La première garantie qui joue dans un sinistre cyber n'est pas celle qui rembourse une perte, c'est celle qui paie des gens pour venir travailler. Les frais de réponse couvrent l'investigation technique, le conseil juridique, la logistique de notification, la communication de crise, et parfois la surveillance offerte aux personnes touchées. Ils se consomment dans les heures qui suivent la découverte, avant que quiconque sache ce qui a été perdu, et cette antériorité est ce qui les rend structurants : leur bon emploi décide de la durée de l'interruption et de l'étendue de la responsabilité, c'est-à-dire des deux autres postes du sinistre.
Il faut d'abord comprendre pourquoi l'assureur impose une liste de prestataires et pourquoi l'assuré la contourne. L'assureur a négocié des tarifs, il connaît la qualité des équipes, et il a organisé la chaîne juridique qui protège les rapports d'investigation. L'assuré, lui, appelle à trois heures du matin le prestataire qu'il connaît, celui qui gère son informatique depuis six ans, parce que c'est le réflexe humain et professionnel. Ce réflexe coûte cher : la plupart des polices ne remboursent les prestataires hors liste qu'après accord préalable, parfois au tarif de la liste, parfois pas du tout, et l'accord ne se donne pas rétroactivement.
La question du privilège juridique mérite d'être posée tôt, car elle est mal comprise hors des cabinets. Un rapport d'investigation commandé directement par l'entreprise est un document de l'entreprise : il pourra être demandé dans une procédure civile ou administrative ultérieure, et il dira, avec la précision technique qui est sa qualité, tout ce qui n'avait pas été fait. Le même rapport commandé par un avocat, dans le cadre de la préparation de la défense, bénéficie selon les droits d'une protection qui varie mais qui existe. C'est pourquoi la chaîne recommandée place l'avocat en premier et l'investigateur en second, et c'est une décision qui se prend dans les deux premières heures ou jamais.
Vient ensuite la mécanique de consommation, qui surprend les directions financières. Les frais de réponse portent presque toujours une sous-limite, c'est-à-dire un plafond inférieur à celui de la police, et parfois des sous-sous-limites par nature de frais : tant pour l'investigation, tant pour la communication, tant pour la surveillance des personnes. Ces plafonds se lisent avant le sinistre parce qu'ils se heurtent à des ordres de grandeur réels : une investigation sérieuse sur un système d'information de taille moyenne se compte en centaines de milliers d'euros, et une notification à plusieurs dizaines de milliers de personnes a un coût unitaire faible mais un total considérable.
Il faut ajouter une distinction que les contrats font mal et qui décide de l'imputation : la frontière entre réparer et améliorer. L'assureur paie la remise en état, pas la modernisation. Or une entreprise dont les serveurs ont été chiffrés ne les remonte jamais à l'identique : elle en profite pour segmenter son réseau, changer sa sauvegarde, imposer une authentification qu'elle repoussait depuis deux ans. Ces dépenses sont légitimes et elles ne sont pas couvertes. Séparer les deux au fil de la reconstruction, plutôt qu'au moment de la réclamation, est ce qui évite une discussion pénible sur une facture globale.
Un point de délai mérite d'être connu parce qu'il ne ressemble à rien d'autre en assurance. Ici, la vitesse de la déclaration n'est pas une formalité contractuelle mais un facteur de coût : chaque heure entre la découverte et l'intervention augmente l'étendue du chiffrement, le volume exfiltré et la durée de l'interruption. Un assureur qui insiste sur un numéro d'urgence à appeler immédiatement ne protège pas seulement sa procédure, il protège le montant final. C'est le seul cas où l'intérêt de l'assuré et celui de l'assureur coïncident parfaitement, et il faut le dire aux équipes techniques qui vivent l'appel comme une contrainte administrative.
La discipline tient en trois décisions préparées à froid, parce qu'aucune ne se prend bien à trois heures du matin. Savoir qui appelle, dans quel ordre, avec quel numéro, et que ce soit écrit sur un document qui ne vit pas sur le réseau chiffré. Savoir si les prestataires habituels figurent sur la liste de l'assureur, et sinon, avoir demandé leur inscription avant le sinistre plutôt qu'un accord pendant. Et savoir que la première personne appelée est l'avocat, pas l'informaticien, non parce que le droit compte plus que la technique mais parce que l'ordre décide de ce que deviendra le rapport technique.
Une entreprise de services de 400 personnes découvre un vendredi à 6 h que ses serveurs de fichiers et son système de gestion sont chiffrés. Le directeur des systèmes d'information appelle à 6 h 20 le prestataire infogérant habituel, qui envoie deux ingénieurs et commence à restaurer. À 11 h, il commande un rapport d'investigation à un cabinet spécialisé, en son nom. L'assureur n'est prévenu que le lundi à 9 h. La police prévoit une sous-limite de frais de réponse de 250 000 euros, une liste de prestataires agréés où ne figure ni l'infogérant ni le cabinet, et un accord préalable pour tout prestataire hors liste. Où en est-on ?
Trois décisions ont été prises en cinq heures et chacune coûte quelque chose, sans qu'aucune ne soit déraisonnable prise isolément. Le recours à l'infogérant habituel est le réflexe normal, et il est hors liste : les frais engagés du vendredi au lundi ne seront remboursés qu'après accord, lequel ne se donne pas rétroactivement, et au mieux au tarif de la liste. La perte se chiffre en jours d'ingénieurs et se discutera longtemps. Le retard de déclaration est plus grave qu'il n'en a l'air : ce n'est pas d'abord une question de délai contractuel mais de coût, chaque heure entre la découverte et l'intervention d'une équipe rodée augmentant l'étendue du chiffrement et la durée de l'interruption, donc les deux autres postes du sinistre. Mais la décision la plus lourde est celle de 11 h, et personne ne l'a vue comme telle : le rapport d'investigation a été commandé par l'entreprise en son nom, et non par un avocat. Ce document technique, qui dira précisément ce qui n'avait pas été fait, sera un document de l'entreprise, opposable dans une procédure civile ou administrative ultérieure. C'est irréversible, et c'est ce qu'il fallait décider dans les deux premières heures. Ce qui reste à faire tient en deux gestes : demander l'accord de l'assureur sur les prestataires en cours et sur la suite, en le documentant, et faire reprendre la chaîne d'investigation par un conseil juridique pour ce qui n'est pas encore produit.
- 01Les frais de réponse se consomment avant que quiconque sache ce qui est perdu, et leur bon emploi décide de la durée d'interruption et de l'étendue de la responsabilité.
- 02Un prestataire hors liste ne se rembourse qu'après accord préalable, et l'accord ne se donne pas rétroactivement.
- 03L'ordre des appels décide du sort du rapport technique : commandé par l'entreprise il lui est opposable, commandé par un avocat il peut être protégé.
- 04L'assureur paie la remise en état, pas la modernisation : la séparation se fait au fil de la reconstruction, jamais sur une facture globale.
- 05Ici la vitesse n'est pas une formalité mais un facteur de coût, et c'est le seul poste où l'intérêt de l'assuré et celui de l'assureur coïncident parfaitement.