L'assurance cyber paie-t-elle vraiment ? Conditions, refus et rançon

C'est la question que se posent la plupart des dirigeants avant de souscrire : si mon entreprise est attaquée, l'assureur paiera-t-il vraiment ? La réponse honnête : oui, lorsque le sinistre entre dans les garanties souscrites et que les conditions du contrat sont respectées. Cet article explique ces conditions, sans jargon, pour que vous sachiez à quoi vous attendre.

Ce qu'une assurance cyber prend en charge

Un contrat cyber combine généralement deux types de garanties :

• Les dommages subis par votre entreprise : intervention d'experts pour contenir l'attaque, restauration des données et des systèmes, pertes d'exploitation pendant l'interruption, frais de notification et de communication de crise.
• La responsabilité envers les tiers : réclamations de clients ou partenaires dont les données ont été exposées, frais de défense, et, dans les limites autorisées par la loi, certaines conséquences d'une procédure administrative.

Le périmètre exact, les plafonds et les franchises varient d'un contrat à l'autre. Seuls vos Conditions Générales et Particulières font foi.

La condition légale à connaître : la plainte sous 72 heures

Depuis la loi n° 2023-22 du 24 janvier 2023 (LOPMI), l'article L.12-10-1 du code des assurances subordonne l'indemnisation des pertes liées à une atteinte à un système d'information au dépôt d'une plainte auprès des autorités dans les 72 heures suivant la connaissance de l'attaque. Oublier cette étape peut compromettre l'indemnisation : c'est l'un des premiers réflexes à avoir.

Et la rançon ?

Le paiement d'une rançon est un sujet sensible. Les autorités recommandent de ne pas payer, et de nombreux contrats excluent ou encadrent strictement le remboursement d'une rançon. L'essentiel de la valeur d'une assurance cyber se trouve ailleurs : l'assistance d'urgence, la restauration et la couverture des pertes d'exploitation, qui permettent de redémarrer sans payer les attaquants. Vérifiez ce point précis dans vos conditions avant de souscrire.

Pourquoi certaines indemnisations sont refusées

Les refus ne relèvent pas du hasard. Ils proviennent le plus souvent de situations identifiables à l'avance :

• Déclarations inexactes à la souscription : répondre au questionnaire de manière approximative (sauvegardes, authentification, mises à jour) expose à une réduction ou à un refus de garantie.
• Mesures de sécurité exigées non respectées : si le contrat impose certaines pratiques et qu'elles n'étaient pas en place, la garantie peut être affectée.
• Événement exclu : chaque contrat liste ses exclusions (par exemple faits connus avant la souscription). Les lire évite les mauvaises surprises.
• Déclaration tardive : prévenir l'assistance et l'assureur rapidement, et porter plainte dans le délai légal.
• Montant au-delà du plafond ou sous la franchise : choisir des niveaux adaptés à la taille de votre activité.

Comment maximiser vos chances d'être indemnisé

1. Remplissez le questionnaire de souscription avec exactitude, quitte à demander de l'aide à votre courtier.
2. Lisez les exclusions et les obligations de prévention de votre contrat.
3. Gardez le numéro d'assistance accessible hors de votre système informatique.
4. En cas d'attaque : appelez l'assistance, ne détruisez aucune trace, portez plainte sous 72 heures, déclarez le sinistre.
5. Conservez les justificatifs de vos pertes (factures, chiffre d'affaires, temps d'arrêt).

Le rôle du courtier

CyberUtik est un service d'UTIK CALL, courtier immatriculé à l'ORIAS. Notre rôle est de vous aider à choisir des garanties adaptées, à répondre correctement au questionnaire et à comprendre votre contrat. L'offre que nous distribuons est conçue avec STOÏK ; l'identité de l'assureur porteur du risque figure sur vos Conditions Particulières. Les garanties restent soumises à acceptation et aux conditions contractuelles.

En résumé

Une assurance cyber paie lorsque le sinistre est couvert et que les règles sont respectées : déclarations exactes, mesures exigées en place, plainte sous 72 heures, déclaration rapide. Bien préparée, elle est surtout un moyen de redémarrer vite.

Obtenir une estimation en 90 secondes ou consultez notre guide de l'assurance cyber pour les PME.