Qu'est-ce que la cyberassurance ?

Tout comme une assurance automobile couvre les dommages au véhicule et les dommages corporels en cas d’accident, les polices de cyberassurance couvrent les dommages aux systèmes informatiques, les pertes de revenus, les frais juridiques et d’autres coûts liés aux cyberattaques.

Les violations de la sécurité sont de plus en plus fréquentes et coûteuses. Selon le Rapport sur le coût d’une violation de données d’IBM, le coût moyen d’une violation de données s’élève à 4,44 millions d’euros pour la période de mars 2024 à février 2025. La cyberassurance peut atténuer l’impact financier de ces violations, ce qui en fait un élément important de la gestion des risques pour les entreprises d’aujourd’hui.

Toute entreprise qui stocke des informations clients ou qui dépend de la technologie, ce qui inclut la plupart des entreprises, est confrontée à des cyber-risques. Les équipes de sécurité peuvent prendre des mesures pour atténuer les cybermenaces, mais elles ne peuvent pas les empêcher complètement. Selon le Travellers Risk Index, 57 % des dirigeants d’entreprise pensent que les cyberattaques sont inévitables.

Les produits d’assurance standard dédiés aux entreprises, comme la couverture de responsabilité civile générale et les polices d’assurance responsabilité civile professionnelle (RCP), ne couvrent généralement pas les pertes liées aux cyber-événements, ce qui laisse les entreprises vulnérables à la totalité des coûts des attaques par ransomware, des escroqueries par compromission d’e-mails et d’autres risques liés à la cybercriminalité. Ces attaques peuvent avoir un lourd impact financier. À titre d’exemple, la violation de données causée par une attaque par hameçonnage coûte en moyenne 4,80 millions de dollars.

Les cyberassurances sont apparues pour combler ce déficit de couverture. En couvrant les paiements de rançon, la correction des logiciels malveillants et d’autres coûts, les polices de cyberassurance peuvent aider les entreprises à limiter les dégâts, à se rétablir plus rapidement et à accroître leur cyber résilience globale.

La couverture d'une cyberassurance peut varier en fonction des besoins de l'entreprise, des types de données qu'elle stocke et de son secteur d'activité. De nombreuses cyberpolices proposent des options de couverture directe et de tiers. La couverture directe couvre les pertes directes de l'entreprise, comme les coûts de récupération des données et de restauration des systèmes. Les garanties de dommages aux tiers couvrent les préjudices subis par des parties externes à l'entreprise, comme les consommateurs dont les données ont été volées.

Dans le cas de pertes spécifiques, de nombreuses polices de cyberassurance couvrent des éléments tels que :

Les polices de cyberassurance couvrent beaucoup d'incidents, mais en excluent certains. On parle d'« exclusions ». Les exclusions courantes comprennent :

Alors que la demande de cyberassurance est élevée, l’augmentation des coûts de cyberassurance complique la tâche des entreprises, en particulier celle des petites entreprises, qui parviennent difficilement à trouver une assurance pour les couvrir. Selon Marsh McLennan, les prix d’une cyberassurance ont augmenté de 110 % au premier trimestre 2022.

Selon 451 Research, la cyberassurance pourrait contribuer à l’augmentation des attaques par ransomware. En effet, de plus en plus d’entreprises souscrivent des polices de cyberassurance et deviennent plus disposées à payer des rançons parce que l’assurance les couvre. En conséquence, les pirates informatiques se sentent encouragés à continuer à demander des rançons. Une nouvelle souche de ransomware, HardBit, demande même aux victimes de communiquer les détails de leur cyberassurance afin de permettre aux pirates de calculer le montant de la rançon que la police couvrira.

La relative nouveauté de la cyberassurance par rapport aux autres produits d'assurance joue également sur cette fluctuation de prix. Les assureurs disposent de données historiques limitées sur les coûts des cyberattaques, ce qui rend difficile la création de modèles de risque précis et de maintenir la stabilité des prix.

Face à la hausse de leurs pertes, les compagnies d’assurance réagissent en augmentant les primes et en limitant la couverture. Les polices émises en France par l’assureur AXA ne couvrent plus le paiement des rançons. La Lloyd’s of London ne couvrira plus les cyberattaques commanditées par des États, qui sont une autre source de pertes importantes.

Les assureurs imposent également des exigences plus strictes en matière de sécurité des réseaux aux entreprises assurées. Certains assureurs n'offriront même pas de devis d'assurance si une entreprise n'a pas mis en place une authentification multifactorielle, un chiffrement des données, une politique zero Trust ou des mesures similaires. Certaines compagnies d'assurance adoptent un rôle plus consultatif, en donnant aux assurés et aux chefs d'entreprise l'accès à des outils de sécurité et à des prestataires de services pour les aider à améliorer leur posture de sécurité. Pour certains experts, les cyberassureurs pourraient jouer un rôle clé dans l'application de normes telles que le cadre de cybersécurité du NIST, car les entreprises qui respectent ces normes seront moins coûteuses à assurer.