Sinistre cyber, un dossier juridique à part entière et un test de votre couverture

Pourquoi un sinistre cyber dépasse la technique et engage la direction immédiatement

Un incident informatique sérieux ne se limite plus à restaurer des serveurs. Dans les premières 24 à 72 heures, une PME ou une ETI doit traiter des enjeux techniques, juridiques, assurantiels et réglementaires en parallèle. Cette simultanéité créée par le droit et par les contrats change la nature de la crise. Il faut préserver les preuves, qualifier le fait générateur, documenter les impacts d’exploitation, alerter les autorités si nécessaire et sécuriser la couverture d’assurance, tout cela sous contrainte de délais courts.

En France, deux horloges imposent le tempo. L’article L.12-10-1 du code des assurances, issu de la LOPMI, conditionne l’indemnisation au titre d’une garantie cyber au dépôt d’une plainte dans les 72 heures suivant la découverte de l’atteinte. Le RGPD impose, lorsqu’une violation de données personnelles est confirmée, une notification à la CNIL dans les meilleurs délais et si possible sous 72 heures. Ces deux exigences ne sont pas optionnelles et structurent la gestion de sinistre dès le premier jour.

Ce que montrent les gros sinistres récents, côté responsabilité et couverture

Les attaques par rançongiciel et les compromissions de prestataires ont révélé la fragilité des chaînes de responsabilité. Dans un incident de type MOVEit, largement relayé en 2023, des milliers d’entreprises ont dû notifier des clients et partenaires sans avoir été l’entité techniquement compromise. En 2024, des fuites massives de données chez des opérateurs de tiers payant santé ont illustré un autre effet de cascade, avec un volume de notifications et de réponses aux personnes concernées inédit pour des acteurs pourtant non attaqués directement.

Dans ce type de dossier, on observe un enchaînement constant. Arrêt d’activité partiel ou total pendant plusieurs jours. Réinstallation des postes et des serveurs. Audit forensique pour comprendre le mode opératoire. Communication aux clients. Réclamations de tiers. Litiges sur l’étendue de la garantie. Chaque maillon appelle des coûts et soulève des questions contractuelles précises. L’assureur dommages peut intervenir sur la perte d’exploitation selon la qualification du sinistre et les clauses. L’assureur cyber finance la remédiation numérique, l’assistance 24 h sur 24, les honoraires d’experts en réponse à incident, les frais de notification, la communication de crise et, selon les polices, la cyber extorsion. Sans articulation claire, les trous de garantie sont fréquents.

Un sinistre cyber devient rapidement un contentieux de couverture

Le point dur n’est pas seulement technique. Il faut établir des éléments juridiques et factuels précis, souvent sous 48 à 72 heures. La charge de la preuve pèse sur l’assuré lorsqu’il s’agit de démontrer la matérialité de l’atteinte, la date de découverte, la diligence des mesures de confinement, l’existence d’une exfiltration, l’impact opérationnel mesurable et la conformité aux délais de déclaration contractuels et légaux.

Dans les dossiers que nous instruisons, la contestation porte rarement sur un seul point. Les assureurs examinent la cause première, la portée des exclusions, l’antériorité de l’accès illicite, la clause de déclaration de sinistre, la notion d’atteinte à la confidentialité, la traçabilité des sauvegardes, l’état de l’authentification multifacteur et la politique de correctifs. Dès qu’un doute existe, l’analyse bascule vers l’application stricte du contrat. Il ne s’agit pas d’adversité gratuite. Les montants d’indemnisation peuvent dépasser plusieurs centaines de milliers d’euros pour une PME lorsque l’interruption dure plus d’une semaine et que des données personnelles sont concernées, ce qui justifie une exigence probatoire élevée.

Deux protections complémentaires à tenir ensemble, dommages et cyber

Pour une direction, la bonne approche consiste à penser la couverture en deux volets qui se répondent.

• Assurance cyber. Elle couvre les frais spécifiques à la crise numérique. Assistance 24 h sur 24, investigation forensique, remise en état des systèmes, restauration de données, frais de notification et d’accompagnement juridique RGPD, communication de crise, responsabilité civile en cas d’atteinte à des tiers, et, selon les contrats, prise en charge de la cyber extorsion sous conditions. Elle encadre aussi des exigences, comme l’obligation de déposer plainte dans les 72 heures et des mesures minimales de sécurité.
• Assurance dommages et pertes d’exploitation. Elle traite l’arrêt d’activité et ses conséquences financières si le sinistre est qualifié au regard du contrat. Selon les clauses, l’événement informatique peut être intégré via des extensions spécifiques. Sans ces extensions, l’interruption purement logicielle peut être exclue en l’absence de dommage matériel direct. La rédaction exacte des définitions et des exclusions est déterminante.

Ces programmes s’additionnent rarement de manière automatique. L’expérience montre qu’une clause d’exclusion en dommages sur les incidents informatiques non matériels peut neutraliser une attente d’indemnité, tandis qu’une police cyber sans garantie de perte d’exploitation post-incident laisse un manque de trésorerie significatif. La bonne couverture est celle qui prévoit l’articulation, les exclusions croisées, les franchises et les délais d’indemnisation, et qui est testée au regard de scénarios réalistes pour l’entreprise.

Les délais qui structurent la gestion et l’indemnisation

Deux jalons juridiques sont à intégrer dans vos procédures internes.

• Dépôt de plainte sous 72 heures. L’article L.12-10-1 du code des assurances impose, pour l’indemnisation au titre d’une garantie cyber, que l’entreprise dépose plainte dans les 72 heures après la découverte de l’atteinte. Ce délai court à partir du moment où l’incident est avéré et non de la remise en route complète. Un dépôt tardif peut conduire à une déchéance partielle ou totale, même avec un contrat solide par ailleurs.
• Notification CNIL sous 72 heures si possible. Le RGPD exige une notification dans les meilleurs délais à compter de la confirmation de la violation de données personnelles. Dans la pratique, les autorités attendent une notification initiale sous 72 heures, même si l’analyse forensique n’est pas finalisée. Des compléments peuvent suivre.

À ces deux obligations s’ajoutent des déclarations contractuelles à l’assureur, parfois sous 5 jours ouvrés, et des notifications sectorielles pour les opérateurs soumis à des régimes spécifiques, y compris le périmètre NIS2. L’entreprise doit donc aligner son plan de réponse à incident avec ces échéances. Sans cela, la protection financière promise sur le papier peut se réduire fortement.

Ce que l’assureur va demander, et pourquoi il faut préparer la preuve

Dans un dossier sérieux, l’assureur attend un socle probatoire structuré. Les éléments suivants reviennent de manière constante.

• Journal des événements. Date et heure de la détection, description des symptômes, périmètre touché, escalade interne, appel à l’assistance cyber.
• Mesures de confinement. Isolement segmentaire, coupure des accès distants, réinitialisation des identifiants, gel des sauvegardes pour préservation forensique.
• Analyse de cause. Rapport d’un expert forensique décrivant le vecteur d’entrée, l’exploitation de vulnérabilités, la présence éventuelle d’un rançongiciel, les indices d’exfiltration.
• Impacts objectivés. Jours d’arrêt d’exploitation, commandes non honorées, pénalités contractuelles subies, coûts de sous-traitance temporaire, heures de remédiation.
• Conformité aux délais. Dépôt de plainte daté, accusé de réception CNIL si applicable, délai de déclaration au courtier et à l’assureur.
• État de l’art sécurité. MFA déployée ou non, sauvegardes hors ligne, correctifs majeurs, segmentations, politiques d’habilitation, preuves de revue régulière.

Cette accumulation de pièces explique pourquoi la gestion juridique et documentaire compte autant que la remédiation technique. Sans trace exploitable, la meilleure intention se heurte à l’exigence contractuelle.

Cas observés, effets concrets et arbitrages d’indemnisation

PME industrielle, 60 salariés, arrêt de 8 jours

Une PME de production en flux tendu a subi un rançongiciel chiffrant les serveurs de fichiers et l’ERP. Les sauvegardes ont été préservées mais la restauration a exigé une reconstruction contrôlée. Huit jours d’arrêt complet, puis un redémarrage dégradé pendant deux semaines. Sans extension cyber en dommages, la perte d’exploitation n’était pas couvrable sur la police dommages classique en l’absence de dommage matériel avéré. La police cyber a pris en charge l’assistance, la remise en état, les frais de notification et une fraction de la perte d’exploitation prévue par la garantie interruption d’activité post-incident. La trésorerie a été préservée, mais un trou de garantie a subsisté sur les pénalités de retard non expressément couvertes.

Prestataire de services B2B compromis, effet domino chez ses clients

Une ESN intermédiaire a vu un compte à privilèges détourné chez un de ses sous-traitants. Des accès latéraux ont conduit à des expositions de données sur plusieurs clients finaux. La société a supporté les frais d’enquête et de notification pour ses clients, puis reçu des réclamations pour préjudice contractuel. La police cyber a fonctionné pour les coûts de gestion de crise et la responsabilité civile, y compris les honoraires externes. Les contrats clients prévoyaient des plafonds d’indemnisation, ce qui a limité l’onde de choc budgétaire. La couverture dommages a été sans objet, faute de dommage matériel.

Compromission de prestataire de paie, obligations RGPD déclenchées

Un cabinet multi-sites, non touché directement, a été entraîné dans un dispositif de notification à ses salariés car un prestataire de paie avait été compromis. La police cyber a couvert les conseils juridiques RGPD et la communication, ainsi que l’assistance aux personnes concernées. L’intérêt de la garantie ne venait pas d’une remise en état technique, mais de la capacité à traiter rapidement des obligations de protection des données et à répondre aux demandes d’accès et d’effacement.

Les clauses à vérifier en priorité dans vos contrats

• Frais d’expertise et de gestion de crise. Plafonds séparés pour le forensics, pour l’assistance juridique RGPD et pour la communication. Vérifier l’accès à une hotline 24 h sur 24 et les délais d’engagement.
• Restauration des systèmes et des données. Prise en charge des coûts de reconstruction, y compris les licences, la reconfiguration et les tests de reprise. Attention aux exclusions sur les obsolescences logicielles.
• Interruption d’activité liée à un cyber événement. Délais de carence, période d’indemnisation, méthode de calcul de la marge brute, traitement des retards chez des sous-traitants critiques.
• Responsabilité civile. Définition d’atteinte à des données, de confidentialité, de disponibilité. Couverture des frais de notification, des services aux personnes concernées et des honoraires d’avocats.
• Cyber extorsion. Conditions d’intervention, interdictions réglementaires, nécessité d’un avis des autorités, obligations de mitigation et de traçabilité des transactions le cas échéant.
• Exclusions et conditions de sécurité. MFA, sauvegardes hors ligne, patch management. Certaines polices conditionnent la garantie à des mesures minimales. Documenter leur mise en œuvre.
• Articulation avec la police dommages. Présence d’extensions spécifiques pour incidents informatiques non matériels, exclusions croisées, ordre de mobilisation des garanties.

Procédure interne, qui fait quoi dans les 72 premières heures

Une rédaction claire de la procédure vaut mieux qu’un manuel exhaustif. Les rôles doivent être attribués et les coordonnées maintenues à jour. Les tests sont indispensables. Les meilleures polices cyber financent d’ailleurs des exercices de crise.

• Heure 0 à 4. Confinement initial, isolement des segments, gel des sauvegardes, appel à l’assistance cyber indiquée au contrat. Désignation d’un pilote crise.
• Heure 4 à 24. Qualification technique préliminaire, premières mesures de remédiation réversible, ouverture du dossier sinistre au courtier et à l’assureur, traçabilité des actions.
• Heure 24 à 48. Décision sur la probabilité de violation de données personnelles avec le conseil juridique. Préparation du dépôt de plainte avec constitution des pièces minimales. Organisation de l’audit forensique.
• Heure 48 à 72. Dépôt de plainte, notification CNIL si nécessaire, information des clients critiques en cohérence avec la stratégie juridique, point de situation sur la reprise d’activité et la communication.

Je recommande de formaliser une check-list d’incident avec rattachement aux clauses du contrat. Elle évite la perte de temps sur des étapes clés, comme l’identification de la main courante et la conservation de journaux. Elle facilite aussi la discussion avec l’assureur, qui retrouve les éléments attendus dès le premier échange.

Idées reçues et erreurs fréquentes à corriger

• Penser qu’un dépôt de plainte tardif régularise la situation. L’exigence des 72 heures en cyber est une condition d’indemnisation. Un dépôt au-delà peut engager une discussion complexe avec un risque financier non négligeable.
• Considérer qu’une police cyber couvre tout incident informatique. Les définitions et exclusions commandent l’intervention. L’absence de perte d’exploitation cyber dans certains contrats laisse un vide.
• Confondre perte d’exploitation classique et interruption cyber. Sans extension, la police dommages peut exiger un dommage matériel. Une immobilisation purement logicielle peut rester hors champ.
• Remettre en route sans préserver la preuve. Écraser les journaux, réinitialiser sans copie forensique complexifie la démonstration et donc la garantie.
• Négliger les notifications RGPD et sectorielles. Les amendes ne sont pas toujours assurables et les coûts de communication pèsent immédiatement.
• Minimiser le risque en PME. Les attaques visent massivement le tissu intermédiaire car il concentre des données utiles et des dépendances de chaîne d’approvisionnement.

Tendance de fond, obligations et appétit assureur

Le marché de l’assurance cyber durcit ses exigences. Les questionnaires intègrent désormais l’authentification multifacteur, la segmentation réseau, les sauvegardes hors ligne, la supervision et la gestion des correctifs. Les assureurs demandent des preuves en cas de sinistre et sélectionnent plus finement les assurés. Les pouvoirs publics encouragent la montée en compétence par des dispositifs comme Cyber PME. Ce mouvement aligne prévention et assurabilité. Côté direction, l’enjeu est d’orchestrer sécurité, conformité et assurance, puis de tester la réaction sur un scénario crédible pour votre activité.

Ce que les assureurs cyber apportent dans la crise

Au-delà de l’indemnisation, un assureur cyber bien choisi met à disposition des ressources rares en temps de crise. Une cellule 24 h sur 24 capable de mobiliser en quelques heures un expert forensique, un conseil RGPD, une agence de communication et, si le dossier l’exige, un négociateur face à une tentative d’extorsion. Cet accès raccourcit les délais de diagnostic, sécurise les démarches de plainte et de notification, et structure la preuve dès le départ. L’intervention coordonnée protège l’entreprise sur les deux fronts, technique et juridique. Dans les dossiers complexes à forte visibilité, cette orchestration a évité des pertes d’exploitation prolongées et réduit les litiges de couverture, car les délais et la documentation étaient maîtrisés.

Vérifications utiles à faire cette semaine

• Localiser dans vos polices la clause relative au dépôt de plainte sous 72 heures et la procédure de déclaration de sinistre. Intégrer ces éléments dans votre plan de réponse à incident.
• Confirmer l’existence d’une garantie d’interruption d’activité en cyber avec ses plafonds, ses délais de carence et sa période d’indemnisation. Vérifier l’articulation avec la police dommages.
• Identifier les exclusions majeures de vos contrats. En particulier les incidents strictement logiciels en dommages, l’obsolescence logicielle en cyber, et les conditions d’activation de la cyber extorsion.
• Tester votre chaîne d’escalade sur un scénario rançongiciel. Mesurer les heures nécessaires pour confiner, déposer plainte et décider d’une notification CNIL. Documenter le résultat.
• Vérifier la capacité à produire, sous 24 heures, une main courante, un extrait de journaux pertinents et une photographie de l’architecture, y compris les sauvegardes hors ligne.
• Cartographier vos dépendances critiques à des prestataires. Identifier les clauses contractuelles avec eux sur incident de sécurité, notification et responsabilité, et les mettre en regard de vos garanties.

Un sinistre cyber est un test de gouvernance. Les décisions juridiques et assurantielles se prennent aussi vite que les décisions techniques. Les entreprises qui s’en sortent le mieux ont préparé la preuve, aligné les délais légaux et contractuels, et verrouillé l’articulation entre assurance dommages et assurance cyber. Prenez une heure avec votre équipe pour relire ces points et fermer les angles morts identifiés. C’est souvent la différence entre une crise coûteuse et une crise maîtrisée.