Assurance contre les atteintes au système d’information

Le marché porte sur l’assurance des atteintes au système d’information et de leurs conséquences. L’offre doit préciser les garanties et frais couverts ainsi que les éventuelles réserves. Elle doit comprendre la responsabilité civile et la prise en charge des pertes et frais faisant suite à une malveillance informatique ; les deux garanties principales ne peuvent être inférieures à 500 000 €. La franchise proposée ne peut dépasser plus de deux fois celle demandée.

Dommages subis et données personnelles (A.1 et A.2). Les événements visés comprennent notamment l’atteinte à la sécurité du système, l’indisponibilité temporaire totale ou partielle, y compris par déni de service ou cyber-extorsion, le sabotage, les virus et programmes malveillants, l’usage frauduleux du système, ainsi que les erreurs, omissions ou négligences d’un préposé ou prestataire. Les frais prévus incluent la restauration des données, le monitoring, l’assistance téléphonique, la veille internet, la décontamination virale, les frais supplémentaires d’exploitation et pertes d’exploitation, le secours et les sauvegardes informatiques, les investigations, expertises, traductions et déplacements, le rachat de matériel ou logiciels et, selon l’offre, le paiement ou remboursement d’une rançon. Sont également visés l’atteinte ou le vol de données personnelles ou confidentielles, les coûts de notification et les amendes administratives.

Responsabilité civile cyber (A.3). Couverture des conséquences pécuniaires de dommages immatériels non consécutifs causés à des tiers, notamment par une atteinte au système ou aux données, un virus transmis depuis le système assuré, un vol de données personnelles, un manquement de notification ou la publication de contenus portant atteinte aux droits ou à la réputation d’un tiers. Les frais d’expertise, de notification, d’assistance informatique et de monitoring sont prévus parmi les postes concernés.

Fraude informatique (A.4, réponse facultative). Cette garantie supplémentaire peut couvrir le vol, l’extorsion ou le chantage, l’escroquerie, l’abus de confiance, les biens ou fonds détournés et le faux ou usage de faux, ainsi que les frais d’expertise et d’assistance informatique.

Plafonds et franchises demandés

Les montants sont exprimés par année d’assurance ; lorsqu’un même événement entraîne plusieurs dommages garantis, la franchise la plus élevée s’applique.

• Garanties A.1 et A.2 : 1 000 000 €, franchise de 5 000 € ; paiement direct ou remboursement de rançon limité à 50 % du montant de garantie, franchise de 5 000 € ; surfacturation de téléphonie, connexion internet ou services cloud plafonnée à 100 000 €, franchise de 5 000 €.
• Garantie A.3 : 1 000 000 €, franchise de 5 000 €.
• Garantie A.4 facultative : 250 000 €, franchise de 5 000 €.
• Pour l’ensemble des garanties : honoraires d’experts et conseils désignés par l’assuré plafonnés à 50 000 € (franchise de 50 000 €) ; frais de défense, consultation juridique et recours plafonnés à 50 000 € (franchise de 50 000 €) ; relations publiques, gestion de crise et atteinte médiatique plafonnées à 50 000 € (franchise de 50 000 €).

Les frais de recours contre les auteurs, de défense de l’assuré et de gestion de crise figurent également parmi les frais susceptibles d’être garantis. L’offre précise les garanties accordées et les limites ou réserves associées.

Assistance, gestion et sinistres

Une assistance en cas de sinistre doit être accessible 24 h/24. L’offre renseigne également si l’assistance est disponible en cas de refus de garantie ou de levée de doute sans sinistre. Le titulaire organise une réunion de mise en place pour présenter les prérequis et points de vigilance susceptibles de conditionner les garanties. La fiche de gestion demande de préciser l’interlocuteur technique dédié, les actions de prévention, les profils et compétences de l’assistance, ainsi que les accompagnements technique et juridique en cas de sinistre. Elle demande notamment si les réponses sur l’avancement des sinistres sont apportées sous 72 heures ouvrées et si les rapports d’expertise désignée par l’assureur sont transmis au souscripteur.

Pour les garanties dommages, les événements doivent être découverts et déclarés pendant la période de garantie ; un délai supplémentaire de 90 jours après son expiration est prévu pour déclarer les événements découverts pendant cette période. Pour la responsabilité civile, la garantie prend effet avec reprise du passé inconnu, selon le régime de la réclamation, avec une garantie subséquente de 5 ans.

Sont notamment exclus les dommages aux matériels composant le système d’information, ceux liés à l’utilisation consciente de programmes illégaux ou sans licence (les logiciels sous licence libre restent garantis), et les dommages résultant de faits antérieurs de malveillance, espionnage économique ou industriel, détournement ou fraude connus de l’assuré. Les dommages de terrorisme ou d’attentat sont exclus, à l’exception de ceux causés par le cyberterrorisme.