Cyberattaque et assurance : obtenir une indemnisation sans faux pas

L'assurance cyber s'est imposée dans les budgets des PME • mais au moment du sinistre, beaucoup d'entreprises découvrent que l'indemnisation n'a rien d'automatique. Délais de déclaration serrés, procédure de gestion de crise imposée, exclusions nombreuses, préjudices difficiles à chiffrer : le parcours est technique.

La bonne nouvelle : la plupart des refus ou minorations d'indemnisation trouvent leur origine dans des erreurs évitables des premières heures. Voici comment les éviter • et comment réagir si le dialogue avec l'assureur se tend.

Ce que couvre (généralement) une assurance cyber

Les contrats varient beaucoup, mais on retrouve trois blocs :

• •Frais de gestion de crise : réponse à incident, investigation, restauration des systèmes, frais juridiques, notification CNIL et information des personnes, communication de crise.
• •Pertes d'exploitation : marge brute perdue pendant l'interruption, frais supplémentaires d'exploitation.
• •Responsabilité civile : réclamations de tiers (clients, partenaires) dont les données ou l'activité ont été affectées.

Certains contrats couvrent également la fraude au virement, la cyber-extorsion ou les amendes administratives « dans la mesure où la loi le permet » • formule qui appelle une lecture attentive.

Les cinq pièges qui coûtent l'indemnisation

1. La déclaration tardive. Les contrats imposent des délais courts (souvent 48 h à 5 jours). Déclarez dès la découverte, même avec des informations partielles.
2. La procédure ignorée. Beaucoup de contrats imposent de passer par la hotline de crise de l'assureur et ses prestataires agréés. Engager vos propres prestataires sans accord écrit peut priver ces frais de couverture.
3. Les preuves détruites. Réinstaller les serveurs avant les constats techniques, c'est priver l'expert d'assurance de la matière dont il a besoin • et ouvrir la porte à une contestation.
4. Les déclarations initiales inexactes. Le questionnaire souscrit (sauvegardes, double authentification, mises à jour…) engage l'entreprise : un écart entre le déclaré et le réel peut fonder une réduction d'indemnité, voire une déchéance.
5. L'absence de plainte. Pour la couverture des rançons, la loi conditionne l'indemnisation à une plainte dans les 72 heures ; plus largement, la plainte crédibilise le dossier.

Chiffrer le préjudice : un travail à part entière

L'indemnisation vaut ce que vaut votre dossier de préjudice :

• •journal de crise : chronologie, décisions, heures passées par les équipes ;
• •factures : prestataires, matériels, licences, heures supplémentaires ;
• •pertes d'exploitation : comparatifs de chiffre d'affaires, carnet de commandes affecté, contrats perdus • l'appui de votre expert-comptable est précieux ;
• •frais futurs : remédiation, audit, surveillance renforcée.

Le contrat prévoit souvent une expertise. Vous pouvez vous faire assister par votre propre expert (dit « expert d'assuré ») et par un avocat : dans les sinistres importants, ce contrepoids change souvent le résultat.

En cas de refus ou de minoration : les recours

Un refus d'indemnisation n'est pas une fin. Dans l'ordre :

1. Demandez la position écrite et motivée de l'assureur, clause par clause.
2. Contestez point par point, preuves à l'appui • beaucoup de refus reposent sur une lecture extensive des exclusions, dont la validité peut être discutée (les exclusions doivent être formelles et limitées).
3. Médiation de l'assurance : gratuite, elle peut débloquer les dossiers simples.
4. Action judiciaire : le juge contrôle les clauses et leur application. Attention à la prescription de deux ans en matière d'assurance : elle court vite, pensez à l'interrompre si les discussions traînent.

Un avocat habitué au contentieux de l'assurance évalue rapidement le rapport de force et les chances d'une issue négociée.

Glossaire express

• •Déchéance de garantie : perte du droit à indemnisation pour manquement de l'assuré à ses obligations (déclaration tardive, par exemple).
• •Expert d'assuré : expert missionné par l'entreprise pour défendre son chiffrage face à l'expert de l'assureur.
• •Perte d'exploitation : préjudice économique lié à l'interruption d'activité.

À lire aussi : Ransomware : plainte, assurance, preuves et le dossier complet RGPD, hacking, vol de données.

Sources officielles : Legifrance (Code des assurances, loi LOPMI), ANSSI, Médiation de l'assurance, Cybermalveillance.gouv.fr.

Les contenus et outils proposés sur LeDroitEnClair.fr ont une vocation informative. Ils ne remplacent pas une consultation personnalisée auprès d'un avocat, d'un DPO ou d'un professionnel qualifié en cybersécurité.