Le paysage de l'assurance cyber se complexifie, rendant l'indemnisation des entreprises de plus en plus conditionnelle au respect strict de nouvelles obligations légales. Entre délais de déclaration impératifs et exigences de conformité technique, les PME s'exposent à des refus de garantie si elles ne durcissent pas leur propre gestion des risques.
La contrainte des 72 heures imposée par la LOPMI
Depuis avril 2023, la loi LOPMI impose aux entreprises victimes d'une cyberattaque de déposer plainte dans un délai maximal de 72 heures après la découverte du sinistre. Ce délai, extrêmement court, constitue un piège pour les organisations dépourvues d'outils de détection performants. Si l'intrusion est identifiée tardivement, le délai légal peut être dépassé avant même que l'entreprise ne puisse agir, entraînant de facto la perte du droit à l'indemnisation, indépendamment de la validité du contrat d'assurance.
La directive NIS2 et les secteurs critiques
Pour les entreprises opérant dans des secteurs stratégiques tels que la santé, l'énergie ou les transports, la pression est accrue par la directive NIS2. Cette réglementation impose une notification à l'ANSSI dans les 24 heures suivant l'incident, suivie d'un processus de reporting échelonné. Depuis 2024, de nombreux assureurs ont intégré des clauses d'exclusion spécifiques : le non-respect de ces délais de notification auprès des autorités peut entraîner une annulation totale de la couverture, privant l'entreprise de toute protection financière face aux conséquences de l'attaque.
Vigilance sur les clauses d'exclusion et les plafonds
Au-delà des obligations déclaratives, les contrats d'assurance cyber deviennent plus restrictifs. Les assureurs excluent désormais fréquemment les attaques d'origine étatique ou celles exploitant des vulnérabilités connues non corrigées par l'entreprise. Il est également crucial pour les décideurs de vérifier l'adéquation entre les plafonds d'indemnisation prévus pour les ransomwares et les pertes d'exploitation réelles, souvent sous-estimés. Enfin, toute discordance entre les outils de sécurité déclarés lors de la souscription et ceux réellement opérationnels au moment du sinistre peut justifier une résiliation du contrat par l'assureur, laissant l'entreprise sans recours face à un incident majeur.