Assurance cyber risques : 8 exclusions à connaître

1. En résumé

• ➜ L’assurance cyber ne couvre pas les sinistres liés à des failles connues, à une négligence manifeste ou à un défaut de prévention, l’entreprise devant prouver sa vigilance et la mise en œuvre de bonnes pratiques de sécurité.
• ➜ Les attaques d’origine étatique, terroriste ou assimilées à des actes de guerre sont exclues, car elles relèvent de risques systémiques dépassant les capacités financières des assureurs.
• ➜ Les dommages matériels et corporels consécutifs à une cyberattaque ne sont pas indemnisés : l’assurance cyber se limite aux pertes immatérielles et économiques.
• ➜ Les coûts d’amélioration ou de mise à niveau du système après un sinistre ne sont pas pris en charge, l’assurance ne compensant que la remise en état à l’identique.
• ➜ Les pertes de réputation, les amendes administratives et les sanctions réglementaires sont généralement exclues, bien que certains contrats prévoient des options limitées pour la gestion de crise ou les frais de défense.

2. Les failles connues ou négligées

C’est l’une des exclusions les plus systématiques dans les contrats d’assurance cyber. L’assureur ne couvre pas les sinistres dont la cause était connue avant la souscription ou qui découle d’une négligence manifeste dans la gestion du système d’information. Concrètement, cela signifie que si une entreprise a laissé persister une vulnérabilité dont elle avait connaissance, elle ne pourra pas prétendre à une indemnisation.

Prenons un exemple simple : un logiciel de comptabilité utilisé au quotidien présente une faille de sécurité signalée par l’éditeur. L’entreprise est informée de la nécessité d’effectuer une mise à jour, mais elle repousse l’opération pendant plusieurs semaines. Si, entre-temps, un pirate exploite cette faille pour s’introduire dans le réseau, l’assureur considérera qu’il s’agit d’un manquement à l’obligation de prévention et refusera de prendre en charge les pertes.

Les polices d’assurance cyber comportent souvent une clause de « connaissance préalable » : l’assuré doit déclarer tout incident, tentative d’intrusion ou vulnérabilité identifiée avant la signature du contrat. En cas d’omission, l’assureur peut invoquer la mauvaise foi ou le défaut d’information pour annuler la garantie.

Cette exclusion vise à responsabiliser les entreprises. L’assurance ne remplace pas la vigilance : elle intervient lorsque l’incident est imprévisible et indépendant d’une faute évitable. C’est pourquoi la plupart des assureurs exigent la mise en place de bonnes pratiques : correctifs réguliers, supervision des accès, sauvegardes testées, politique de mots de passe, authentification à double facteur.

👉 L’assurance cyber ne couvre pas la négligence ; elle récompense la prévention. Les entreprises qui investissent dans la sécurité de leurs systèmes réduisent à la fois le risque d’incident et le risque de refus d’indemnisation. Toutefois, l’appréciation d’une « négligence manifeste » dépendra toujours du contrat et des circonstances précises du sinistre.

3. Les cyberattaques d’origine étatique ou terroriste

La plupart des contrats d’assurance cyber excluent les sinistres liés à des actes de guerre, de terrorisme ou à des cyberattaques attribuées à des États, sauf mention contraire expresse dans les conditions particulières. Ces événements sont classés parmi les « risques systémiques » : leur ampleur, leur portée géopolitique et leur caractère potentiellement coordonné dépassent la capacité financière d’un assureur à les couvrir. Certains assureurs prévoient toutefois des clauses d’interprétation plus souples lorsque l’origine étatique n’est pas formellement établie.

Lorsqu’une cyberattaque est menée ou soutenue par un État, elle ne vise pas un acteur économique isolé mais un ensemble d’infrastructures stratégiques : institutions publiques, banques, réseaux d’énergie, télécommunications. Les dommages peuvent être massifs, simultanés et difficiles à circonscrire. C’est précisément cette dimension collective et incontrôlable qui rend leur couverture impossible dans le cadre d’un contrat commercial classique.

Ainsi, si une entreprise privée subit une attaque provenant d’un groupe de pirates officiellement lié à un gouvernement, l’assureur peut invoquer la clause d’exclusion pour refuser toute indemnisation. Même lorsque l’attribution n’est pas formellement prouvée, il suffit souvent d’un rapport d’expert ou d’une déclaration officielle des autorités pour que l’assureur s’appuie sur cette hypothèse.

Cette exclusion ne découle pas d’un manque de bonne volonté des assureurs, mais d’une logique de viabilité économique : aucun acteur privé ne peut absorber les conséquences d’une guerre numérique mondiale. En revanche, certains États réfléchissent à des mécanismes de garantie publique ou de fonds mutualisés pour faire face à ces cyber-risques majeurs.

👉 Cela rappelle aux entreprises que l’assurance cyber n’est pas une protection absolue contre toutes les formes de cyber-menaces. Elle couvre les incidents relevant de la criminalité numérique « classique » - ransomware, vol de données, fraude - mais pas les attaques qui s’inscrivent dans un conflit géopolitique. D’où l’importance d’une stratégie de résilience interne : sauvegardes déconnectées, redondance des systèmes critiques et plan de continuité d’activité capable de fonctionner sans soutien extérieur.

4. Les dommages matériels ou corporels

L’assurance cyber a pour vocation de protéger les actifs immatériels d’une entreprise : ses données, ses logiciels, ses systèmes informatiques et les conséquences économiques d’une attaque. Quelques contrats incluent néanmoins des extensions permettant d’indemniser certains dommages matériels directement causés par un acte cyber, mais ces cas demeurent minoritaires.

Elle intervient lorsqu’un incident numérique provoque une perte d’exploitation, un vol de données sensibles ou des frais de restauration des systèmes. En revanche, elle n’a pas pour objet de couvrir les dommages physiques ou dommages corporels pouvant découler indirectement d’un acte cybermalveillant.

Concrètement, si une cyberattaque entraîne la panne d’un serveur, l’altération d’un poste de travail ou même l’incendie d’un matériel électronique, ces dégâts matériels ne relèvent pas de la garantie cyber. Ils sont pris en charge par une assurance multirisque professionnelle, à condition que le contrat de cette dernière le prévoie explicitement. De même, si une attaque compromet un système industriel et provoque un accident blessant un salarié, l’indemnisation relèvera de la responsabilité civile ou de la couverture accidents du travail, mais pas du contrat cyber.

Cette distinction découle du cœur de métier de l’assurance cyber : elle protège contre les conséquences immatérielles et numériques, non contre les atteintes au monde physique. Les sinistres liés à des dommages corporels ou matériels sont gérés dans des cadres juridiques et financiers différents, avec des expertises spécifiques et des plafonds d’indemnisation souvent plus élevés.

👉 Il est essentiel pour une entreprise d’adopter une approche globale : combiner son assurance cyber avec une RC Pro et une multirisque professionnelle solides. Cette complémentarité garantit une couverture complète, aussi bien pour les pertes numériques que pour les conséquences physiques éventuelles d’une attaque.

5. Les mises à niveau et améliorations après sinistre

L’assurance cyber a pour rôle de remettre l’entreprise dans la situation où elle se trouvait avant l’incident, pas de financer une modernisation de son système d’information. Autrement dit, elle couvre la remise en état et non l’amélioration. Cette distinction, souvent méconnue, est essentielle pour comprendre pourquoi certaines dépenses post-sinistre ne sont pas indemnisées.

Prenons un exemple concret : une PME subit une attaque par rançongiciel. L’assureur prendra en charge les frais de restauration, la réinstallation des programmes existants et, éventuellement, le remplacement du matériel endommagé à l’identique. En revanche, si l’entreprise décide de profiter de cet incident pour acquérir un serveur plus puissant, adopter un nouveau système de gestion ou renforcer son infrastructure de cybersécurité, la différence de coût restera à sa charge.

Cette exclusion repose sur un principe simple : l’assurance ne doit pas enrichir l’assuré, mais seulement compenser une perte Les dépenses engagées pour améliorer les équipements ou mettre à niveau les outils sont considérées comme des investissements de prévention, non comme des réparations.

👉 Certains contrats prévoient une « garantie de réinvestissement sécurité » permettant de couvrir une partie des dépenses engagées pour renforcer la cybersécurité après un sinistre, dans la limite d’un plafond fixé. En résumé, l’assurance cyber répare le passé, elle ne finance pas le futur.

7. Le non-respect des obligations de sécurité

Les compagnies d’assurance cyber exigent désormais que les entreprises adoptent un socle minimal de bonnes pratiques avant et pendant la durée du contrat. L’objectif est clair : garantir que l’assuré ne devienne pas lui-même le maillon faible de sa propre protection.

La plupart des contrats mentionnent des obligations précises : mise à jour régulière des logiciels, activation du pare-feu, sauvegardes testées, authentification multifactorielle, politique de mots de passe robustes et plan de continuité d’activité.

En cas de sinistre, l’assureur peut vérifier si ces conditions étaient bien respectées au moment de l’attaque. Si une faille provient d’un poste non mis à jour ou d’un mot de passe compromis, l’indemnisation peut être réduite, suspendue ou refusée. Ce type de clause repose sur un principe fondamental du droit des assurances : la garantie n’a de sens que si l’assuré prend lui-même toutes les mesures raisonnables pour prévenir le risque.

👉 L’assurance cyber n’est pas un substitut à la sécurité informatique : elle en est le prolongement. Un contrat ne protège efficacement que s’il repose sur une hygiène numérique constante, entretenue par des mises à jour, des audits et une vigilance de tous les instants.

8. Les pertes indirectes et l’atteinte à la réputation

Lorsqu’une entreprise subit une cyberattaque, les impacts dépassent souvent les simples pertes techniques ou financières immédiates. La fuite de données, la paralysie des systèmes ou la médiatisation de l’incident peuvent gravement entacher l’image de marque et affaiblir la confiance des partenaires. Pourtant, ces dommages indirects ne sont pas systématiquement couverts par les contrats d’assurance cyber.

La plupart des polices se concentrent sur les conséquences directement mesurables: restauration des données, frais d’expertise, perte d’exploitation liée à l’interruption de service. En revanche, les effets différés - perte de chiffre d’affaires liée à une réputation dégradée ou départ d’un gros client - sont souvent exclus ou plafonnés.

Certaines compagnies proposent toutefois des extensions de garantie pour inclure les frais de gestion de crise : accompagnement en communication, conseil en relations publiques, assistance juridique et notification des personnes concernées. Ces options visent à limiter l’impact médiatique et à restaurer la confiance du public, mais elles demeurent des modules additionnels soumis à un plafond d’indemnisation spécifique.

9. Les amendes et sanctions administratives

Les amendes et sanctions administratives constituent une exclusion classique des assurances cyber. Lorsqu’une autorité de régulation inflige une pénalité financière à une entreprise pour manquement à la protection des données, cette sanction ne peut pas être prise en charge par une assurance. En revanche, les contrats cyber peuvent inclure la prise en charge des frais de défense : honoraires d’avocats, coûts d’expertise et accompagnement lors d’un contrôle.

👉 Si l’assurance ne peut pas payer l’amende elle-même, elle peut financer tout ce qui permet de gérer la procédure et de réduire les risques juridiques. Cette interdiction découle de l’article L.113-1 du Code des assurances, qui exclut la couverture des sanctions pénales ou administratives.