Assurer le risque cyber : quels enjeux ?

Publié le 23/05/2018

La question pour une entreprise n’est plus aujourd’hui de savoir si elle va être ou non confrontée au cyber risque. Elle l’est d’ores et déjà. Et les conséquences de ce risque ont pris une telle ampleur que sa gestion n’est plus un sujet technique relevant des seules directions informatiques. Il est devenu un enjeu de gouvernance.

Le législateur s’est emparé du sujet. Ainsi, la loi informatique et liberté de 1978 et celle de programmation militaire pour la période 2014-2019 avaient déjà introduit des obligations, tant en matière de sécurité que de protection des données personnelles.

L’entrée en vigueur, en mai 2018, du régime de responsabilité issu du règlement européen sur la protection des données personnelles (RGDP) et de la directive sur la sécurité des réseaux et des systèmes d’information (NIS – Network and Information Security) viendront compléter et renforcer cet arsenal juridique.

En France, et plus généralement en Europe, le marché de l’assurance cyber progresse mais demeure embryonnaire : l’Europe représente moins de 10 % du marché mondial de l’assurance cyber. Le développement de ce marché ne dépendra pas uniquement d’une demande accrue mais aussi d’une amélioration de l’offre.

Les défis que doivent relever les assureurs face à ce nouveau risque sont nombreux.

Il y a d’abord celui d’évaluer le niveau de vulnérabilité d’une entreprise. Cette vulnérabilité ne dépend pas seulement de son action propre, mais aussi de son environnement (sous-traitants, chaînes d’approvisionnements, clients, etc.) qui peut être source d’infection.

S’ajoute à cette difficulté, la réticence de beaucoup d’entreprises à partager avec leur assureur l’ensemble des informations stratégiques et confidentielles ou relatives au niveau de résilience de leur système d’information. Or celles-ci sont indispensables pour apprécier le risque à la souscription, mais également pour indemniser au mieux après un sinistre.

Par ailleurs, le risque cyber est en continuelle mutation. Il évolue au rythme des technologies des systèmes informatiques et électroniques, mais aussi des capacités techniques des individus et des organisations dédiées à la cyber-malveillance. Autant de facteurs qui limitent la valeur prédictive des incidents passés et imposent de bâtir des scenarios prospectifs et disruptifs.

Dans ce contexte de risques et de contraintes réglementaires, les assureurs sont amenés à assumer un rôle élargi d’accompagnement des entreprises.

Pour un transfert rationnel et éclairé du risque cyber vers l’assurance, la commission cyber risque du Club des juristes a rédigé dix préconisations pour mieux assurer le risque cyber :

– À l’attention des assureurs et des gestionnaires de risques, pour accélérer le développement d’une culture du risque cyber, expliquer le contenu des couvertures, renforcer le dialogue et la confiance avec les assurés ;

– À l’attention des assureurs, réassureurs, de l’ANSSI et de la Cnil, afin de développer un cadre homogène de sécurité numérique, de mutualiser la connaissance des incidents cyber, de mieux appréhender les expositions aux risques et leurs cumuls ;

– À l’attention des instances européennes, pour définir un ensemble de normes techniques facilitant l’évaluation du niveau de sécurité cyber des entreprises et pour établir les conditions d’une concurrence équitable entre les assureurs cyber ;

– À l’attention des pouvoirs publics et des investisseurs, pour orienter l’investissement public et privé vers l’émergence d’une filière d’excellence en cyber technologie.

LPA 23 Mai. 2018, n° 136q3, p.2

Référence : LPA 23 Mai. 2018, n° 136q3, p.2

Plan