Cyber Insurance

Couvertures first-party et third-party

Une police de cyber-assurance couvre généralement deux catégories : les pertes propres de l'assuré (first-party) et les réclamations de tiers (third-party). Couvertures first-party typiques : frais d'investigation forensique, notification des personnes concernées, restauration des systèmes et données, pertes d'exploitation (BI, Business Interruption), rançons ransomware (avec conditions), et frais de gestion de crise. Couvertures third-party : frais de défense juridique, dommages accordés aux plaignants, amendes réglementaires (RGPD, NIS2) selon les marchés.

Les franchises et les plafonds varient selon le secteur, la taille de l'organisation et le niveau de sécurité. Les secteurs les plus touchés par les ransomwares (santé, collectivités, PME industrielles) paient des primes plus élevées et peuvent se voir imposer des exclusions ou des sous-limites pour les incidents ransomware.

Critères de souscription et durcissement du marché

Le marché de la cyber-assurance s'est considérablement durci depuis 2020 : les assureurs exigent maintenant des contrôles de sécurité minimaux comme prérequis à la souscription. Ces exigences standard incluent : MFA sur les accès distants et administrateurs, sauvegardes testées régulièrement et hors ligne, EDR déployé, gestion des correctifs documentée, sensibilisation des employés au phishing, et plan de réponse aux incidents. L'absence de ces contrôles de base peut entraîner un refus de souscription ou des exclusions significatives.

Les questionnaires de souscription sont devenus très détaillés (100+ questions pour certains assureurs), couvrant tous les domaines de la cybersécurité. Des prestataires comme Coalition, At-Bay ou Cowbell utilisent des scans de l'empreinte externe (IP publiques, domaines, services exposés) pour évaluer l'exposition en temps réel et ajuster la tarification.

Relation assurance-sécurité et limites

La cyber-assurance est un outil complémentaire, pas un substitut à la cybersécurité. Les assureurs excluent les pertes résultant du non-respect des garanties de sécurité déclarées lors de la souscription (ex. : perte après intrusion via un compte sans MFA alors que la MFA était déclarée déployée). La fraude dans les déclarations de souscription peut entraîner la nullité du contrat.

La tendance est à l'intégration des assureurs dans l'écosystème cyber : certains offrent des services de remédiation, de formation ou d'évaluation de la sécurité à leurs assurés, créant une relation plus proactive que le seul remboursement post-incident. Des plateformes comme Coalition Active Insurance proposent une surveillance continue des risques cyber et alertent les assurés sur les vulnérabilités détectées.