Une police cyber n'est pas une garantie mais quatre, logées dans le même contrat et déclenchées par le même évènement, qui ne paient ni les mêmes choses, ni les mêmes personnes, ni au même moment. Les frais de réponse paient des prestataires qui viennent travailler. La perte d'exploitation paie ce que l'entreprise n'a pas gagné. La responsabilité envers les tiers paie ce que d'autres réclament. L'extorsion rembourse une rançon sous conditions. Un assuré qui déclare « mon sinistre cyber » à son assureur n'a rien dit d'utile : il faut nommer laquelle de ces quatre garanties on appelle, et l'ordre dans lequel on les appelle décide du montant final.
Cette confusion vient d'une habitude prise ailleurs. En assurance de dommages, un sinistre se déclare, s'expertise, et se règle : l'assuré subit, puis réclame, et le temps qui passe entre les deux ne change pas grand-chose au montant. En cyber, ce schéma est faux et coûteux. Les deux premiers jours décident de l'étendue du chiffrement, du volume de données sorties, de la durée d'interruption et donc de trois postes sur quatre. L'assuré qui attend d'avoir un montant à réclamer a déjà perdu la partie du sinistre qu'il pouvait maîtriser.
La première garantie qui joue est donc celle des frais de réponse, et elle joue avant que quiconque sache ce qui a été perdu. Elle paie une investigation technique qui dira ce qui s'est passé, un conseil juridique qui protégera cette investigation, une logistique de notification, et une communication. Elle est la seule des quatre dont le bon emploi réduit les trois autres : une équipe rodée sur place à six heures du matin raccourcit l'interruption, limite l'exfiltration, et donc borne la responsabilité future. C'est pourquoi son plafond, presque toujours inférieur à celui de la police, mérite d'être lu avant le sinistre.
La deuxième est la perte d'exploitation, et elle a une particularité que l'assurance de dommages ne connaît pas : elle se déclenche sans dégât. Les serveurs sont intacts, le bâtiment est debout, et l'entreprise ne produit plus. Son point de départ n'est pas un sinistre matériel mais une interruption de système, mesurée en heures, et sa durée ne s'arrête pas au redémarrage technique mais au retour au niveau d'activité attendu. Entre les deux, il y a souvent plusieurs semaines de production partielle que l'assuré oublie de réclamer parce qu'il considère qu'il a redémarré.
La troisième, la responsabilité envers les tiers, obéit à un calendrier entièrement différent des deux premières. Elle ne se chiffre pas au moment du sinistre : les réclamations arrivent pendant des années, portées par des personnes dont les données ont fuité, par des clients professionnels dont les contrats prévoient une indemnisation, et parfois par une autorité de contrôle. C'est un poste à développement long greffé sur un évènement instantané, et il faut résister à l'envie de le solder vite pour clore le dossier.
La quatrième est l'extorsion, et c'est la seule où la police ne décide rien. Payer ou ne pas payer une rançon est une décision de l'entreprise, prise sous contrainte de temps, et l'assurance la rembourse sous conditions plutôt qu'elle ne l'oriente. Ces conditions ne sont pas des formalités : accord préalable, vérification du destinataire au regard des régimes de sanctions, recours à un négociateur. Un assuré qui paie d'abord et déclare ensuite transforme une garantie en discussion contentieuse, sur une dépense qu'il ne peut plus annuler.
L'ordre dans lequel ces quatre garanties se réveillent n'est donc pas une curiosité d'architecture, c'est la conduite du sinistre. On appelle d'abord la garantie qui envoie des gens, parce qu'elle réduit les trois autres. On mesure ensuite l'interruption au fil des jours, plutôt qu'on ne l'estime au troisième mois. On laisse la responsabilité se développer sans se précipiter. Et l'on traite l'extorsion comme une décision d'entreprise bordée par des conditions, non comme une garantie qui déciderait à la place du dirigeant. Un assuré qui connaît cet ordre a déjà fait la moitié du travail des deux premiers jours.
Une société de conseil de 250 personnes découvre un mardi à 7 h que ses serveurs de fichiers sont chiffrés. Son activité repose entièrement sur l'accès aux livrables clients. Le dirigeant appelle son assureur à 9 h et demande « d'ouvrir un dossier de sinistre pour évaluer le préjudice ». Le gestionnaire lui demande s'il a déjà fait intervenir quelqu'un ; personne n'est intervenu, l'équipe informatique tentant de restaurer seule depuis 7 h 15. La police porte une limite de 3 millions d'euros, une sous-limite de frais de réponse de 400 000, un délai de carence de douze heures sur la perte d'exploitation. Que faut-il lui dire ?
Le dirigeant appelle la bonne personne et lui demande la mauvaise chose, et l'écart entre les deux se chiffrera en semaines. Demander à ouvrir un dossier pour évaluer le préjudice est le réflexe de l'assurance de dommages, où l'on subit puis l'on réclame ; en cyber, ce sont les deux premiers jours qui décident de l'étendue du chiffrement, du volume exfiltré et de la durée d'interruption, c'est-à-dire de trois postes sur quatre. La garantie à appeler à 9 h n'est donc pas celle qui rembourse une perte, c'est celle qui envoie des gens : les frais de réponse, avec leur sous-limite de 400 000 euros, une investigation, un conseil juridique, et l'accès à des prestataires que l'assureur a agréés. Deux heures ont déjà été perdues à restaurer seul, ce qui n'est pas neutre : une restauration menée sans investigation préalable efface des traces dont on aura besoin, et elle ne dit rien de ce qui est sorti. Trois conséquences suivent et se traitent aujourd'hui. Le délai de carence de douze heures sera franchi, donc la perte d'exploitation courra, et il faut commencer dès ce soir le relevé quotidien du niveau d'activité réel plutôt que d'estimer au troisième mois. Le volume exfiltré, encore inconnu, ouvrira peut-être une obligation de notification dont l'horloge part de la connaissance et non de la certitude. Et la responsabilité envers les clients dont les livrables sont concernés se développera pendant des mois, sans qu'il faille se précipiter pour la solder.
- 01Une police cyber est quatre garanties dans un contrat : frais de réponse, perte d'exploitation, responsabilité envers les tiers, extorsion.
- 02Déclarer « un sinistre cyber » ne dit rien : il faut nommer la garantie appelée, et l'ordre dans lequel on les appelle décide du montant final.
- 03Les frais de réponse jouent en premier et sont les seuls dont le bon emploi réduit les trois autres postes.
- 04La perte d'exploitation se déclenche sans dégât matériel, et elle court jusqu'au retour au niveau d'activité attendu, pas jusqu'au redémarrage technique.
- 05L'extorsion est la seule garantie où la police ne décide rien : elle rembourse sous conditions une décision que l'entreprise prend seule.