Cyber-assurance : ce que l’assureur vous demandera de prouver

Le marché de la cyber-assurance s’est durci. Les questionnaires se sont allongés, les exigences se sont précisées, et les refus de couverture pour déclaration inexacte ne sont plus théoriques.

Voici ce qui est réellement demandé, et où se situent les pièges.

Les mesures systématiquement vérifiées

L’authentification multifacteur. C’est devenu le prérequis numéro un. La question précise porte sur le périmètre : accès distants, messagerie, comptes à privilèges, accès prestataires. Une couverture partielle est un motif fréquent de surprime — voire de refus.

C’est précisément le point où les organisations déclarent « oui » en pensant aux utilisateurs, alors que les comptes à privilèges sont exemptés.

Les sauvegardes. La question n’est plus « faites-vous des sauvegardes » mais « existe-t-il une copie hors ligne ou immuable, inaccessible depuis le domaine d’administration ». Voir la règle 3-2-1 et ses limites.

Deuxième question systématique : la date du dernier test de restauration complet. « Jamais » est une réponse coûteuse.

La détection et la journalisation. Existence d’une surveillance, délai de détection, capacité d’investigation.

La gestion des correctifs. Délai moyen d’application sur les systèmes exposés.

Le plan de continuité. Son existence, et surtout la date du dernier exercice — voir PCA, PRA et gestion de crise.

La sensibilisation. Fréquence des campagnes et taux de signalement.

Le piège principal : la déclaration inexacte

C’est le vrai risque du questionnaire. En droit français des assurances, une déclaration inexacte peut entraîner la nullité du contrat ou une réduction proportionnelle de l’indemnité — et cela se découvre au pire moment, lors de l’expertise après sinistre.

Le danger n’est pas le mensonge délibéré. C’est la réponse approximative donnée de bonne foi par quelqu’un qui n’a pas vérifié : « oui, nous avons l’authentification renforcée » alors que trois exceptions permanentes existent.

La règle : faire remplir le questionnaire par la personne qui connaît le dispositif, pas par le service juridique ou les achats, et conserver les preuves de chaque réponse.

Les exclusions à lire attentivement

• Les vulnérabilités connues et non corrigées. Beaucoup de contrats excluent les sinistres exploitant une faille dont le correctif était disponible depuis un délai donné. D’où l’importance d’une priorisation défendable.
• Les actes d’origine étatique, dont la définition et l’application varient sensiblement d’un contrat à l’autre.
• Les défauts de configuration qualifiés de manquement aux bonnes pratiques.
• Les incidents affectant un prestataire, souvent couverts partiellement.

Ce que la couverture comprend généralement

Les frais de réponse à incident — investigation, remédiation, communication —, les pertes d’exploitation avec franchise temporelle, les frais de notification aux personnes concernées, les responsabilités civiles envers les tiers, et selon les contrats la rançon.

Sur ce dernier point, les modalités relèvent du contrat et du cadre légal applicable. C’est un sujet à instruire avec votre assureur avant l’incident, pas pendant — de même que le délai de déclaration, souvent très court sous peine de déchéance.

Comment aborder le renouvellement

Le questionnaire est une checklist gratuite. Reçu six mois avant l’échéance, il indique exactement où vous serez évalué.

Un écart identifié et traité avant le renouvellement se transforme en argument de négociation. Le même écart découvert au moment de la souscription devient une surprime.

C’est aussi l’un des leviers les plus efficaces pour obtenir un arbitrage budgétaire : un refus de couverture ou une surprime documentée parle un langage que toute direction financière comprend.

Sources

• Code des assurances, articles L. 113-8 et L. 113-9 — fausse déclaration
• ANSSI — guides sur la gestion du risque numérique
• Cybermalveillance.gouv.fr

Aller plus loin

La préparation d’un questionnaire d’assurance et la mise à niveau des mesures relèvent de nos missions de gouvernance, risques et conformité. L’état des lieux préalable se fait par l’audit 360.