Rançongiciel et assurance cyber : la justice rappelle les limites de la garantie en cas de litige client

Un éditeur de logiciels français, touché par un rançongiciel, a demandé à son assurance cyber de prendre en charge l’indemnisation de ses clients. L’assureur a refusé, et le litige a été tranché par la justice. L’affaire met un projecteur concret sur ce que couvre, et ne couvre pas, un contrat de cyber-risque d’entreprise.

Quand une entreprise subit une attaque, la priorité est de remettre les systèmes en route, limiter les pertes et rassurer les clients. Mais une deuxième crise arrive souvent juste après, la crise contractuelle. Qui paie quoi, et à quelles conditions? Dans cette affaire relayée par Clubic, la question se cristallise autour d’un point sensible, la prise en charge par l’assureur des conséquences commerciales et juridiques d’un incident de sécurité.

Pour beaucoup de dirigeants, l’assurance cyber est perçue comme un filet de sécurité. Or, dans la pratique, ce filet dépend de clauses précises, de délais à respecter et de la façon dont l’événement est qualifié, incident technique, faute d’un prestataire, ou responsabilité vis-à-vis des clients. Résultat: une même attaque peut déclencher une prise en charge partielle, ou au contraire un refus, selon le montage contractuel et les obligations déclaratives.

Un éditeur de logiciels, des clients à indemniser, un assureur qui refuse

L’affaire concerne un éditeur de logiciels français victime d’un ransomware, qui a ensuite réclamé l’activation de la garantie cyber de son assureur pour pouvoir indemniser ses clients affectés par l’attaque [SOURCE 3]. Le cœur du conflit ne porte pas uniquement sur la réalité de l’attaque, mais sur la nature exacte de ce que l’assurance devait couvrir dans ce contexte.

Dans les entreprises de services numériques et d’édition, la chaîne de responsabilités peut devenir très concrète. Si un logiciel est indisponible, si des données sont chiffrées, si un service client s’arrête, les clients demandent des comptes. Cela peut prendre la forme de demandes d’indemnisation, de pénalités contractuelles, ou de réclamations liées à l’interruption d’activité. Pour une PME, ce type de demandes peut peser lourd sur la trésorerie, même sans chiffre spectaculaire, parce qu’il faut payer vite, tout en gérant la remise en état.

Clubic indique que la justice a tranché ce litige de cyber-risque entre l’entreprise et son assureur [SOURCE 3]. Le dossier rappelle une réalité souvent sous-estimée, l’assurance cyber n’est pas une couverture tous risques des conséquences commerciales d’une attaque, mais un ensemble de garanties encadrées, avec des définitions et des exclusions.

Ce que la décision dit, et ce qu’elle oblige à relire dans les contrats

Le cas met en lumière une zone grise fréquente, la frontière entre dommages subis par l’assuré et dommages causés à des tiers. Dans un contrat cyber, certaines garanties visent l’entreprise elle-même, par exemple la gestion de crise, l’assistance technique, ou des pertes liées à l’arrêt des systèmes. D’autres garanties peuvent viser la responsabilité vis-à-vis des clients, mais elles sont encadrées et ne s’activent pas automatiquement dans tous les scénarios.

Dans l’article de Clubic, l’éditeur cherchait précisément à faire jouer la garantie pour indemniser ses clients [SOURCE 3]. Pour un dirigeant, l’enjeu est immédiat, si l’assureur refuse, l’entreprise doit soit absorber le coût, soit entrer dans une procédure contentieuse, au risque d’allonger le délai de résolution et d’abîmer la relation client.

Cette affaire incite à relire trois blocs de clauses, avant même l’incident. D’abord, la définition de ce qui constitue un sinistre cyber couvert, et les événements déclencheurs. Ensuite, les garanties responsabilité et la façon dont elles articulent la notion de réclamation client, de faute, et de préjudice. Enfin, les exclusions, qui peuvent viser des comportements, des manquements, ou des situations où l’événement est imputé à un tiers ou à une prestation non conforme.

Dans la pratique, ces clauses se traduisent par des décisions très concrètes, quel prestataire d’intervention peut être mandaté, à quel moment l’assureur doit être prévenu, quelle documentation doit être conservée, et comment l’entreprise doit communiquer. Le jour où l’attaque survient, ce sont ces détails qui déterminent si l’assurance devient un accélérateur de sortie de crise, ou un sujet de tension supplémentaire.

Plainte sous 72 heures: une condition qui change la gestion de crise

Au-delà de cette affaire, un point est devenu structurant dans les contrats cyber en France, la règle de plainte sous 72 heures pour être indemnisé, mise en avant dans un article explicatif sur la couverture en cas de rançongiciel [SOURCE 4]. Cette exigence a un impact direct sur l’organisation interne, parce qu’elle oblige à enclencher très vite la chaîne juridique + assurance + technique.

Dans une crise ransomware, les premières heures sont souvent consacrées à isoler les systèmes, comprendre l’étendue de la compromission, sécuriser les sauvegardes et décider s’il faut couper des services. Ajouter une contrainte de calendrier côté assurance signifie que l’entreprise doit aussi, en parallèle, préparer les éléments permettant de déposer plainte dans les temps. Résultat: la gestion de crise ne relève plus seulement de l’informatique, elle devient un pilotage transversal, avec la direction, le juridique, parfois la communication, et l’assureur.

Pour une PME, c’est aussi une question d’habitudes. Déposer plainte rapidement suppose de savoir où aller, quels éléments fournir, comment consigner les preuves et préserver les journaux techniques. Le réflexe on verra plus tard peut coûter cher, parce qu’il peut entraîner un refus d’indemnisation si la condition contractuelle n’est pas remplie [SOURCE 4]. Dans le quotidien, cela pousse à préparer des procédures simples, avec une liste de contacts et un kit de collecte d’éléments, plutôt que d’improviser le jour J.

Le rançongiciel, une attaque qui touche aussi les petites entreprises

Le rançongiciel n’est pas réservé aux grandes organisations. Un témoignage publié sur France Num décrit le scénario d’un dirigeant de fromagerie, confronté à une intrusion facilitée par un mot de passe lié au télétravail et par des failles de sécurité non corrigées, avant le déploiement d’un rançongiciel chiffrant les données et les sauvegardes en ligne [SOURCE 5]. Le récit illustre un point clé, les attaquants exploitent souvent des portes d’entrée banales, pas des techniques hollywoodiennes.

France Num rappelle aussi que les attaques par rançongiciel font partie des motifs de recherche d’assistance des professionnels sur Cybermalveillance.gouv.fr, et qu’elles touchent tous types d’entreprises, y compris les plus modestes [SOURCE 5]. Pour le quotidien d’une petite structure, l’impact est immédiat, plus de facturation, plus de planning, plus d’accès aux dossiers clients. Même quand la production n’est pas industrielle, l’entreprise devient rapidement aveugle et muette.

Dans ce contexte, l’assurance cyber est souvent attendue sur deux plans. D’un côté, l’aide opérationnelle, experts, remédiation, accompagnement. De l’autre, l’atterrissage financier, pertes d’exploitation, frais supplémentaires, voire conséquences vis-à-vis des clients. L’affaire rapportée par Clubic rappelle que ce deuxième volet dépend fortement de la qualification juridique des demandes clients et de la lecture des garanties [SOURCE 3].

Résultat: avant de signer, une entreprise a intérêt à faire jouer un exercice simple, imaginer une semaine sans SI, puis répondre à trois questions pratiques. Qui doit être indemnisé, clients, partenaires, sous-traitants? Quelles preuves seront demandées, journaux, contrats, chronologie? Et quelles actions doivent être réalisées dans un délai court, déclaration, plainte, information des parties prenantes? Cette préparation ne supprime pas le risque, mais elle réduit la probabilité d’un deuxième choc, le choc du refus de garantie, au pire moment.

Quand un prestataire est mis en cause, la responsabilité remonte la chaîne

Les litiges post-attaque ne s’arrêtent pas à l’assureur. Clubic évoque aussi un cas où une entreprise, victime d’un ransomware, a obtenu que VPE réponde de ses actes devant la justice, avec une dimension de responsabilité d’un prestataire informatique [SOURCE 2]. Ce type de configuration est fréquent, parce que beaucoup de PME externalisent l’infogérance, la sauvegarde, la sécurité ou l’hébergement.

Au quotidien, cela change la façon de contractualiser. Si un prestataire gère les mises à jour, la supervision ou la sauvegarde, l’entreprise doit pouvoir démontrer qui faisait quoi, et selon quel niveau d’engagement. Sans cela, la discussion tourne vite à la parole contre la parole, au moment où il faut aller vite pour rétablir le service.

Dans une crise cyber, l’assureur peut aussi chercher à comprendre si l’événement relève d’une défaillance interne, d’un manquement contractuel d’un tiers, ou d’un acte externe imprévisible. Cette analyse peut influencer la prise en charge, mais aussi les recours possibles. Pour une entreprise, l’enjeu est de ne pas découvrir après l’attaque que les responsabilités sont mal réparties, ou que les preuves de bonne exécution ne sont pas conservées.

Le débat dépasse le seul cas judiciaire. Il renvoie à une question simple, dans l’économie des abonnements logiciels et des services managés, qui porte le risque opérationnel, et qui porte le risque juridique? La réponse se trouve rarement dans une promesse commerciale, elle est écrite dans les contrats, les annexes de sécurité, les procédures de déclaration, et les clauses d’assurance.