Assurance du risque cyber

Un nouveau régime de couverture assurantielle en cas de cyberattaques, à compter du 24 avril 2023.

Le régime juridique de l'assurance des cyberattaques

Les conditions pour qu'une personne, physique ou morale, agissant dans le cadre de son activité professionnelle soit indemnisée

- Avoir souscrit une police d'assurance cyber car il ne s'agit pas d'une assurance obligatoire

- Justifier d'une atteinte à un système de traitement automatisé de données ("STAD") et de préjudices liés à cette atteinte

- Avoir déposé plainte au plus tard 72 heures après avoir eu connaissance de l'atteinte.

Les cyberattaques pouvant donner lieu à indemnisation (rançongiciel, ransonware, attaques de type DDoS (déni de service distribué) ...)

Il s'agit d'atteintes à un "STAD" telles que mentionnées aux articles 323-1 à 323-3-1 du code pénal comme :

- Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système ;

- Le fait d'entraver ou de fausser le fonctionnement d'un système ;

- Le fait d'introduire frauduleusement des données dans un système de traitement automatisé, d'extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu'il contient ;

- Le fait, sans motif légitime, notamment de recherche ou de sécurité informatique, d'importer, de détenir, d'offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions ci-dessus.

Un dépôt de plainte sous 72 heures au commissariat ou à la gendarmerie

Les entreprises, titulaires de couvertures cyber auront intérêt de se rapprocher de leurs assureurs, agents généraux, ou courtiers afin de connaître les conditions de mise en œuvre de cette obligation.

Il est désormais possible depuis cette année de déposer plainte en ligne et de suivre son traitement en temps réel (cf. "Ma sécurité").