Rançongiciel, l’assurance cyber refuse d’indemniser l’entreprise, la justice tranche, ce qui change pour vous

Un litige entre une entreprise victime d’un rançongiciel et son assureur met en lumière un point clé de la cyber-assurance: payer après une attaque n’a rien d’automatique. La justice a tranché sur la prise en charge, dans un dossier où l’assureur refusait d’indemniser.

L’affaire, rapportée par Clubic, part d’un scénario devenu classique: une organisation subit un chiffrement de ses systèmes, l’activité est perturbée, et la question du remboursement se pose, soit pour les coûts de remise en état, soit pour les pertes d’exploitation, soit pour des prestations d’urgence. Mais le contrat d’assurance cyber n’est pas une promesse générale de « retour à la normale »: il fonctionne comme un cahier des charges, avec des conditions, des exclusions, et une logique de preuve.

Dans ce type de contentieux, l’arbitrage judiciaire ne porte pas seulement sur l’attaque elle-même. Il porte sur la manière dont l’entreprise a déclaré l’incident, documenté les dommages, respecté les obligations contractuelles (mesures de sécurité, procédures, délais), et sur la façon dont l’assureur justifie son refus. La décision commentée par Clubic rappelle que le cyber-risque, dans les contrats, se traite comme un risque industriel: ce qui compte, ce sont les faits, les clauses et les preuves.

Ce que la décision dit du contrat d’assurance cyber

Le cœur du dossier tient à un désaccord sur l’application du contrat: l’entreprise estime que l’attaque déclenche la garantie, l’assureur soutient que les conditions ne sont pas réunies ou qu’une exclusion s’applique [SOURCE 1]. En clair, deux lectures s’opposent: « attaque = indemnisation » contre « attaque = indemnisation seulement si le contrat le prévoit et si les conditions sont respectées ».

Un contrat de cyber-assurance ressemble à une architecture en couches, comme un système informatique segmenté: une couche « événement déclencheur » (ce qui est couvert), une couche « prestations » (ce qui est remboursé), puis une couche « exclusions et obligations » (ce qui peut faire tomber la couverture). Sur le papier, la garantie peut paraître large, mais en pratique, l’indemnisation dépend d’un enchaînement précis: type d’attaque, nature des dommages, périmètre des frais, et conformité aux obligations.

Dans un litige, la discussion se cristallise souvent sur des notions concrètes: les délais de déclaration, la description exacte de l’incident, la traçabilité des décisions prises pendant la crise (arrêt de systèmes, restauration, recours à un prestataire), et l’origine des coûts. La justice vient alors jouer le rôle d’un « débogueur »: elle relit le contrat comme un programme, vérifie quelles conditions sont satisfaites, et détermine si le refus tient juridiquement.

Rançongiciel: la preuve devient un enjeu technique

Une attaque par rançongiciel produit des dégâts visibles, fichiers chiffrés, serveurs indisponibles, postes bloqués. Mais pour l’assurance, la visibilité ne suffit pas: il faut de la preuve structurée. C’est l’équivalent d’un incident de production dans une usine: constater l’arrêt ne dit pas encore ce qui l’a causé, ni quelles actions étaient attendues.

Traduction: l’entreprise doit souvent démontrer, pièces à l’appui, ce qui s’est passé, quand, sur quels systèmes, et quelles mesures ont été prises. Cela passe par des journaux d’événements (logs), des constats d’experts, des rapports de prestataires, des échanges de crise, et un inventaire clair des dépenses engagées. Dans un contentieux, ces éléments deviennent la colonne vertébrale du dossier: sans chronologie fiable, l’assureur peut contester le lien entre l’attaque et certaines dépenses, ou soutenir qu’une condition contractuelle n’a pas été respectée.

Ce point est souvent mal compris au moment de la souscription. Beaucoup d’organisations voient l’assurance comme une « caisse de secours ». Mais un contrat cyber ressemble plus à un protocole: il faut suivre la procédure, produire les bons artefacts, et éviter de casser la chaîne de preuve. Une cellule de crise cyber qui ne documente pas ses décisions se retrouve vite dans la situation d’un administrateur système qui redémarre un serveur sans sauvegarder les logs: l’incident est peut-être résolu, mais la démonstration devient fragile.

Pourquoi les assureurs refusent, et ce que la justice contrôle

Le refus d’indemnisation, dans ce type d’affaire, ne se résume pas à une posture de principe. Il s’appuie sur des arguments juridiques: exclusions, non-respect d’obligations, désaccord sur la qualification du sinistre, ou contestation du périmètre de prise en charge [SOURCE 1]. La justice ne « juge » pas le rançongiciel comme un fait divers, elle juge l’exécution d’un contrat.

On retrouve une logique comparable à celle des garanties matérielles en informatique: une panne peut être réelle, mais la prise en charge dépend des conditions, de l’usage, et des preuves. En cyber, l’assureur peut chercher à établir qu’une clause conditionnait la garantie à une mesure de sécurité, ou qu’un type de coût ne rentrait pas dans les postes couverts. De son côté, l’entreprise va soutenir que l’événement correspond bien au sinistre assuré et que les dépenses découlent directement de l’attaque.

Ce que la justice contrôle, c’est la cohérence de l’ensemble: le texte du contrat, les faits, et la manière dont chaque partie étaye ses affirmations. Dans les dossiers cyber, cette cohérence est souvent hybride: mi-juridique, mi-technique. Un détail d’architecture, un choix de restauration, ou une décision d’arrêt préventif peut devenir un point de droit, parce qu’il conditionne la réalité des dommages ou la causalité entre l’attaque et les pertes.

Ce que cette affaire change pour les entreprises assurées

La leçon opérationnelle est directe: une assurance cyber ne remplace pas une stratégie de résilience. Elle la complète, à condition que l’entreprise sache « parler assurance » pendant une crise. Cela signifie anticiper la production de preuves, tenir une chronologie, conserver les échanges, et cadrer les dépenses. Comme pour une enquête post-incident, la discipline documentaire n’est pas un luxe: c’est une condition de négociation.

Sur le plan de la gouvernance, l’affaire rappelle aussi que la cyber-assurance est un sujet de direction autant que d’IT. Le contrat engage des responsabilités internes: qui déclare, qui valide les prestataires, qui autorise certaines actions, qui centralise les justificatifs. Si ces rôles ne sont pas définis avant l’attaque, l’entreprise improvise sous stress, et l’improvisation laisse des trous dans le dossier.

Enfin, ce type de décision contribue à fixer une norme implicite: le marché pousse vers plus d’exigences, plus de vérifications, et plus de contractualisation des pratiques de sécurité. Sur le papier, l’assurance vend de la tranquillité. En pratique, elle impose une forme de maturité: inventaires à jour, procédures de crise, et capacité à démontrer ce qui a été fait. Dans le cyber-risque, la meilleure preuve ressemble à une bonne sauvegarde: elle n’a de valeur que si elle est testée, structurée, et disponible au moment critique.

Pour les entreprises, l’enjeu n’est pas seulement d’être indemnisées après coup. C’est de construire un dispositif où incident, réponse et assurance s’emboîtent sans friction, parce que le jour où tout chiffre, la bataille se joue aussi sur le terrain des documents.