Garantie d'atteinte à la réputation

Après une fuite de données ou une attaque médiatisée, une entreprise peut perdre des clients bien après le retour à la normale de ses systèmes : des abonnés résilient, des prospects renoncent, des partenaires suspendent leurs commandes. Cette perte n'est pas une perte d'exploitation classique, qui s'arrête quand l'activité redevient possible ; elle naît de la défiance. La garantie d'atteinte à la réputation l'indemnise. Elle compare le résultat de l'entreprise pendant une période donnée, souvent six à douze mois après la publication de l'incident, à ce qu'il aurait été sans lui, et paie la différence attribuable à la publicité négative. Elle exige en général que l'incident ait été rendu public, par la presse, les réseaux sociaux ou une notification réglementaire, et exclut les baisses dues à d'autres causes. Elle se distingue des frais de gestion de crise, conseil en communication, relations presse, qui figurent dans presque toutes les polices cyber, et qui visent à limiter l'atteinte plutôt qu'à la compenser. Le produit est difficile à tarifer et à régler : isoler l'effet de la réputation parmi les causes d'une baisse de chiffre d'affaires demande une expertise comptable contestable. C'est pourquoi il reste proposé sous des sous-limites étroites, avec une franchise en durée.