Questionnaire de souscription cyber
Formulaire par lequel le candidat à l'assurance cyber déclare ses mesures de sécurité, devenu depuis 2021 un document contractuel décisif, dont une réponse inexacte peut faire tomber la garantie.
Le questionnaire de souscription cyber recueille les déclarations du candidat sur son activité, ses données et surtout ses mesures de sécurité : authentification multifacteur sur les accès distants, la messagerie et les comptes à privilèges, sauvegardes isolées et testées, outils de détection sur les terminaux, délais d'application des correctifs, formation au hameçonnage, plan de réponse à incident. Jusqu'en 2020, ce document était sommaire et peu lu. La vague de rançongiciels de 2020 et 2021 l'a transformé : les assureurs ont ajouté des questionnaires spécifiques au rançongiciel, conditionné la garantie à des réponses affirmatives, et commencé à vérifier les déclarations par des balayages externes. Juridiquement, les réponses sont des déclarations de risque, et leur inexactitude expose l'assuré aux sanctions de la fausse déclaration, de la réduction proportionnelle à la nullité selon la bonne ou la mauvaise foi et le droit applicable. Pour le souscripteur, le questionnaire est à la fois l'instrument de sélection et la source principale d'aléa moral, puisqu'il repose sur la parole d'un signataire qui n'est pas toujours celui qui connaît les systèmes.
En 2022, un assureur américain a obtenu d'un tribunal fédéral de l'Illinois l'annulation d'une police cyber souscrite par une entreprise de services, après un rançongiciel, au motif que le questionnaire affirmait l'usage de l'authentification multifacteur alors qu'elle ne protégeait que le pare-feu et pas les serveurs : l'assuré a accepté l'annulation, et la garantie est tombée avec sa déclaration.
cyber proposal form, questionnaire cyber, ransomware supplemental application
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.