Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Une entreprise découvre un dimanche soir qu'une base clients a été exfiltrée. Le vol remonte en réalité à trois semaines. À partir de quand court le délai de soixante-douze heures du RGPD ?
À partir du moment où le responsable de traitement en a pris connaissance
L'article 33 du RGPD impose au responsable de traitement de notifier une violation susceptible d'engendrer un risque pour les droits et libertés des personnes à l'autorité de contrôle compétente, en France la CNIL, dans les soixante-douze heures après en avoir pris connaissance. Le point de départ est donc la connaissance, non la survenance : une intrusion vieille de trois semaines et découverte un dimanche soir ouvre le compte à rebours ce dimanche soir. Les deux conséquences pratiques sont dures. La première est qu'aucun jour ouvré n'existe dans ce calcul : le week-end court, et le délai expire mercredi soir. La seconde est qu'il faut notifier avant de tout savoir, puisque soixante-douze heures ne suffisent presque jamais à établir le périmètre exact d'une exfiltration ; le règlement l'admet et prévoit une notification par étapes. Lorsque la violation présente un risque élevé, l'article 34 ajoute l'information des personnes concernées, sans délai injustifié, ce qui est une obligation distincte et non une conséquence automatique de la première.
Fiche du glossaire →2. Quel est le plafond de sanction prévu par le RGPD pour les manquements les plus graves ?
4 pour cent du chiffre d'affaires annuel mondial, ou 20 millions d'euros si ce montant est supérieur
Le Règlement général sur la protection des données, entré en application en mai 2018, encadre le traitement des données à caractère personnel par des principes, licéité, minimisation, limitation des finalités, sécurité, et par des droits pour les personnes concernées, accès, rectification, effacement, portabilité. Le trait qui a changé le comportement des entreprises tient cependant moins à ces principes qu'à l'échelle des sanctions : jusqu'à quatre pour cent du chiffre d'affaires annuel mondial, ou vingt millions d'euros si ce montant est plus élevé, pour les manquements les plus graves. Deux détails de cette formule comptent. Le chiffre retenu est mondial et non européen, ce qui change tout pour un groupe dont l'activité dans l'Union est minoritaire. Et le maximum des deux montants s'applique, si bien qu'une entreprise petite ne se protège pas par sa taille. C'est ce qui fait entrer le risque de conformité dans la catégorie des expositions qu'un assureur doit apprécier, au même titre qu'un sinistre.
Fiche du glossaire →3. Un assureur vie français applique DORA depuis janvier 2025. Il a cartographié ses quarante-deux prestataires informatiques et identifié deux fournisseurs cloud critiques. Quel est l'apport propre de ce règlement par rapport aux cadres antérieurs ?
La maîtrise du risque lié aux prestataires tiers critiques
Le Digital Operational Resilience Act, applicable depuis janvier 2025, vise la résilience opérationnelle numérique du secteur financier, banques, assureurs, gestionnaires d'actifs et prestataires associés. Il couvre la gouvernance du risque informatique, la détection et la gestion des incidents, leur notification aux autorités et les tests de résilience, y compris des tests d'intrusion avancés. Ces exigences existaient déjà pour l'essentiel, dispersées dans des textes sectoriels et des orientations nationales. L'apport propre du règlement est ailleurs et il est structurel : la maîtrise du risque lié aux prestataires tiers critiques, avec un régime de surveillance qui atteint directement les grands fournisseurs d'infrastructure. C'est la reconnaissance d'un fait que la sinistralité avait établi avant le droit : la résilience d'un assureur ne dépend plus seulement de ses propres systèmes, mais de deux ou trois fournisseurs que tout le marché partage, ce qui déplace le risque de la panne individuelle vers l'accumulation sectorielle.
Fiche du glossaire →4. La directive NIS2 succède à la première directive sur la sécurité des réseaux et des systèmes d'information. Quelle nouveauté engage personnellement l'encadrement des entités concernées ?
La responsabilité des dirigeants en cas de manquement
NIS2 élargit considérablement le champ du texte initial en couvrant un large éventail de secteurs jugés essentiels ou importants, énergie, transport, santé, infrastructures numériques, administrations, fabrication et d'autres encore, et impose à ces entités une gestion des risques de cybersécurité, des mesures techniques et organisationnelles minimales et une obligation de notification des incidents. L'élargissement du périmètre est ce dont on parle le plus, mais ce n'est pas ce qui change les comportements. Ce qui les change est la responsabilité des dirigeants, qui peuvent être tenus pour responsables d'un manquement : la cybersécurité cesse d'être une affaire déléguée à une direction technique pour devenir un sujet de conseil d'administration, avec des conséquences personnelles. Pour un assureur, ce déplacement se lit directement dans deux garanties, la responsabilité des dirigeants d'une part, et la cyber d'autre part, dont les questionnaires de souscription intègrent désormais l'existence d'un plan de conformité.
Fiche du glossaire →5. Sous NIS2, une métropole est désignée entité essentielle et un hôpital régional de taille intermédiaire entité importante. Qu'est-ce qui sépare réellement les deux régimes ?
Le mode de supervision : proactive et continue pour l'une, déclenchée après incident pour l'autre
NIS2 distingue deux catégories d'entités selon leur taille, leur secteur et leur criticité pour l'économie et la société. Les entités essentielles sont en général les grandes organisations des secteurs les plus sensibles, énergie, transports, santé, eau, administration publique, infrastructures numériques. Les entités importantes couvrent un périmètre plus large mais moins critique. Les obligations de fond sont largement communes ; la différence qui compte tient à la manière dont l'autorité nationale les vérifie : les entités essentielles font l'objet d'une supervision a priori, proactive et continue, l'autorité pouvant diligenter des audits même en l'absence du moindre incident, tandis que les entités importantes relèvent d'un contrôle a posteriori, déclenché par un signalement ou un incident. Autrement dit, une entité essentielle doit pouvoir prouver sa conformité à tout moment ; une entité importante doit pouvoir la prouver le jour où quelque chose arrive.
Fiche du glossaire →6. Solvabilité II fixe deux seuils de capital réglementaire. Lequel, s'il est franchi à la baisse, peut conduire l'autorité de contrôle à retirer l'agrément ?
Le MCR, Minimum Capital Requirement
Solvabilité II est le cadre prudentiel européen des entreprises d'assurance et de réassurance, en vigueur depuis janvier 2016 par transposition de la directive 2009/138/CE, bâti sur trois piliers : exigences quantitatives, exigences qualitatives de gouvernance, obligations de transparence. Le premier pilier porte les deux seuils qu'il ne faut pas confondre. Le SCR est le montant de fonds propres correspondant à la capacité d'absorber un choc bicentennal ; passer en dessous déclenche un plan de rétablissement et une surveillance rapprochée, mais l'entreprise continue d'exister. Le MCR est le plancher absolu, et c'est lui qui emporte le retrait d'agrément, c'est-à-dire la fin de l'activité. La distinction est donc celle d'une alerte et d'une sortie de route. Le même pilier explique par ailleurs pourquoi un portefeuille cyber concentré sur un même fournisseur d'infrastructure fait monter le SCR : le modèle doit refléter la corrélation entre sinistres en cas de panne commune, là où un portefeuille réellement diversifié bénéficie de la mutualisation.
Fiche du glossaire →7. Un assureur santé déploie un modèle d'intelligence artificielle pour tarifer les contrats santé qu'il vend à des particuliers. Comment l'EU AI Act classe-t-il cet usage, et qu'en découle-t-il ?
Usage à haut risque, avec documentation des données, absence de discrimination prohibée et supervision humaine effective
L'EU AI Act est le premier cadre réglementaire global consacré à l'intelligence artificielle, dont l'application s'échelonne à partir de 2025 et 2026. Sa logique est une approche par niveaux de risque, et c'est elle qu'il faut retenir plutôt que la liste des articles : les usages jugés inacceptables, comme certaines formes de notation sociale, sont interdits ; les usages à haut risque, parmi lesquels le recrutement, le crédit, l'assurance vie et santé et les infrastructures critiques, sont soumis à des exigences strictes ; le reste relève d'obligations de transparence beaucoup plus légères. La tarification vie et santé des particuliers appartient à la deuxième catégorie, ce qui entraîne trois obligations concrètes : documenter les jeux de données d'entraînement, démontrer l'absence de discrimination prohibée, et garantir une supervision humaine effective des décisions. Le mot effective porte tout le poids, parce qu'une supervision qui se contente d'entériner les sorties du modèle satisfait la forme sans rien intercepter.
Fiche du glossaire →8. Un assureur français s'écarte des exigences de Solvabilité II. Quelle autorité peut lui imposer de renforcer ses fonds propres ou sa gouvernance ?
L'acpr, autorité française de contrôle prudentiel et de résolution
La supervision prudentielle d'un assureur européen reste nationale, et c'est le point que la présence d'une autorité européenne fait le plus souvent manquer. L'Autorité de contrôle prudentiel et de résolution, adossée à la Banque de France, supervise en France les secteurs de la banque et de l'assurance : elle agrée les acteurs, veille aux exigences de solvabilité, à la protection des assurés, à la qualité de la gouvernance et à la maîtrise des risques, conduit les contrôles sur pièces et sur place, et peut prononcer des sanctions. L'EIOPA, créée en 2011 après la crise financière, ne supervise pas directement les assureurs : elle élabore des normes techniques, des orientations et des standards qui harmonisent l'application de Solvabilité II entre États membres, et conduit des exercices de stress test à l'échelle européenne. La répartition est donc nette et vaut d'être tenue : l'européenne écrit et harmonise, la nationale agrée, contrôle et sanctionne.
Fiche du glossaire →9. Un souscripteur cyber constate qu'un prospect n'est pas certifié ISO 27001. Quelle conséquence cela a-t-il sur l'examen du dossier ?
Le dossier reste recevable, mais l'audit des contrôles existants est approfondi
L'ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l'information, révisée en 2022. Elle définit ce qu'une organisation doit satisfaire pour établir, mettre en œuvre, maintenir et améliorer un ensemble structuré de politiques, de procédures et de contrôles protégeant la confidentialité, l'intégrité et la disponibilité de l'information, selon une approche par les risques où l'organisation identifie ses actifs et évalue ses menaces. Ce qu'il faut comprendre du point de vue de la souscription est que la certification ne mesure pas un niveau de sécurité, elle atteste l'existence d'un système de gestion et de sa vérification par un tiers. Elle vaut donc comme présomption de maturité et comme économie de travail pour le souscripteur, non comme garantie d'absence d'incident. Son absence ne disqualifie personne : elle déplace la charge, puisqu'il faut alors vérifier les contrôles un à un plutôt que de s'appuyer sur un audit déjà fait, et bien des organisations très sûres ne sont pas certifiées, faute d'en avoir eu l'usage commercial.
Fiche du glossaire →