Ransomware

Comment l’assurance cyber couvre une attaque ransomware ?

Lorsqu’un rançongiciel paralyse vos systèmes, les dommages se déclinent en trois couches distinctes. La première est technique : restaurer les données, reconstruire l’environnement informatique et identifier la faille mobilise des prestataires spécialisés dont les honoraires peuvent être très importants. La deuxième est financière : si votre activité est interrompue pendant plusieurs jours, la perte d’exploitation qui en résulte s’accumule heure par heure. La troisième est juridique : si des données clients ou des informations personnelles ont été exfiltrées, la responsabilité civile de l’entreprise peut être engagée vis-à-vis des tiers, et des sanctions liées au RGPD peuvent suivre.

Un contrat cyber bien structuré couvre ces trois niveaux. Il prend en charge les frais d’assistance et de gestion de crise (cellule d’urgence, experts en remédiation, communication de crise), les pertes d’exploitation pendant la période d’indisponibilité des systèmes, ainsi que la responsabilité civile envers les clients ou partenaires dont les données ont été compromises. Certaines polices incluent également une couverture pour la rançon elle-même, sous conditions strictes.

Payer la rançon : ce que prévoit le contrat

La question du paiement de la rançon est l’une des plus sensibles en cyber-assurance. Depuis la loi LOPMI entrée en vigueur en 2023, une entreprise ne peut être indemnisée du montant d’une rançon que si elle a déposé plainte auprès des autorités compétentes dans un délai de 72 heures suivant la connaissance de l’attaque. Cette condition s’applique à toutes les personnes morales. Sans plainte dans ce délai, l’assureur est en droit de refuser l’indemnisation sur ce poste précis, même si le reste du sinistre reste couvert.

Au-delà de cette obligation légale, les polices posent souvent des conditions supplémentaires : vérification que le paiement n’alimente pas une entité sous sanctions internationales, preuve que la restauration par d’autres moyens était impossible, validation préalable par l’assureur. Il convient de lire attentivement les exclusions du contrat avant la souscription, notamment celles liées à un défaut de sécurité informatique préexistant.

Ransomware et cyber extorsion, quelle différence ?

Les deux termes sont souvent confondus. Un ransomware désigne le vecteur technique : le logiciel qui chiffre vos données. La cyber extorsion est le mécanisme de pression économique qui en découle, c’est-à-dire la demande de rançon. Aujourd’hui, les attaques combinent fréquemment les deux : les cybercriminels chiffrent les systèmes ET exfiltrent des données pour menacer de les publier si la rançon n’est pas versée (technique dite de « double extorsion »). Un contrat cyber couvre l’ensemble de ce scénario, là où une simple multirisque professionnelle ou une RC pro classique ne prendrait en charge ni les frais informatiques ni la perte d’exploitation liée à une attaque.

Quels professionnels sont concernés par ce risque ?

Toute structure qui traite des données numériques est exposée : un cabinet comptable dont les fichiers clients sont chiffrés, une PME industrielle dont le système de pilotage est bloqué, une startup SaaS dont la plateforme devient inaccessible. Le chiffre d’affaires n’est pas le seul critère de vulnérabilité ; la dépendance aux systèmes informatiques et le volume de données personnelles traitées comptent autant.

Souscrire une assurance cyber ne dispense pas d’une stratégie de prévention : sauvegardes régulières hors ligne, sensibilisation des salariés aux tentatives de phishing, mises à jour des systèmes. Les assureurs examinent ces points lors de la souscription et peuvent moduler la prime ou la franchise en fonction du niveau de sécurité constaté. La protection juridique entreprise peut compléter le dispositif pour la gestion des réclamations de tiers après un incident.