Cyber-assurance: 72 heures, preuves, clauses, le mode d’emploi pour être indemnisé après une attaque

Après une cyberattaque, l’indemnisation dépend souvent de trois leviers: le délai de plainte, la qualité des preuves et le respect des clauses du contrat. Dans la plupart des démarches décrites par les praticiens, la fenêtre des 72 heures revient comme un point de bascule. Objectif: transformer un incident informatique en dossier assurable, opposable, et remboursable.

Une cyber-assurance n’est pas un bouton remboursement. C’est un mécanisme contractuel qui s’active par une procédure, avec un enchaînement précis: contenir l’attaque, documenter, déclarer, déposer plainte, puis laisser l’assureur organiser l’expertise. Chaque étape laisse des traces, et ce sont ces traces qui font foi quand il faut chiffrer une perte d’exploitation, justifier une remédiation, ou prouver que les mesures de sécurité annoncées à la souscription existaient vraiment.

En pratique, ce qui fait dérailler un dossier tient rarement à la technique pure. Une machine chiffrée se constate. Un accès frauduleux se logue. Ce qui casse une indemnisation, ce sont les angles morts: une preuve écrasée par une intervention trop rapide, une rançon payée sans accord, une plainte hors délai, ou une incohérence entre l’hygiène cyber déclarée et la réalité du jour de l’attaque.

Plainte sous 72 heures: la pièce qui déclenche l’indemnisation

Le premier verrou est administratif, pas technique: déposer plainte rapidement, et conserver un récépissé horodaté avec un numéro de procédure. Clubic décrit ce récépissé comme un document sans lequel l’indemnité ne peut pas être versée, car il sert de preuve formelle que l’événement a été déclaré aux autorités [SOURCE 1].

Le délai de 72 heures est martelé par plusieurs acteurs. GPO Magazine recommande de porter plainte dans un délai maximal de 72 heures à compter de la prise de connaissance de l’incident [SOURCE 3]. Une courtière, Gwenaëlle Duret, relie explicitement cette exigence à l’article L12-10-1 du Code des assurances, en présentant la plainte sous 72 heures comme une condition d’indemnisation [SOURCE 4].

En clair, la plainte n’est pas seulement utile à l’enquête. Elle devient un pivot contractuel: elle date l’événement, matérialise la réalité de l’attaque, et sert de point d’ancrage à la chronologie du sinistre. Traduction: sans cette date et ce récépissé, tout le reste du dossier peut devenir discutable, y compris la période de perte d’exploitation ou la légitimité de certaines dépenses d’urgence.

Le dossier de sinistre, une chaîne de preuves avant toute intervention

La tentation, après une attaque, est de nettoyer au plus vite. Or la cyber-assurance fonctionne comme une expertise technique: ce qui n’est pas conservé peut devenir impossible à démontrer. Clubic insiste sur la nécessité de conserver chaque preuve technique dès les premières heures, par exemple les journaux de connexion, des captures d’écran et des sauvegardes isolées, avant qu’un prestataire n’intervienne [SOURCE 1].

GPO Magazine décrit la préparation de la plainte comme un travail de documentation: préserver les traces visibles (photos, captures), lister chronologiquement les actions entreprises, et rassembler un maximum d’éléments (fichiers, supports de stockage) [SOURCE 3]. Cette logique est la même côté assureur: il faut pouvoir reconstituer l’histoire de l’incident, minute par minute si nécessaire.

Sur le plan méthodologique, le dossier ressemble à une chaîne de traçabilité, comme en industrie: si un maillon manque, la preuve perd de sa valeur. Clubic recommande d’ouvrir le dossier avec le récépissé de plainte, puis d’ajouter un rapport d’incident, les journaux et captures des accès frauduleux, et les preuves des mesures de sécurité déclarées à la souscription, par exemple authentification à plusieurs facteurs, sauvegardes testées et mises à jour appliquées [SOURCE 1].

Point important: ces preuves ne servent pas qu’à raconter. Elles servent à qualifier le sinistre (rançongiciel, fuite, intrusion), à attribuer des coûts (forensic, restauration, communication), et à vérifier l’absence d’exclusion. C’est l’équivalent, en cyber, d’un constat détaillé après un accident, mais avec des logs et des horodatages.

Rançon et cyber-extorsion: l’accord écrit de l’assureur comme garde-fou

La gestion d’une extorsion illustre la différence entre un réflexe opérationnel et une exigence assurantielle. Clubic avertit: ne pas payer de rançon sans accord écrit de l’assureur, sous peine de perdre le bénéfice de la garantie [SOURCE 1]. L’enjeu est contractuel: la décision de paiement n’est pas seulement une question de négociation avec l’attaquant, c’est aussi une question de conformité aux conditions du contrat.

AssurancesLabs va dans le même sens en listant une exclusion associée à la garantie de cyber-extorsion: le paiement direct d’une rançon avant toute déclaration de sinistre par l’assuré [SOURCE 5]. Traduction: payer vite pour redémarrer peut coûter plus cher, si cela fait sauter la couverture.

Techniquement, c’est comme rebooter un serveur qui vient de tomber en panne sans avoir capturé les journaux: sur le papier, cela relance l’activité; en pratique, cela efface des éléments nécessaires au diagnostic, et ici au remboursement. La logique assurantielle pousse donc à séquencer: déclaration, coordination avec l’assureur, puis décisions engageantes.

Cette coordination est aussi un sujet de gouvernance interne. Une entreprise doit savoir qui a le pouvoir d’engager une dépense critique, qui contacte l’assureur, qui conserve les preuves, et qui parle à l’extérieur. Le contrat cyber devient une procédure de crise à part entière, pas un simple document financier.

Assistance, forensic, continuité: ce que l’assureur attend dans les premières heures

Les contrats cyber ne couvrent pas uniquement un chèque final: ils s’appuient sur une assistance qui s’active dès l’alerte. AssurancesLabs décrit un déroulé où l’assuré contacte une hotline 24/7 dès la détection (rançongiciel, intrusion, fuite), puis un expert en cybersécurité intervient pour isoler les systèmes compromis, évaluer l’étendue et donner des consignes (mots de passe, déconnexion des postes infectés) [SOURCE 5].

Cette phase correspond au containment en réponse à incident: limiter la propagation et stabiliser. Elle est aussi, indirectement, un moyen de réduire l’exposition financière, ce qui aligne l’intérêt de l’assuré et celui de l’assureur. Dans un dossier d’indemnisation, montrer que des mesures immédiates ont été prises aide à justifier que les dommages n’ont pas été aggravés par une inaction.

GPO Magazine recommande aussi de lancer un plan de gestion de crise et les processus de continuité d’activité prévus dans un PCA (plan de continuité d’activité) [SOURCE 3]. Ici, la cyber-assurance rencontre l’organisation: la meilleure police du monde ne remplace pas un PCA testé, une procédure de bascule, et une discipline de sauvegarde.

Pour les entreprises touchées par une violation de données personnelles, GPO Magazine rappelle l’obligation de notification à la CNIL dans un délai maximal de 72 heures, au titre de l’article 33 du RGPD [SOURCE 3]. Cette obligation n’est pas de l’assurance, mais elle influence la crise: elle impose une analyse rapide (quelles données, quel périmètre), et donc une capacité à produire des éléments factuels tôt.

Perte d’exploitation: prouver l’impact économique avec une comparaison documentée

La perte d’exploitation est souvent l’un des postes les plus sensibles, parce qu’elle se discute. Clubic indique que l’assureur réclame une comparaison du chiffre d’affaires avec une période équivalente, ainsi que des éléments comme les commandes [SOURCE 1]. Autrement dit, l’entreprise doit objectiver l’écart entre une activité normale et une activité dégradée par l’attaque.

Cette comparaison doit être audit-proof. Les pièces attendues ne relèvent pas uniquement de l’IT: elles viennent de la facturation, du commerce, de la logistique, du support. Une cyberattaque transforme vite l’entreprise en assemblage de preuves: tickets d’incident, logs, mais aussi bons de commande, annulations, retards, preuves de non-production, et chronologie des indisponibilités.

La clé est la cohérence temporelle. Si la plainte fixe une date, si les logs fixent une fenêtre d’intrusion, et si les métriques d’activité fixent une baisse corrélée, l’histoire devient robuste. À l’inverse, si les systèmes ont été réparés sans conserver d’images disque, si la chronologie est floue, ou si les justificatifs commerciaux arrivent tard, le débat se déplace vers l’interprétation, donc vers le risque de réduction de l’indemnisation.

Un point revient dans les retours d’expérience: l’assureur diligente une expertise avant tout versement, et peut invoquer des clauses contractuelles pour refuser le remboursement, selon la reprise de l’article Clubic par Presse Électronique [SOURCE 2]. Cette phrase, courte, résume une réalité: l’indemnisation est une décision instruite, pas automatique. Le dossier doit donc être construit comme un dossier d’expertise, pas comme un simple échange d’e-mails.

recap

Check-list indemnisation cyber après attaque

• Priorité: isoler, documenter, puis déclarer, avant de nettoyer.
• Plainte sous 72 h et récépissé horodaté: pièce centrale du dossier.
• Rançon: éviter tout paiement sans accord écrit de l’assureur.
• Perte d’exploitation: préparer une comparaison d’activité avec pièces commerciales.

enjeux

Ce que la procédure change vraiment

La cyber-assurance impose une discipline de crise: traçabilité, chronologie, gouvernance des décisions. Bien appliquée, elle accélère l’assistance et clarifie ce qui sera indemnisable. Mal appliquée, elle transforme un incident technique en litige contractuel.