Indemnisation par les cyber-assurances : le CESIN réagit au nouveau cadre réglementaire

Le contexte

Suite au rapport de la Direction Générale du Trésor sur le risque cyber et le développement des assurances, le ministère de l’Économie et des Finances propose un cadre réglementaire : obliger les assureurs à indemniser les entreprises victimes d‘attaques par ransomware, lorsque celles-ci paient la rançon demandée.

Les débats …

Les professionnels de la cybersécurité des entreprises réagissent vivement suite à ce projet qui conditionne l’indemnisation à l’obligation pour les victimes de déposer une plainte.

Selon le dernier baromètre (OpinionWay & CESIN), les attaques par ransomware touchent 1 entreprise sur 5. Un type d’attaque en augmentation qui impacte le marché de l’assurance cyber. Par ailleurs, 69% des répondants au baromètre 2022 affirment avoir souscrit une cyber-assurance.

Les premiers bilans révèlent un moindre taux de satisfaction pour ceux qui ont eu recours à l’assurance : plus d’une entreprise sur 10 qui hésite à renouveler son contrat.

Quelques questionnements légitimes

Actuellement :

• seules 50% des entreprises ayant subi une attaque ont porté plainte (baromètre CESIN)

Cette annonce soulève de nombreuses questions et réflexions :

• le risque d’encourager le cybercrime
• les pressions que pourraient exercer les assureurs auprès des clients pour payer la rançon si celle-ci s’avère moins élevée que les coûts de remédiation
• les risques accrus de récidive pour l’entreprise quand celle-ci a été estampillée « bon payeur » par la communauté des cybercriminels
• la propagation d’intermédiaires indélicats pour négocier avec les criminels…

Quelle est la réponse des membres du CESIN sur ces dispositions réglementaires ?

• 82% des 249 répondants se positionnent contre

La sensibilisation au risque cyber

Certains dirigeants de PME-PMI, n’ayant pas suffisamment anticipé le risque cyber, sont tentés de payer les rançons pour récupérer l’accès aux données. Or, le dirigeant de PME/PMI doit être sensibilisé au risque cyber et formé à appliquer des mesures essentielles pour protéger les biens immatériels de son entreprise.

Dans ce cas, la cyber-assurance devient un dispositif complémentaire aux mesures de sécurité et le paiement des rançons ne serait plus un sujet.

Côté grandes entreprises, « au regard de l’inflation des primes d’assurance et de la réduction de la couverture, la tendance est au questionnement, voire au désengagement vis-à-vis du dispositif assurantiel ».

Le CESIN est disposé à travailler avec les parlementaires et les cyber-assureurs pour avancer positivement sur ce marché.

A propos du CESIN : Le CESIN (Club des Experts de la Sécurité de l’Information et du Numérique) est une association loi 1901, créée en juillet 2012, avec des objectifs de professionnalisation, de promotion et de partage autour de la sécurité de l’information et du numérique.