Assurance cyber risques : ce que l'assureur exige avant de signer, et ce que le
contrat exclut

Votre assureur vous remboursera-t-il la rançon ? Oui, à trois conditions : vous avez déposé plainte dans les 72 heures, votre questionnaire de souscription disait vrai, et l'attaquant n'est pas un État. Trois conditions, donc trois façons de perdre l'indemnité le jour où vous en avez besoin. Une assurance cyber risques se lit à l'envers : d'abord les exclusions et les prérequis, ensuite les garanties.

Ces lignes s'adressent au dirigeant de PME ou d'ETI à qui un courtier vient d'envoyer vingt pages de questions techniques, avec une date de renouvellement dans six semaines. Précision utile avant d'aller plus loin : own2pwn n'est ni assureur ni courtier, et ne touche rien sur un contrat. Si le sujet apparaît sur ce blog, c'est que l'assureur s'est installé à côté de l'auditeur et de l'autorité de contrôle dans la courte liste des gens qui lisent vos preuves de sécurité, celle que dresse l'article sur la GRC en cybersécurité.

Ce que couvre une assurance cyber risques

Un contrat cyber empile quatre garanties, chacune avec son plafond, sa franchise et ses propres exclusions. Les intitulés varient d'un assureur à l'autre, mais le découpage est stable, et c'est lui qu'il faut avoir en tête quand on compare deux devis : deux contrats à prime identique peuvent plafonner la garantie qui compte pour vous à des montants sans rapport.

Les offres grand public suivent ce découpage. La page cyber-risques d'AXA annonce la prise en charge de la baisse de chiffre d'affaires, la reconstitution des données à partir des sauvegardes, la mise en cause de votre responsabilité en option, et une ligne téléphonique 24 h/24 avec des experts. Hiscox distribue CyberClear par le courtage, avec des conditions générales publiques qui traitent des pertes d'exploitation et des experts mandatés par l'assureur. Ce qui n'est écrit sur aucune page commerciale, ce sont les conditions particulières, et c'est pourtant là que se fixent le plafond de chaque garantie, la franchise et la liste des exclusions qui vous seront opposées.

La rançon : légale, remboursable, mais seulement avec une plainte sous 72 heures

Payer une rançon n'est pas interdit en France. Le débat a été tranché en deux temps. En septembre 2022, la Direction générale du Trésor a publié un rapport qui recommandait, plutôt qu'une interdiction, l'obligation d'un dépôt de plainte de la victime pour permettre l'assurabilité d'une cyber-rançon (communiqué du ministère de l'Économie du 7 septembre 2022). Puis l'article 5 de la loi n° 2023-22 du 24 janvier 2023, dite LOPMI, a inséré l'article L. 12-10-1 dans le code des assurances, en vigueur trois mois après la promulgation, soit depuis le 24 avril 2023.

Le texte est plus large que la rançon, et c'est le point que les résumés gomment. Il subordonne le versement de toute somme destinée à indemniser des pertes et dommages causés par une atteinte à un système de traitement automatisé de données, au sens des articles 323-1 à 323-3-1 du code pénal, au dépôt d'une plainte au plus tard 72 heures après la connaissance de l'atteinte par la victime. L'intrusion sans rançon, la fuite de données, le sabotage sont donc dans le champ. La règle vise les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle. Ses angles morts sont détaillés dans l'article consacré à la loi LOPMI et sa règle des 72 heures.

Mon conseil ne change pas avec la loi : ne payez pas, parce que payer finance la prochaine attaque et ne garantit ni le déchiffrement ni la non-publication. Mais la plainte, elle, se dépose dans tous les cas, rançon ou pas. Le bon moment pour savoir qui la dépose, avec quels éléments et dans quel commissariat, c'est à froid, dans le plan de gestion de crise cyber, pas à 3 heures du matin avec un DSI qui cherche le numéro de la police.

Ce que le contrat exclut

Avant de signer, trois clauses se lisent ligne à ligne, stylo à la main, parce qu'elles portent justement sur les scénarios qui coûtent le plus cher.

La guerre et l'attaque d'origine étatique

L'exclusion de guerre est la règle par défaut du code des assurances : son article L. 121-8 prévoit que l'assureur ne répond pas, sauf convention contraire, des pertes occasionnées par la guerre étrangère ou la guerre civile, et les contrats la reprennent. Ce qui a changé, c'est son extension explicite aux cyberattaques soutenues par un État hors conflit armé. Le 16 août 2022, Lloyd's a publié le bulletin de marché Y5381, qui impose aux syndicats du Lloyd's, pour leurs contrats cyber autonomes souscrits ou renouvelés à partir du 31 mars 2023, une clause excluant les pertes issues d'une cyberattaque soutenue par un État lorsqu'elle altère significativement la capacité d'un État à fonctionner ou ses capacités de sécurité, en plus de l'exclusion de guerre classique. Le bulletin exige aussi que le contrat fixe une base d'attribution : comment les parties décideront qu'une attaque est le fait d'un État.

Pourquoi une PME française devrait-elle s'en soucier ? Parce que les clauses modèles du marché de Londres circulent d'un contrat à l'autre. Vous ne serez sans doute jamais ciblé par un État, mais le rançongiciel qui vous touche par rebond, via un prestataire ou une vulnérabilité de masse, peut un jour être attribué à un groupe lié à un État. Lisez la clause d'attribution. Si elle laisse l'assureur seul juge, vous avez identifié le point à négocier.

La mesure déclarée mais absente : le terrain de la fausse déclaration

C'est l'exclusion la plus fréquente en pratique, et elle ne porte pas ce nom. Le questionnaire de souscription est une déclaration du risque, et le code des assurances sanctionne les écarts avec deux articles. L'article L. 113-8 rend le contrat nul en cas de réticence ou de fausse déclaration intentionnelle qui change l'objet du risque ou en diminue l'opinion pour l'assureur, même si le risque omis n'a eu aucune influence sur le sinistre, et les primes payées restent acquises à l'assureur. L'article L. 113-9 traite l'omission sans mauvaise foi : constatée après sinistre, l'indemnité est réduite en proportion du taux des primes payées par rapport à celles qui auraient été dues si le risque avait été exactement déclaré.

Sur un questionnaire cyber, la scène est presque toujours la même. Vous cochez "MFA déployée sur tous les accès distants" parce que le VPN l'exige, en oubliant le portail RDS ouvert deux ans plus tôt pour un prestataire. L'attaquant entre par le RDS. Au mieux, l'assureur applique la réduction proportionnelle ; au pire, il plaide que l'absence de MFA change l'objet du risque et que vous ne pouviez pas l'ignorer. La bonne réponse au questionnaire est "oui, sauf ceci", avec la liste des exceptions. Une exception déclarée est un risque tarifé. Une exception découverte est un litige.

Les amendes et sanctions administratives

Le rapport du Trésor de 2022 proposait un principe général d'inassurabilité des sanctions administratives, pour lever une ambiguïté qu'il jugeait nuisible aux assurés comme aux assureurs. La LOPMI a repris la plainte sous 72 heures, pas ce principe, et la question de savoir si une amende de la CNIL peut être remboursée par un assureur reste débattue en droit français, au nom de l'ordre public. Cherchez le mot "amendes" dans votre contrat. Une formule du type "dans la mesure où la loi le permet" ne tranche rien : elle vous renvoie au débat, avec un juge pour arbitre. Les frais de défense devant l'autorité, eux, sont plus couramment couverts que l'amende elle-même, et c'est souvent cette ligne qui a de la valeur.

Le questionnaire de souscription : les prérequis devenus quasi obligatoires

Les questionnaires ont changé de nature avec la sinistralité rançongiciel. Avant, on déclarait un chiffre d'affaires et un secteur. Depuis, on répond à des questions techniques précises, et certaines réponses négatives ferment la porte ou déclenchent une sous-limite. Aucun assureur ne publie sa grille, mais ceux que j'ai pu lire, en préparant des tests d'intrusion, se ressemblent tous et tiennent en cinq contrôles.

Deux de ces lignes ont leur propre article, parce qu'elles concentrent les refus. Sur la MFA, le point de friction est toujours l'inventaire des accès et la question du facteur résistant au phishing ; l'ANSSI a posé la doctrine dès octobre 2021 dans ses recommandations relatives à l'authentification multifacteur et aux mots de passe, qui privilégient le facteur de possession, et l'article sur ce que NIS2 et l'assureur exigent en matière de MFA détaille ce qu'un attaquant contourne. Sur les sauvegardes, l'assureur ne cherche pas une politique, il cherche la date du dernier test de restauration ; le PRA à l'épreuve du rançongiciel explique pourquoi un plan écrit pour un sinistre physique ne tient pas face à un chiffrement qui a commencé par l'Active Directory.

Le questionnaire est rempli par le DSI, signé par le dirigeant, et lu par un souscripteur qui n'a jamais vu votre réseau. Chaque case est une déclaration au sens de l'article L. 113-8. La procédure qui évite le litige prend une demi-journée.

Le marché en chiffres : ce que dit LUCY 2026

Les chiffres publics les plus détaillés sur l'assurance cyber en France viennent de l'AMRAE, l'association des risk managers, qui publie chaque année l'étude LUCY (Lumière sur la cyberassurance). La sixième édition, publiée en juin 2026 sur l'exercice 2025, repose sur 20 996 polices et 1 251 sinistres.

Les grandes entreprises négocient en position de force : leur taux de prime a reculé de 32 %. Les ETI et les entreprises moyennes s'équipent, avec des primes en hausse de 24 et 47 %, ce qui est d'abord un effet de volume (le nombre de polices ETI passe de 1 145 à 2 002). Mais les sinistres des ETI ont été multipliés par quatre en un an, de 6,8 à 28,8 millions d'euros, et leur ratio sinistres sur primes atteint 42 %, contre 22 % pour les grandes entreprises. Un assureur qui perd de l'argent sur un segment en resserre les conditions, et je parie que les questionnaires destinés aux ETI se durciront dès le renouvellement 2027, avec des preuves techniques qui pèseront plus lourd que les politiques.

Ce qu'un pentest ou un EASM apportent au dossier

Il faut être précis sur ce qu'on peut promettre, parce que le marketing de la sécurité promet trop. Un pentest ne fait pas baisser une prime. Aucun contrat ne prévoit de remise contre un rapport, et la tarification appartient au souscripteur. Si un assureur accorde une condition meilleure à un dossier bien documenté, c'est sa décision, pas un droit.

Ce qu'un test d'intrusion apporte, c'est une preuve datée qu'un contrôle a été mené, avec un périmètre, des constats et un retest qui montre que les failles ont été corrigées. Face à un questionnaire déclaratif, c'est le seul document du dossier qui ne repose pas sur votre parole. À la souscription, il étaye les réponses. Au sinistre, quand l'assureur vérifie si les déclarations correspondaient à la réalité, il montre que vous avez cherché vos propres faiblesses au lieu de cocher des cases. Un pentest web en boîte noire démarre à 2 250 €, retest inclus : c'est l'ordre de grandeur de la franchise d'une petite entreprise dans LUCY 2026 (2 300 €), pour un document qui vaut à chaque renouvellement. Une ETI, dont la franchise tourne plutôt autour de 91 000 € dans la même étude, fait le calcul encore plus vite.

La surveillance de surface d'attaque répond à une autre question du questionnaire, celle de l'inventaire : quels accès distants exposez-vous, quels services répondent sur internet, avec quelles versions. Un EASM tient cet inventaire en continu depuis l'extérieur, du point de vue de l'attaquant et du souscripteur. C'est ce qui permet de répondre "oui, sauf ces trois hôtes" au lieu de "oui" en croisant les doigts, et de retrouver le portail RDS ouvert pour un prestataire avant que l'attaquant ne le fasse. Certains assureurs intègrent ce type de scan dans leur offre : AXA cite un scan de vulnérabilités des systèmes d'information et des tests de phishing en prévention. Rien n'empêche de tenir le sien, avec la plateforme EASM d'own2pwn, et de joindre l'historique au dossier. Pour ce qui est de l'anatomie de l'attaque que l'assureur redoute, le pilier sur le rançongiciel et la protection d'une PME montre par où elle entre, et ce sont les mêmes portes que le questionnaire.

Les acteurs, et pourquoi own2pwn n'en est pas un

Le marché français se lit en trois couches. Les assureurs généralistes, avec AXA et son offre cyber-risques pour les professionnels, ou Hiscox et CyberClear. Les spécialistes nés ces dernières années, qui combinent contrat et outillage : Stoïk se présente aux courtiers comme l'alliance d'une assurance et d'une plateforme de prévention, avec Tokio Marine HCC, Swiss Re et Axeria IARD comme assureurs partenaires ; Dattak occupe le même créneau. Et derrière, les réassureurs et le marché de Londres, d'où viennent les clauses d'exclusion vues plus haut. Je cite ces noms comme des exemples, sans classement : le bon contrat dépend de votre secteur, de votre taille et de vos exclusions, et cette comparaison est le travail d'un courtier.

own2pwn n'est pas dans cette liste et n'y sera pas. Une société unipersonnelle de test d'intrusion n'a ni l'agrément ni la vocation à distribuer de l'assurance, et je préfère que le rapport de pentest reste indépendant de celui qui vend le contrat. Ce que je fournis se limite à la preuve technique, c'est-à-dire le test lui-même, le rapport écrit, le retest après correction et l'historique de ce que vous exposez sur Internet.

À retenir

• Une assurance cyber risques empile quatre garanties (frais de réponse, pertes d'exploitation, RC souvent en option, cyber-extorsion) : comparez les plafonds, pas les primes.
• Depuis le 24 avril 2023, l'article L. 12-10-1 du code des assurances subordonne toute indemnité liée à une atteinte à un système d'information au dépôt de plainte sous 72 heures. Pas seulement la rançon.
• Trois exclusions à lire ligne à ligne : l'attaque d'origine étatique (bulletin Lloyd's Y5381), la mesure déclarée mais absente (articles L. 113-8 et L. 113-9), et les amendes administratives.
• Le questionnaire attend cinq contrôles : MFA, sauvegardes déconnectées testées, EDR sur postes et serveurs, correctifs avec délais, PRA exercé. Répondez "oui, sauf", avec preuves datées.
• LUCY 2026 (AMRAE) : 306 M€ de primes en 2025, sinistres en hausse de 53 % et multipliés par quatre sur les ETI.
• Un pentest ou un EASM ne font pas baisser la prime ; ils fournissent la seule preuve du dossier qui ne repose pas sur votre parole.

Vous préparez une souscription ou un renouvellement et votre dossier ne contient que des politiques ? Un test d'intrusion web en boîte noire avec rapport et retest y ajoute la seule pièce datée que le questionnaire ne sait pas produire. Le périmètre se définit avec vous et la réponse arrive sous 24 h ouvrées. Quant au contrat que vous signerez ensuite, je ne touche rien dessus, et c'est très bien ainsi.

Questions fréquentes sur l'assurance cyber risques