Après une cyberattaque, votre indemnisation dépend des délais respectés et des pièces réunies pour l’assureur. Il diligente une expertise avant tout versement et peut invoquer plusieurs clauses contractuelles pour refuser le remboursement.
Depuis avril 2023, vous devez déposer plainte dans les 72 heures qui suivent la découverte de l’incident, en vertu de l’article L12-10-1 du code des assurances, si vous voulez conserver le bénéfice de votre assurance cyber. Et ne négligez pas ce délai, car si vous le dépassez, vous pouvez perdre votre droit à indemnisation sans le savoir.
Vous devez respecter deux autres délais de 72 heures. Il faut notifier la CNIL si des données personnelles ont été touchées et alerter l’ANSSI si votre entreprise relève de la directive NIS2.
Une fois la plainte déposée, votre assureur mandate une expertise avant tout versement. Mais là encore, attention, car il peut refuser de vous indemniser à l’issue de cette étape, souvent en raison d’une clause de sécurité non respectée ou d'une pièce manquante à votre dossier.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Après une attaque, vous devez respecter trois délais de 72 heures
La loi d’orientation et de programmation du ministère de l’intérieur a introduit cette obligation le 24 janvier 2023, avec une entrée en vigueur au mois d’avril suivant.
Vous disposez de 72 heures dès que vous acquérez la certitude d’une attaque, par exemple en découvrant que vos fichiers ont été chiffrés ou qu’une rançon vous est réclamée. Vous devez déposer cette plainte auprès de la police, de la gendarmerie ou du procureur, et conserver le récépissé horodaté avec le numéro de procédure. Sans ce document, vous ne pouvez pas obtenir le versement de votre indemnité.
Si des données personnelles ont été compromises, notifiez également la CNIL dans les 72 heures après que vous avez découvert l’intrusion, en application de l’article 33 du règlement général sur la protection des données.
Votre entreprise relève-t-elle des entités essentielles ou importantes soumises à la directive NIS2 ? Dans ce cas, alertez l’ANSSI dans les 24 heures, puis transmettez-lui une notification détaillée dans les 72 heures et un rapport final sous un mois.
Vous devez gérer, le plus souvent, ces trois obligations en parallèle, dès que votre équipe technique a compris l’étendue de l’attaque. Soyez extrêmement vigilant, d’autant que vous devez par ailleurs déclarer le sinistre séparément à votre assureur, dans le délai fixé par votre contrat, généralement de quelques jours, pour activer la prise en charge de vos frais d’expertise et d’assistance.
L’assureur mandate une expertise avant tout remboursement
Vous devez ensuite réunir plusieurs pièces avant tout examen par l’assureur.
Ouvrez ce dossier avec le récépissé de plainte, horodaté et assorti du numéro de procédure. Ajoutez à ce dossier un rapport d’incident, les journaux de connexion et les captures des accès frauduleux, et les preuves des mesures de sécurité déclarées à la souscription, authentification à plusieurs facteurs, sauvegardes testées, mises à jour appliquées. Pour la perte d’exploitation, l’assureur va vous réclamer une comparaison de votre chiffre d’affaires avec une période équivalente, les commandes annulées par vos clients et les factures des prestataires mobilisés pour la remédiation.
Avant d’engager la moindre dépense, vous devez parfois contacter une hotline de crise prévue par votre contrat. Votre assureur mandate alors un prestataire de réponse à incident, souvent qualifié PRIS par l’ANSSI, chargé d’établir un rapport technique définitif. Vous recevez généralement ce rapport plusieurs semaines après votre déclaration, et vous devez, en attendant, financer seul l’arrêt de production sur votre propre trésorerie.
Négociez ensuite le montant remboursé à partir de ce rapport, poste par poste. Votre assureur fixe, dans les conditions particulières du contrat, un plafond propre pour la rançon éventuelle, la perte d’exploitation et les frais de notification. En cas de désaccord sur les conclusions de l’expertise, vous pouvez demander une contre-expertise, financée à parts égales par les deux parties selon les termes habituels du contrat.
Votre assureur va invoquer ces clauses pour refuser l’indemnisation
Beaucoup d’entreprises portent plainte après le délai de 72 heures, et perdent, de facto, leur droit à indemnisation. Votre assureur peut aussi invoquer l’article L113-8 du code des assurances et annuler rétroactivement le contrat si le questionnaire de souscription comportait une fausse déclaration intentionnelle, par exemple un antivirus ou une authentification à plusieurs facteurs annoncés mais jamais réellement déployés. Il vous prive alors de toute indemnité, même pour la partie du sinistre sans lien avec la fausse déclaration. Votre assureur invoque aussi, fréquemment, le non-respect des mesures de sécurité déclarées à la signature.
Votre assureur ne rembourse parfois que les frais de remise en état à l’identique, sans financer une amélioration du système attaqué. Votre assureur calcule aussi, parfois, la franchise en jours d’arrêt d’activité plutôt qu’en euros. Vous touchez alors moins pour les incidents résolus rapidement. Votre assureur exclut aussi, de plus en plus souvent, les attaques attribuées à un Etat et les vulnérabilités connues restées sans correctif. Si vous payez une rançon sans l’accord préalable de votre assureur, il peut aussi refuser le remboursement, une pratique que certains élus souhaitent restreindre par la loi.
Sécurisez votre indemnisation avant l’attaque
Déposez plainte dans les 72 heures suivant la découverte de l’attaque, même si vous n’en connaissez pas encore les détails. Ne payez aucune rançon sans l’accord écrit de votre assureur, sous peine de perdre le bénéfice de la garantie. Conservez chaque preuve technique dès les premières heures, journaux de connexion, captures d’écran, sauvegardes isolées, avant qu’un prestataire n'’intervienne.
Vérifiez que les mesures de sécurité déclarées à la souscription fonctionnent réellement au moment de l'attaque, faute de quoi votre assureur peut invoquer une fausse déclaration.
Relisez chaque année votre questionnaire de souscription avec votre RSSI ou votre prestataire informatique, et mettez-le à jour si votre système d’information a changé.
Faites appel à un prestataire qualifié PRIS par l’ANSSI pour l’expertise technique. Ce choix compte aussi dans la négociation de votre indemnité. Informez aussi votre courtier dès les premières heures. Il peut alerter l’assureur plus vite que vous et déclencher l’accès à la hotline de crise.
Vérifiez enfin, avant de signer, les clauses d’exclusion visant les attaques attribuées à un État et les plafonds de remboursement pour la perte d’exploitation.
