Les deux premiers postes d'un sinistre cyber regardent l'assuré : ce qu'il dépense pour répondre, ce qu'il perd en n'exploitant pas. Le troisième regarde les autres, et il obéit à une logique entièrement différente parce qu'il ne se chiffre pas au moment du sinistre. Une fuite de données ouvre des réclamations qui arriveront pendant des années, devant des juridictions différentes, portées par des personnes qui ne se connaissent pas. C'est un poste à développement long greffé sur un évènement instantané, et c'est ce qui le rend difficile à provisionner comme à couvrir.
Il faut d'abord séparer deux expositions que le mot responsabilité recouvre et qui n'ont presque rien en commun. La première est civile : des personnes dont les données ont fuité, ou des entreprises clientes dont l'activité a été interrompue, réclament une réparation. La seconde est réglementaire : une autorité de contrôle ouvre une procédure, demande des explications, et peut prononcer une sanction. Les deux courent en parallèle, sur des calendriers différents, et ce que l'assuré dit à l'une peut servir à l'autre. La coordination de ces deux fronts est un travail à part entière, et elle relève des frais de réponse autant que de la garantie de responsabilité.
Sur le volet civil, la difficulté n'est pas le montant unitaire mais le nombre. Le préjudice d'une personne dont l'adresse et le numéro de téléphone ont fuité est faible et parfois difficile à établir ; multiplié par trente mille, il devient un enjeu sérieux, et il attire des mécanismes d'action collective qui varient beaucoup d'un pays à l'autre. Les polices couvrent ordinairement les dommages et intérêts et les frais de défense, souvent à l'intérieur d'une même limite, ce qui produit un effet que les assurés découvrent tard : une défense longue consomme la garantie qui devrait payer l'indemnisation.
Sur le volet réglementaire, il faut être précis parce que la matière est mouvante. Les frais d'assistance à une procédure, les enquêtes et le conseil sont couverts par la plupart des polices. Le sort des sanctions pécuniaires est autre chose : leur assurabilité dépend du droit applicable et varie d'un pays à l'autre, si bien que les contrats les couvrent typiquement dans la mesure où la loi le permet, formule qui reporte la question sans la trancher. Un assuré qui compte sur cette ligne doit savoir qu'elle peut ne rien couvrir dans sa juridiction, et cette vérification se fait au placement.
Une troisième exposition, presque toujours sous-estimée, vient des contrats entre entreprises. Un prestataire qui traite des données pour ses clients a signé avec chacun des clauses d'indemnisation, souvent rédigées sans plafond ou avec un plafond élevé, qui se déclenchent en cascade le jour où ses systèmes tombent. Pour beaucoup d'entreprises de services, cette responsabilité contractuelle envers quelques dizaines de clients professionnels dépasse largement la responsabilité envers des milliers de particuliers. Elle se mesure en lisant ses propres contrats, exercice que personne ne fait avant le sinistre et que tout le monde fait après.
Il faut enfin nommer ce que la police ne répare pas, parce que c'est souvent le plus lourd. La perte de clients qui ne reviennent pas, l'atteinte à la réputation, le temps de direction consommé pendant des mois, la valorisation d'une entreprise qui doit annoncer une fuite pendant une levée de fonds : rien de cela n'est indemnisé, et rien de cela n'est marginal. Certaines polices proposent une garantie de reconstitution d'image, qui paie une campagne, pas un chiffre d'affaires. Dire cette limite clairement vaut mieux que de laisser croire qu'un sinistre cyber se solde par un chèque.
La discipline tient en trois lectures faites avant l'incident. Vérifier si les frais de défense s'imputent sur la limite ou s'ajoutent, question d'une ligne qui change tout sur un dossier long. Vérifier ce que la police dit des sanctions pécuniaires et ce que le droit applicable en permet, plutôt que de lire la seule clause. Et faire l'inventaire des clauses d'indemnisation souscrites envers ses propres clients professionnels, parce que c'est là que se trouve, pour beaucoup d'entreprises, la plus grosse exposition de tout le sinistre.
Un éditeur de logiciels de gestion de paie subit une exfiltration touchant les données de 30 000 salariés répartis chez 140 entreprises clientes. Une action collective est engagée trois mois plus tard au nom des personnes concernées. En parallèle, l'autorité de contrôle ouvre une procédure. Quatre clients professionnels, invoquant la clause d'indemnisation de leur contrat de service, réclament ensemble 2,4 millions d'euros au titre de leur propre exposition. La police porte une limite de 5 millions d'euros pour la responsabilité envers les tiers, frais de défense inclus dans la limite, et couvre les sanctions dans la mesure où la loi le permet. Comment lire cette position ?
Trois expositions courent en parallèle et l'assuré ne regarde que la plus visible. L'action collective au nom de 30 000 personnes est celle qui fait du bruit, et son enjeu unitaire est faible : un préjudice individuel modeste, difficile à établir, dont le total dépendra du mécanisme collectif applicable. La procédure de l'autorité est incertaine dans son montant et surtout dans son sort assurantiel : la clause couvre les sanctions dans la mesure où la loi le permet, formule qui reporte la question sans la trancher, et il faut vérifier dès maintenant ce que le droit applicable autorise plutôt que de le découvrir au règlement. Mais l'exposition la plus lourde est la troisième, et c'est celle que personne n'avait chiffrée avant le sinistre : quatre clients professionnels sur cent quarante réclament déjà 2,4 millions au titre de clauses d'indemnisation que l'éditeur a signées lui-même. Si les cent trente-six autres suivent dans la même proportion, la limite de 5 millions est très en dessous. Le point qui aggrave tout est structurel : les frais de défense s'imputent sur la limite, si bien qu'une défense menée sur trois fronts pendant plusieurs années consommera la garantie qui devrait payer les indemnisations. La conséquence pratique est immédiate : il faut arbitrer tôt entre transiger et plaider, non par prudence juridique mais parce que chaque mois de procédure réduit ce qui restera pour indemniser.
- 01C'est un poste à développement long greffé sur un évènement instantané : les réclamations arrivent pendant des années, devant des juridictions différentes.
- 02Deux expositions distinctes courent en parallèle, la civile et la réglementaire, et ce que l'assuré dit à l'une peut servir à l'autre.
- 03Quand les frais de défense s'imputent sur la limite, une défense longue consomme la garantie qui devrait payer l'indemnisation.
- 04Les clauses d'indemnisation signées envers ses propres clients professionnels dépassent souvent la responsabilité envers des milliers de particuliers.
- 05La police ne répare ni les clients perdus, ni la réputation, ni le temps de direction : le dire vaut mieux que laisser croire à un chèque.