Cyber-assurance : les préconisations du Haut Comité Juridique de la Place financière de Paris

La question de la cyber-assurance fait l’objet de réflexions depuis plusieurs mois. Parmi les thèmes évoqués, celui de l’assurance des attaques informatiques subies par les entreprises est central (avec le risque des rançongiciels, ou ransomwares, qui touche de plus en plus d’assureurs). Le thème de l’assurance des sanctions infligées aux entreprises pour non-respect de certaines mesures fait aussi partie des sujets étudiés.

Dans un rapport rendu fin janvier 2022 (disponible en fin d’article), le Haut Comité Juridique de la Place financière de Paris (HCJP) s’intéresse à ce problème essentiel de la cyber-assurance. Plusieurs propositions sont ainsi faites pour tenter d’influencer l’évolution des règles en la matière.

Contre une interdiction de l’assurance des rançons versées en cas d’attaque au rançongiciel

Le point culminant du rapport concerne la possibilité d’assurer (ou pas) les rançons que les victimes d’attaques informatiques sont amenées à payer. Le rapport dresse (page 31) d’abord un état des lieux des arguments “pour” et “contre” l’assurabilité de ce risque. Parmi les arguments favorables à cette interdiction, on peut en citer deux. D’abord, les entreprises assurées contre ce risque seront plus exposées aux cyber-attaques. Puis, les entreprises assurées seraient plus laxistes dans leur politique de cyber-sécurité. En clair, interdire l’assurance des rançons serait un moyen de renforcer la solidité informatique des entreprises et la réduction des attaques.

A l’opposé, les arguments opposés à l’interdiction d’assurer les rançons mettent en avant le caractère parfois inévitable du paiement de la rançon : certaines entreprises ne peuvent pas y échapper pour récupérer leurs données. D’autre part, les entreprises assurées ont bien d’autres solutions que le paiement de la rançon : les assureurs proposent des accompagnements techniques, des mesures de prévention. Enfin, le rapport insiste sur les conditions contractuelles des assureurs qui devraient obliger leurs clients à prendre toutes les mesures de cyber-sécurité pour réduire le risque.

Le groupe de travail s’inscrit clairement en faveur de la cyber-assurance dédiée aux rançongiciels :

Dès lors que les dispositifs français et internationaux visant à lutter contre le blanchiment et le
financement du terrorisme sont respectés, compte tenu du besoin des victimes de se garantir contre le risque de ransomware et du marché européen dans lequel évoluent les entreprises d’assurance et les victimes, interdire l’assurabilité du remboursement des rançons en cas de cyberattaque n’est pas préconisé.

Rapport du HCJP, 28 janvier 2022, page 36.

Le HCJP appelle à faire évoluer les dispositions législatives et réglementaires afin de garder un maximum de confidentialité sur la préparation (ou l’impréparation) des entreprises face au cyber-risque. Les mesures à prendre incluent également la définition d’une politique commune aux assureurs visant à privilégier la prévention auprès de leurs clients afin d’éviter au maximum le paiement de rançons.

Contre la cyber-assurance des grandes sanctions prononcées par la CNIL

En cas de défaut de cyber-sécurité, n’importe quelle entreprise contrôlée par la CNIL peut faire l’objet de tout un panel de sanctions et mesures de corrections à mettre en place. En fonction du degré d’importance de ces décisions prononcées par la CNIL, le rapport balance entre l’assurabilité et l’inassurabilité du risque.

Ainsi, dans le cas où une entreprise ferait l’objet d’une amende administrative et/ou d’astreintes infligées par la CNIL, le montant à payer ne devrait pas être assurable selon le HCJP. En revanche, toutes les mesures annexes de correction liées à un contrôle effectué à la suite d’un accident (pouvant être provoqué par une cyber-attaque) pourraient être assurables. Dans ce cadre, les mesures correctives à mettre en œuvre seraient les bienvenues dans un contrat de cyber-assurance.

La cyber-assurance face à la guerre informatique

Le rapport traite dans sa dernière partie du risque de guerre dans le cas où le fait générateur serait de nature cybernétique. En pratique, le risque de guerre entre dans le régime de la présomption d’exclusion en droit des assurance français. Toute la question est de savoir si la cyberguerre peut faire partie de ce régime. Le HCJP penche nettement en faveur de cette inclusion. Il propose d’ajouter un 3e alinéa à l’article L. 121-8 du code des assurances :

Est considérée comme une guerre étrangère, au sens du présent article, y compris en l’absence de déclaration formelle de guerre ou d’attribution publique, tout conflit armé international impliquant un État, ou une, ou plusieurs personnes agissant sous le contrôle ou au service des intérêts de cet État, y compris en cas de mise en œuvre d’armes ou de moyens cybernétiques.

Ces réflexions seront nécessairement prises en compte dans les travaux en cours sur l’assurance du cyber-risque. Reste à savoir dans quelle mesure.

Ajouter aux articles favoris
Please login to bookmarkClose
0 Shares:
Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Vous pourriez aussi aimer

MGEN (groupe VYV) accueille le nouveau conseiller de son président

Ce communiqué a été diffusé par MGEN (groupe VYV). Après un Bafa et quelques années de pionnicat en parallèle de sa licence de lettres modernes, Alexandre Dimeck-Ghione exerce le métier de coordinateur d'assistance pour le compte de Mondial Assistance de 2012 à 2017. En 2017, il rejoint la direction qualité de AWP (Allianz Worldwide Partners) comme expert de la relation client. En janvier 2020, Alexandre rejoint le...

Représentativité syndicale en TPE : les dates du scrutin fixées par décret

Un décret dédié à la mesure de l'audience syndicale dans les entreprises de moins de 11 salariés vient de paraître au Journal officiel. Ce décret indique que le vote électronique se fera du lundi 25 novembre 2024 à 15h jusqu'au lundi 9 décembre à 17h. Quant au vote par correspondance il aura lieu du 25 novembre au 9 décembre inclus s'agissant de l'envoi des bulletins de vote. Retrouvez le ...

Avis d’extension d’un avenant santé et d’un accord de protection sociale dans l’assainissement et maintenance industrielle

La ministre du travail et de l’emploi envisage d’étendre, par avis publié le 21 novembre 2024, les dispositions de l’avenant n° 43 du 3 octobre 2024 relatif au régime de complémentaire frais de soins de santé et de l'accord du 3 octobre 2024 relatif à la constitution d'une catégorie objective de salaries pour le bénéfice d'une couverture de protection sociale complémentaire conformément au ...

Avis d’extension d’un avenant santé à la CCN des commissaires de justice et sociétés de ventes

La ministre du travail et de l’emploi envisage d’étendre, par avis publié le 21 novembre 2024, les dispositions de l’avenant n° 7 du 9 octobre 2024 relatif au régime de complémentaire frais de soins de santé, conclu dans le cadre de la convention collective nationale des commissaires de justice et sociétés de ventes volontaires du 16 novembre 2022 (...

Avis d’extension d’un accord de protection sociale dans la couture parisienne et autres métiers de la mode

La ministre du travail et de l’emploi envisage d’étendre, par avis publié le 21 novembre 2024, les dispositions de l’accord du 21 octobre 2024 relatif à la définition d'une catégorie objective de salaries bénéficiaires d'une couverture de protection sociale complémentaire, conclu dans le cadre de la convention collective nationale de la couture parisienne du 10 juillet 1961 (...

Avis d’extension d’un avenant aux CCN des économistes de la construction et des géomètres et experts-fonciers

La ministre du travail et de l’emploi envisage d’étendre, par avis publié le 21 novembre 2024, les dispositions de l’avenant du 24 octobre 2024 relatif à la révision de l'article 79 (financement du FFDP) de la convention collective, conclu dans le cadre de la convention collective nationale des économistes de la construction (IDCC...