Le 9 avril 2026, l’ANSSI a rendu publique la feuille de route 2026-2027 de sécurité numérique de l’Etat. Elle rappelle un contexte simple : les incidents et fuites de données se multiplient, y compris dans des organisations structurées, et la mise en conformité NIS 2 devient un sujet de direction. Depuis le 17 mars 2026, l’ANSSI diffuse aussi le Référentiel Cyber France, le ReCyF, pour aider les entités concernées à atteindre les objectifs de sécurité de NIS 2.
Pour une entreprise, cette actualité a une conséquence très concrète. L’assurance cyber n’est plus seulement une ligne de contrat achetée par prudence. Elle devient un poste de discussion avec l’assureur, le prestataire informatique, les clients et parfois la CNIL. Or les recherches Google montrent que la demande est forte : « assurance cyber » atteint 1 300 recherches mensuelles en France, « assurance cyber sécurité » 590, « assurance cyber risques » 480, avec des CPC élevés, jusqu’à 8,41 euros sur « assurance cyber sécurité » et 31,80 euros sur « assurance cybersécurité entreprise ».
La question utile n’est donc pas seulement de savoir si une cyberassurance existe. Elle est plus urgente : que faire lorsque l’assureur cyber refuse d’indemniser, réduit l’indemnité ou réclame des pièces après un rançongiciel, une intrusion, une fuite de données ou une paralysie du système d’information ?
Commencer par identifier le motif exact du refus
Un refus d’indemnisation cyber doit être traité comme un contentieux de contrat. Il ne suffit pas de répondre par principe que l’entreprise a subi une attaque. Il faut d’abord obtenir le motif écrit de l’assureur.
En pratique, le refus repose souvent sur l’un de ces fondements : plainte déposée hors délai, déclaration de sinistre tardive, garantie non souscrite, plafond atteint, franchise élevée, exclusion contractuelle, absence de preuve de la perte d’exploitation, fausse déclaration lors de la souscription, non-respect des mesures de sécurité déclarées, ou décision prise sans accord préalable de l’assureur.
Ces motifs ne se discutent pas de la même manière. Une exclusion doit être lue strictement. Une déclaration tardive suppose de vérifier le délai prévu au contrat et le préjudice réellement subi par l’assureur. Une fausse déclaration impose de distinguer l’erreur non intentionnelle de la mauvaise foi. Une perte d’exploitation doit être prouvée par des chiffres, pas seulement par un ressenti de crise.
La première demande à adresser à l’assureur est donc simple : obtenir la position complète, la clause invoquée, les pièces manquantes et le calcul retenu.
Plainte en 72 heures : le point qui bloque le plus vite
Le Code des assurances prévoit une règle spécifique pour les cyberattaques. L’article L12-10-1 subordonne le versement de l’indemnité, lorsque le contrat couvre les pertes et dommages causés par une atteinte à un système de traitement automatisé de données, au dépôt d’une plainte dans les 72 heures après la connaissance de l’atteinte par la victime.
Ce délai ne doit pas être confondu avec le délai technique de remédiation. L’entreprise n’a pas besoin d’avoir terminé l’audit, restauré les serveurs ou chiffré toutes ses pertes pour déposer plainte. Elle doit surtout dater la découverte de l’atteinte, identifier les premiers systèmes concernés et conserver les éléments disponibles : message de rançon, captures d’écran, logs, mails de phishing, tickets du prestataire, horodatage de l’indisponibilité, premiers constats de fuite ou d’exfiltration.
Si la plainte a été déposée dans le délai, il faut transmettre le récépissé à l’assureur et conserver la preuve d’envoi. Si elle a été déposée hors délai, il faut reconstituer la chronologie : quand l’entreprise a-t-elle eu une certitude raisonnable de l’atteinte ? Qui l’a constatée ? L’incident était-il d’abord une panne, avant d’être qualifié en attaque ? Le prestataire a-t-il tardé à transmettre ses conclusions ? La discussion peut se jouer sur le point de départ.
Le questionnaire de souscription peut devenir la pièce centrale
Dans beaucoup de dossiers cyber, l’assureur ne conteste pas l’existence de l’attaque. Il conteste la manière dont le risque a été déclaré avant le sinistre.
L’article L113-2 du Code des assurances impose à l’assuré de répondre exactement aux questions posées par l’assureur lors de la déclaration du risque, puis de déclarer en cours de contrat les circonstances nouvelles qui aggravent le risque ou rendent les réponses initiales inexactes. L’article L113-8 prévoit la nullité du contrat en cas de réticence ou de fausse déclaration intentionnelle qui change l’objet du risque ou diminue l’opinion de l’assureur. L’article L113-9 traite l’omission ou la déclaration inexacte lorsque la mauvaise foi n’est pas établie.
En matière cyber, ces textes deviennent très pratiques. Le questionnaire de souscription peut demander si l’entreprise utilise une authentification multifacteur, si elle réalise des sauvegardes déconnectées, si elle corrige régulièrement les failles, si elle a un antivirus, un EDR, un plan de continuité, une politique de mots de passe ou une procédure de gestion des incidents.
Si l’entreprise a répondu « oui » à une mesure qui n’existait pas, le risque de contestation est sérieux. Mais l’assureur doit encore démontrer la portée de cette déclaration, sa formulation exacte, son caractère intentionnel s’il invoque la nullité, et le lien entre les réponses données et son appréciation du risque. Une case cochée trop vite n’a pas la même portée qu’une dissimulation organisée.
Non-respect des mesures de sécurité : vérifier la clause et la preuve
Les contrats cyber contiennent souvent des obligations de prévention : mises à jour régulières, sauvegardes, MFA, pare-feu, antivirus, journalisation, segmentation, test de restauration, procédure d’alerte. L’assureur peut soutenir que l’entreprise n’a pas respecté ces obligations et que l’indemnisation doit être refusée ou réduite.
La réponse doit être factuelle. Il faut relire la clause. Est-ce une condition de garantie ? Une recommandation ? Une obligation préalable à la couverture ? Une obligation pendant la vie du contrat ? Une mesure applicable à tous les systèmes ou seulement aux systèmes critiques ?
Il faut ensuite réunir les preuves : captures d’écran d’administration, factures de licence, rapport du prestataire, politique de mots de passe, journal de sauvegarde, compte-rendu de test de restauration, tickets de mise à jour, attestation de l’infogérant, inventaire des postes et serveurs, preuve de l’activation MFA sur les comptes sensibles.
Si une mesure était imparfaite, il faut mesurer son rôle dans le sinistre. Une sauvegarde non testée peut expliquer une perte longue d’exploitation. Elle n’explique pas nécessairement l’intrusion initiale. Un MFA absent sur une boîte mail peut être décisif dans une fraude au virement. Il l’est moins si l’attaque provient d’une faille logicielle publique exploitée avant correctif disponible.
Perte d’exploitation : l’assureur ne paie pas une estimation vague
Après un rançongiciel, la tentation est de présenter un montant global : chiffre d’affaires perdu, clients partis, commandes annulées, image dégradée, temps salarié mobilisé, frais de prestataire. C’est insuffisant.
La perte d’exploitation indemnisable dépend du contrat. Certains contrats indemnisent la marge brute perdue pendant l’interruption d’activité. D’autres couvrent les frais supplémentaires engagés pour limiter la baisse d’activité. D’autres plafonnent la durée d’indemnisation ou excluent certains préjudices indirects.
L’entreprise doit donc construire un dossier chiffré. Il faut comparer le chiffre d’affaires de la période touchée avec les périodes comparables, isoler les commandes annulées, produire les messages clients, documenter la durée d’arrêt des outils, justifier les frais de remédiation, distinguer les dépenses de remise en état des dépenses d’amélioration, et conserver les factures.
Un point revient souvent : l’assurance cyber répare en principe un dommage garanti, elle ne finance pas la modernisation complète du système informatique. Si l’entreprise remplace un serveur ancien par une architecture plus performante, l’assureur peut accepter la remise en état nécessaire et refuser la part d’amélioration. La discussion doit alors porter sur ce qui était indispensable pour redémarrer, et non sur ce qui aurait été idéal pour améliorer la cybersécurité.
CNIL, clients et prestataires : le dossier assurance ne suffit pas
Une cyberattaque peut aussi constituer une violation de données personnelles. La CNIL rappelle que tous les organismes publics ou privés traitant des données personnelles sont concernés, quelle que soit leur taille. Lorsque la violation entraîne un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL au plus tôt et dans un délai maximal de 72 heures. Lorsque le risque est élevé, les personnes concernées doivent également être informées.
Cette procédure a un effet sur l’assurance. Une notification CNIL, un registre interne de violation, une communication client ou une réclamation d’un tiers peuvent démontrer l’étendue de l’incident. Mais ils peuvent aussi révéler des contradictions si l’entreprise affirme à l’assureur une chose et à la CNIL une autre.
Il faut donc coordonner les documents. La chronologie, la qualification de l’incident, les systèmes touchés, les données concernées et les mesures correctrices doivent être cohérents. Une notification initiale peut être complétée ensuite ; elle ne doit pas enfermer l’entreprise dans des affirmations techniques non vérifiées.
La même prudence vaut avec les prestataires. Si l’infogérant, l’hébergeur, l’éditeur SaaS ou le prestataire de paiement est en cause, il faut demander rapidement les logs, le rapport d’incident, les correctifs appliqués, les dates de détection et les mesures de confinement. Ces éléments servent à la fois contre l’assureur, contre le prestataire et, si nécessaire, devant le juge.
Contester le refus : la méthode utile
La contestation doit être courte, structurée et documentée. Elle doit éviter les grands reproches généraux et répondre clause par clause.
La lettre à l’assureur doit rappeler la police, le sinistre, la date de connaissance de l’atteinte, la date de plainte, la date de déclaration, les garanties mobilisées, les pertes déjà chiffrées et les pièces jointes. Elle doit demander la révision de position ou, au minimum, la communication des éléments précis justifiant le refus : rapport d’expertise, clause appliquée, calcul de l’indemnité, pièces considérées comme manquantes.
Si l’assureur invoque une fausse déclaration, il faut produire le questionnaire signé, les réponses exactes, les documents informatiques existants à la date de souscription et les éventuelles déclarations faites en cours de contrat. Si l’assureur invoque une exclusion, il faut vérifier si elle est claire, formelle et limitée. Si l’assureur discute les pertes, il faut fournir un tableau chiffré et des justificatifs.
L’objectif n’est pas seulement de convaincre l’assureur. C’est aussi de préparer le dossier en cas de médiation, d’expertise amiable, de référé expertise ou de procédure au fond.
Paris et Ile-de-France : organiser vite les preuves
Pour une entreprise située à Paris ou en Ile-de-France, le sujet devient vite opérationnel. Les prestataires, banques, clients et hébergeurs peuvent être franciliens. Les preuves à préserver sont parfois dispersées entre plusieurs interlocuteurs.
Lorsque le prestataire refuse de transmettre les logs, tarde à produire son rapport ou conteste sa responsabilité, une mise en demeure rapide peut être nécessaire. Dans les situations les plus urgentes, une procédure en référé peut être envisagée pour préserver ou obtenir des éléments techniques avant qu’ils ne disparaissent.
La compétence du tribunal dépendra du contrat, de la qualité des parties, des clauses attributives de compétence et de la nature de la demande. Mais le réflexe doit rester le même : figer la preuve, centraliser les échanges, éviter les déclarations contradictoires, relire le contrat d’assurance avant d’engager des frais importants, et documenter chaque décision de crise.
Checklist avant de contester l’assureur cyber
Avant de répondre au refus, l’entreprise doit réunir dix pièces.
La police d’assurance complète, les conditions particulières et les conditions générales. Le questionnaire de souscription et les échanges avec le courtier. La preuve du dépôt de plainte dans les 72 heures ou la chronologie expliquant le point de départ. La déclaration de sinistre et ses accusés de réception. Le rapport technique, même provisoire. Les preuves de mesures de sécurité : MFA, sauvegardes, mises à jour, outils de protection, tests de restauration. Le registre interne de violation de données et, si nécessaire, la notification CNIL. Les justificatifs de pertes : chiffre d’affaires, marge, commandes annulées, factures, temps d’arrêt. Les échanges avec clients, fournisseurs et prestataires. Enfin, la lettre de refus de l’assureur et la clause qu’il invoque.
Une assurance cyber n’indemnise pas automatiquement une crise informatique. Mais un refus n’est pas toujours définitif. Le dossier se gagne souvent sur trois points : le délai de plainte, la sincérité du questionnaire de risque et la preuve chiffrée des pertes.
Besoin d’un avis rapide sur votre dossier
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Nous pouvons relire le contrat d’assurance cyber, qualifier le motif de refus, préparer la contestation et organiser les preuves techniques, comptables et contractuelles.
Pour une entreprise située à Paris ou en Ile-de-France, l’analyse peut intégrer les prestataires locaux, les contrats commerciaux, la preuve des pertes d’exploitation et l’urgence éventuelle d’une mise en demeure ou d’un référé.
Voir aussi notre page dédiée aux avocats en droit des affaires à Paris.
Sources utiles : feuille de route sécurité numérique 2026-2027 de l’ANSSI, directive NIS 2 et ReCyF selon l’ANSSI, article L12-10-1 du Code des assurances, article L113-2 du Code des assurances, article L113-8 du Code des assurances, article L113-9 du Code des assurances, règles CNIL sur les violations de données personnelles.