et réduire le délai de reprise que payer une police visant un événement trop long. L’assurance ne remplace pas les objectifs de reprise, ni le plan de continuité.

La fraude au président et le détournement de fonds sont souvent couverts par une garantie distincte, avec des conditions différentes de la police cyber. Confondre compromission de messagerie et fraude de paiement produit des trous de couverture très ordinaires. Les garanties doivent être rapprochées de la procédure de validation bancaire, de la séparation des rôles et des plafonds de délégation.

Exemple de matrice d’acceptation pour une police cyber

Une matrice versionnée permet de relier les clauses aux contrôles techniques, aux preuves et aux propriétaires opérationnels. Le fichier suivant est exploitable avec yq pour vérifier que chaque exigence déclarée possède une preuve et une fréquence de contrôle.

assurance-cyber-controles.yaml

exigences:
  - clause: "Authentification multifacteur pour accès administratifs"
    controle: "MFA imposée par politique d'accès conditionnel"
    preuve: "export-politique-acces-2026-09.json"
    frequence: "mensuelle"
    proprietaire: "equipe-identite"
    statut: "conforme"

  - clause: "Sauvegardes protégées contre la suppression"
    controle: "Coffre isolé, rétention verrouillée, restauration testée"
    preuve: "rapport-restauration-trimestriel.pdf"
    frequence: "trimestrielle"
    proprietaire: "equipe-sauvegarde"
    statut: "conforme"

# Vérifier localement les exigences incomplètes :
# yq '.exigences[] | select(.preuve == "" or .statut != "conforme")' assurance-cyber-controles.yaml

Le fichier ne prouve rien à lui seul. Il indexe les preuves réelles : exports signés, rapports de restauration, résultats de tests et décisions de dérogation datées. Une preuve périmée vaut mieux qu’aucune preuve seulement pour démontrer qu’un problème existe. En cas de sinistre, elle documente surtout l’écart.

La revue doit suivre les renouvellements de contrat, les acquisitions, les changements d’hébergeur et les transformations d’identité. Une nouvelle filiale avec un annuaire distinct ou une exposition Internet non inventoriée modifie le risque déclaré. La gouvernance de ces écarts relève de la gouvernance cybersécurité, avec une validation sécurité, finance et exploitation.

Exploitation de l’assurance cyber pendant un incident

Dès la détection, préserver les éléments de preuve avant toute reconstruction : journaux, images système, configurations, indicateurs de compromission et chronologie des actions. Isoler un hôte sans capturer sa mémoire peut détruire des éléments utiles à l’investigation. À l’inverse, attendre une collecte parfaite avant de couper un accès actif peut amplifier le dommage. La règle est de préautoriser des gestes de confinement, puis de journaliser chaque action.

La déclaration à l’assureur doit décrire des faits observables, pas une attribution aventureuse. Indiquer les systèmes concernés, l’heure de détection, les impacts opérationnels, les mesures de confinement et les prestataires déjà engagés. Éviter d’affirmer une exfiltration sans preuve, mais ne pas la nier faute de certitude. Les formulations hâtives circulent ensuite entre experts, assureurs, autorités et conseils. Elles vieillissent mal.

La restauration doit suivre un ordre de dépendance : identité, administration, réseau, sauvegardes, services critiques, puis postes utilisateurs. Restaurer une application avant son service d’identité ou avant la rotation des secrets réintroduit le compromis initial. Les secrets exposés doivent être révoqués ou remplacés, y compris les jetons d’interface de programmation, les clés de compte de service et les certificats. Un certificat révoqué ne déconnecte pas automatiquement les sessions déjà établies : les durées de session et les mécanismes de réauthentification restent déterminants.

Après l’incident, distinguer les dépenses indemnisables des améliorations décidées pour réduire le risque futur. Les deux sont nécessaires, mais les mélanger affaiblit le dossier de remboursement et masque le coût réel de remédiation. L’assurance absorbe le choc financier ; la réduction durable du risque vient des contrôles, des sauvegardes et de l’architecture. Ce sont deux budgets, deux temporalités, un même incident.

🐝 Ce qui arrive si on s’en passe

Sans cette mise en correspondance entre clauses, contrôles et preuves, la porte de la ruche reste ouverte du côté administratif. Les écarts ne se découvrent qu’au sinistre, quand le plafond réel, les sous-limites et la période d’attente se lisent pour la première fois sous pression, avec un dossier déjà engagé. Les dépenses partent vers des prestataires non agréés, les autorisations de dépense d’urgence se négocient au lieu d’être connues, et le délai de notification s’épuise pendant la recherche du bon interlocuteur. Au renouvellement, l’absence d’éléments datés (exports de politique d’accès, rapports de restauration, décisions de dérogation) laisse l’assureur tarifer au pire, retirer une garantie ou rehausser la franchise. Les garanties voisines, fraude au paiement ou responsabilité civile, se chevauchent ou laissent un vide que personne n’a chiffré avant l’événement.

🦫 Explication de la marmotte 🍫

Une assurance cyber est un contrat qui prévoit qui paie certaines dépenses après une attaque informatique ou une fuite de données. Avant de signer, l’assureur demande comment les systèmes sont protégés, comment les sauvegardes sont conservées et comment les accès sensibles sont contrôlés. Les réponses données comptent : si elles sont fausses ou trop optimistes, l’assureur peut contester le remboursement.

Quand un incident est détecté, il faut d’abord limiter l’accès de l’attaquant et conserver les traces disponibles. Ensuite, l’organisation contacte l’assureur dans le délai prévu. Celui-ci peut imposer des spécialistes pour chercher l’origine de l’attaque, restaurer les services, gérer la communication et évaluer les personnes touchées. Les dépenses sont remboursées seulement si elles entrent dans les garanties et les plafonds du contrat.

Certaines pertes restent à la charge de l’organisation : la somme minimale appelée franchise, les améliorations techniques décidées après coup, et les situations exclues comme certains actes de guerre, certaines sanctions ou des erreurs déclarées avant la signature. Payer une demande d’extorsion ne garantit pas de récupérer les données ni d’empêcher leur diffusion.

Le contrat ne protège pas les systèmes à la place de l’organisation. Des accès protégés par plusieurs preuves d’identité, des sauvegardes testées, des journaux conservés et un plan de reprise restent nécessaires. Sans cela, l’incident dure plus longtemps, coûte davantage et devient plus difficile à faire indemniser.

À lire aussi

• Justifier un budget sécurité à la direction financièreCette page explique comment défendre un budget sécurité face à une direction financière avec un modèle de risque, des hypothèses traçables et des critères d'exploitation.
• Clauses de sécurité pour contrat fournisseurDéfinir des clauses de sécurité vérifiables dans un contrat fournisseur.
• Calculer le coût-bénéfice d’un incident évitéCette page décrit comment analyser les coûts et bénéfices d’un incident évité sans transformer une hypothèse en fait comptable.
• Calculer le coût total de possession d'un contrôle de sécuritéLe coût total de possession d'un contrôle de sécurité inclut son acquisition, son exploitation, ses dépendances, ses défaillances et son retrait.

Pages voisines

La citent

• Comment exploiter le Global Risks Report du Forum économique mondial
• EBIOS RM : analyse de risque et limites pratiques
• Pourquoi les fuites de données persistent malgré la sécurité
• Préparer la capture réseau pour des preuves légales
• Tester une restauration après sinistre simulé

Assurance cyber couverture et exclusions de contrat

Elle cite

• Conformité export et sanctions numériques
• Analyse mémoire et réseau après un incident
• Comment attribuer techniquement une cyberattaque