L’article en bref
- Pour les professionnels, l’indemnisation des pertes causées par une cyberattaque suppose un dépôt de plainte dans les 72 heures suivant la découverte des faits (article L. 12-10-1 du Code des assurances).
- Ce délai de 72 heures ne se confond pas avec celui de la notification à la CNIL, qui obéit à l’article 33 du RGPD et poursuit un autre objet.
- Un assureur ne peut opposer que des exclusions « formelles et limitées », écrites dans la police (article L. 113-1 du Code des assurances).
- Les refus d’indemnisation s’appuient le plus souvent sur la plainte tardive, une déclaration du risque jugée inexacte, une exclusion de garantie ou un lien de causalité contesté.
- Un refus n’est pas la fin du dossier : relecture de la police, discussion contradictoire, médiation puis action judiciaire restent ouvertes.
- Les actions dérivant du contrat d’assurance se prescrivent en principe par deux ans (article L. 114-1 du Code des assurances) : le temps joue contre l’assuré.
L’assurance cyber couvre les conséquences financières d’une attaque informatique : frais de gestion de l’incident, pertes d’exploitation, responsabilité envers les tiers. Mais l’indemnisation n’a rien d’automatique. Depuis la loi LOPMI du 24 janvier 2023, les professionnels doivent déposer plainte dans les 72 heures pour conserver leur droit à indemnisation des pertes liées à l’attaque. Et les polices contiennent des exclusions que l’assureur ne peut invoquer que si elles sont formelles et limitées. Cet article passe en revue les garanties, les conditions légales et les recours en cas de refus. Chaque situation est particulière.
Que couvre réellement une assurance cyber ?
Les polices cyber du marché combinent généralement trois blocs. Le premier finance la réponse à l’incident : investigation technique, restauration des systèmes, frais juridiques et de notification, communication de crise. Le deuxième indemnise les dommages subis par l’entreprise elle-même, au premier rang desquels la perte d’exploitation liée à l’interruption d’activité. Le troisième couvre la responsabilité civile de l’assuré envers les tiers, par exemple ses clients dont les données ont été compromises.
Le périmètre exact varie fortement d’un contrat à l’autre. Certaines polices garantissent le paiement d’une rançon, d’autres l’excluent. Certaines plafonnent la perte d’exploitation à quelques jours d’arrêt, d’autres l’étendent aux atteintes subies par un prestataire cloud. La lecture du contrat, clause par clause, précède toute autre démarche. Notre équipe le fait en amont, au moment de la souscription, ou en aval, quand le sinistre est déjà là. Pour une vision d’ensemble du risque, consultez notre page avocat cybersécurité.
La plainte dans les 72 heures : la condition posée par la loi
Ce que dit l’article L. 12-10-1 du Code des assurances
Issu de la loi n° 2023-22 du 24 janvier 2023 (LOPMI), l’article L. 12-10-1 du Code des assurances subordonne le versement d’une indemnité couvrant les pertes causées par une atteinte à un système de traitement automatisé de données (articles 323-1 à 323-3-1 du Code pénal) à une condition : le dépôt de plainte de la victime au plus tard 72 heures après la connaissance de l’atteinte. Sans plainte dans ce délai, l’assureur peut refuser d’indemniser les pertes couvertes par cette clause.
Le point de départ n’est pas la date de l’attaque, souvent antérieure de plusieurs semaines, mais celle de sa découverte par la victime. En pratique, la plainte doit donc entrer dans les tout premiers réflexes, avant même la restauration des systèmes. Nous détaillons cet enchaînement dans notre guide cyberattaque : que faire dans les premières heures.
Qui est concerné par cette condition
L’article L. 12-10-1 ne vise que les personnes morales et les professionnels agissant dans le cadre de leur activité. Un particulier victime d’un piratage n’a pas à respecter ce délai pour être indemnisé par son assurance. La condition ne s’applique par ailleurs qu’aux pertes causées par l’atteinte au système : les autres garanties du contrat obéissent à leurs propres stipulations.
72 heures assurance, 72 heures CNIL : deux délais distincts
La confusion est fréquente et coûteuse. Le délai de 72 heures de l’article L. 12-10-1 conditionne l’indemnisation d’assurance et court à compter de la connaissance de l’atteinte. Celui de l’article 33 du RGPD concerne la notification d’une violation de données personnelles à la CNIL, court à compter de la prise de connaissance de la violation et n’est dû que si elle présente un risque pour les personnes. Une attaque peut déclencher l’un sans l’autre. Sur ce second volet, voyez notre page avocat violation de données personnelles.
Exclusions de garantie : ce que l’assureur peut écarter
L’article L. 113-1 du Code des assurances pose la règle : les pertes et dommages sont à la charge de l’assureur, sauf exclusion « formelle et limitée » contenue dans la police. Une clause d’exclusion vague, sujette à interprétation, ou si large qu’elle vide la garantie de sa substance, peut être écartée par le juge. Le même texte exclut de toute garantie les pertes provenant d’une faute intentionnelle ou dolosive de l’assuré.
Dans les polices cyber, les exclusions les plus discutées portent sur les attaques attribuées à un État ou assimilées à des faits de guerre, sur les systèmes non maintenus ou non mis à jour, sur les paiements de rançon et sur les défaillances de prestataires externes. Chacune de ces clauses se juge à l’aune du critère légal : est-elle précise, et laisse-t-elle subsister une garantie réelle ? C’est souvent sur ce terrain que se gagne la contestation d’un refus.
Sur la question spécifique de la rançon, aucun texte français n’interdit son paiement en tant que tel ; l’assurabilité obéit aux conditions de la LOPMI et aux stipulations du contrat. Notre article ransomware : faut-il payer la rançon ? détaille ce cadre.
Refus d’indemnisation : les motifs les plus fréquents
Quatre familles de motifs reviennent dans les dossiers que traitent les assureurs cyber.
La plainte tardive, d’abord : passé les 72 heures de l’article L. 12-10-1, l’assureur oppose la déchéance du droit à indemnisation des pertes. La discussion se déplace alors sur la date réelle de connaissance de l’atteinte, qui se prouve par tout moyen : alertes internes, rapports des équipes techniques, journaux systèmes.
La déclaration du risque, ensuite. Au moment de la souscription, l’entreprise répond à un questionnaire sur son niveau de sécurité : sauvegardes, authentification multifacteur, plan de continuité. Si la réalité s’écarte des réponses données, l’assureur peut invoquer une fausse déclaration pour réduire l’indemnité ou contester la garantie. La sincérité des réponses au questionnaire est donc un enjeu juridique, pas seulement technique.
L’exclusion de garantie, troisième terrain : l’assureur rattache le sinistre à une clause d’exclusion. La riposte consiste à confronter la clause aux exigences de l’article L. 113-1 : formelle, limitée, et interprétée strictement.
Le quantum et le lien de causalité, enfin. La perte d’exploitation se calcule à partir de données comptables que l’assureur discute volontiers : quelle part de la baisse d’activité provient de l’attaque, quelle part d’autres facteurs ? La démonstration s’appuie sur une reconstitution chiffrée, souvent contradictoire, avec l’appui d’un expert.
Contester un refus : la démarche
La première étape est une relecture juridique complète de la police : conditions générales, conditions particulières, avenants, questionnaire de souscription. Beaucoup de refus reposent sur une lecture extensive d’une clause qui ne résiste pas à l’analyse. La deuxième étape est un échange contradictoire écrit avec l’assureur, pièces à l’appui : chronologie de la découverte, preuve du dépôt de plainte, éléments comptables.
Si le désaccord persiste, la Médiation de l’assurance peut être saisie gratuitement après réclamation écrite restée infructueuse. L’action judiciaire reste ouverte à tout moment, avec un point d’attention : les actions dérivant du contrat d’assurance se prescrivent en principe par deux ans à compter de l’événement qui y donne naissance (article L. 114-1 du Code des assurances). Un dossier laissé en sommeil peut donc s’éteindre avant d’avoir été plaidé. Notre page avocat contentieux cyber présente ces actions, y compris contre les prestataires dont la défaillance a contribué au sinistre.
Ce que fait l’avocat, ce que fait l’expert
L’avocat n’audite pas vos pare-feux. Il analyse la police et le questionnaire de souscription, qualifie juridiquement le sinistre, sécurise la chronologie de la plainte et de la notification CNIL, conteste les exclusions mal rédigées et chiffre la réclamation avec votre expert-comptable ou un expert d’assuré. Il coordonne son action avec vos équipes et prestataires techniques, qui conservent la main sur l’investigation et la remédiation. En cas d’attaque en cours, notre page avocat cyberattaque entreprise décrit l’accompagnement d’urgence. Hashtag Avocats accompagne à Paris les dirigeants dans la négociation comme au contentieux, y compris lorsque l’attaque résulte d’une fraude au président.
Questions fréquentes sur l’assurance cyber
Le délai de plainte de 72 heures s’applique-t-il aux particuliers ?
Non. L’article L. 12-10-1 du Code des assurances réserve cette condition aux personnes morales et aux professionnels dans le cadre de leur activité. Un particulier victime d’un piratage reste indemnisable sans plainte préalable, selon les stipulations de son contrat.
Porter plainte dans les 72 heures suffit-il à être indemnisé ?
Non. La plainte est une condition nécessaire, pas suffisante. L’indemnisation dépend ensuite des garanties souscrites, des exclusions, des plafonds et franchises, et de la preuve du préjudice. La plainte tardive fait en revanche perdre le droit à indemnisation des pertes couvertes.
L’assureur peut-il refuser de couvrir le paiement d’une rançon ?
Oui, si la police l’exclut ou ne le prévoit pas. Lorsque la garantie existe, son versement obéit à la condition de plainte de l’article L. 12-10-1. Le paiement d’une rançon à une personne visée par les mesures restrictives européennes reste en toute hypothèse prohibé.
Que faire si l’assureur invoque une exclusion de garantie ?
Vérifier qu’elle est « formelle et limitée » au sens de l’article L. 113-1 du Code des assurances. Une clause imprécise, ou qui vide la garantie de sa substance, peut être écartée. L’analyse de la rédaction exacte de la clause est déterminante.
Combien de temps ai-je pour agir contre mon assureur ?
En principe deux ans à compter de l’événement qui donne naissance à l’action (article L. 114-1 du Code des assurances), sous réserve des causes d’interruption. Mieux vaut structurer la contestation sans attendre.
Sources officielles
- Article L. 12-10-1 du Code des assurances, plainte sous 72 heures et indemnisation des risques cyber (loi n° 2023-22 du 24 janvier 2023, LOPMI) – Légifrance
- Article L. 113-1 du Code des assurances, exclusions formelles et limitées, faute intentionnelle ou dolosive – Légifrance
- Article L. 114-1 du Code des assurances, prescription biennale des actions dérivant du contrat d’assurance – Légifrance
- Articles 323-1 à 323-3-1 du Code pénal, atteintes aux systèmes de traitement automatisé de données – Légifrance
- Articles 33 et 34 du règlement (UE) 2016/679 (RGPD), notification des violations de données – EUR-Lex
- Cybermalveillance.gouv.fr, fiche réflexe « Rançongiciels (ransomwares) », rappel de la plainte sous 72 heures – cybermalveillance.gouv.fr
Cet article présente l’état du droit à titre d’information générale. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée. Contenu conforme aux règles déontologiques de la profession d’avocat.
