Plainte préalable de 72 heures (LOPMI)
Règle française qui subordonne l'indemnisation par l'assureur des pertes dues à une cyberattaque au dépôt d'une plainte dans les 72 heures, et qui encadre du même coup l'assurabilité des rançons.
L'article L. 12-10-1 du code des assurances, créé par la loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur, dite LOPMI, dispose que le versement d'une somme par l'assureur en réparation d'une perte ou d'un dommage causé par une atteinte à un système de traitement automatisé de données est subordonné au dépôt d'une plainte par la victime auprès des autorités compétentes, au plus tard 72 heures après qu'elle a eu connaissance de l'atteinte. La règle vise les personnes morales et les personnes physiques agissant dans le cadre de leur activité professionnelle, et elle est applicable depuis le 24 avril 2023. Le texte n'interdit pas l'assurance des rançons : il la rend possible en l'encadrant, après un débat public où l'interdiction avait été envisagée. Son objet est double. Il donne aux enquêteurs une information rapide sur les attaques, que les victimes taisaient souvent. Et il empêche qu'un paiement se fasse dans l'ombre, puisque l'autorité judiciaire est informée avant que l'assureur n'intervienne. Pour le souscripteur, la condition est une formalité à rappeler dans la police et dans le plan de réponse, car son oubli prive l'assuré de son indemnité, quelle que soit la garantie en cause.
Cas d'école : une entreprise découvre un vendredi soir le chiffrement de ses serveurs. Si elle ne dépose plainte que le mercredi suivant, au-delà des 72 heures qu'impose depuis le 24 avril 2023 la loi du 24 janvier 2023, son assureur ne peut légalement lui verser ni les frais de restauration, ni la perte d'exploitation, ni le remboursement d'une éventuelle rançon, même si la police les garantit tous.
article L. 12-10-1 du code des assurances, LOPMI, condition de plainte cyber
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.