Avocat cybersécurité à Paris : obligations de la PME et assurance cyber.

Commencez par la liste des garanties réellement souscrites, car une police cyber regroupe souvent plusieurs blocs distincts : frais de gestion de crise, pertes d'exploitation, responsabilité envers les tiers, parfois fraude au virement. Chacun a sa définition, ses plafonds et ses franchises, et un dommage peut n'entrer dans aucun d'eux. Lisez ensuite les exclusions, qui doivent être formelles et limitées, et le code des assurances exige qu'elles figurent en caractères très apparents (art. L. 113-1 et art. L. 112-4). Vérifiez enfin le questionnaire de souscription : il décrit les sauvegardes, les accès distants, l'authentification et les mises à jour, et l'assureur s'y reporte après l'attaque. Le distributeur d'assurance doit préciser par écrit les exigences et besoins du souscripteur et conseiller un contrat cohérent avec eux (C. assur., art. L. 521-4). Pour une PME, trois points méritent une attention particulière : la désignation de toutes les sociétés à assurer, la définition de la perte d'exploitation garantie et la clause qui fixe le délai de déclaration du sinistre. Le cabinet relit ces documents avant la signature, à partir des mesures que l'entreprise applique réellement.

Oui, mais à des conditions strictes. L'assuré doit répondre exactement aux questions posées par l'assureur lors de la conclusion du contrat (C. assur., art. L. 113-2, 2°). Une réticence ou une fausse déclaration intentionnelle qui change l'objet du risque ou en diminue l'opinion pour l'assureur entraîne la nullité, même si le risque omis n'a eu aucune influence sur le sinistre (art. L. 113-8). La jurisprudence exige toutefois que la fausse déclaration procède des réponses de l'assuré aux questions posées par l'assureur, ou d'une déclaration faite à sa propre initiative. La Cour de cassation a censuré un arrêt qui avait prononcé la nullité sans constater que l'assureur avait posé, lors de la souscription, des questions précises impliquant la révélation des informations reprochées (Cass. 2e civ., 13 décembre 2018, n° 17-28.093). Elle admet que des déclarations pré-imprimées soient prises en compte, mais sous conditions : le juge peut en tenir compte, « c'est à la condition, d'une part, qu'il estime que, par leur précision et leur individualisation, ces déclarations résultaient de questions précises posées par l'assureur ou qu'il constate que ces déclarations avaient été faites par l'assuré, à sa seule initiative, lors de la conclusion du contrat » (Cass. 3e civ., 26 mars 2026, n° 24-16.175), l'autre condition étant que les conditions particulières aient été signées par le souscripteur. Une déclaration spontanée de l'assuré peut donc lui être opposée sans question préalable. Le cabinet examine le contenu exact de la question, celui de la déclaration et la preuve de leur adoption par le souscripteur avant de discuter la nullité.

Tout dépend de la nature de l'inexactitude et de la manière dont la police est rédigée. Si l'entreprise a déclaré de mauvaise foi une mesure inexistante, l'assureur peut invoquer la nullité du contrat sur le fondement du code des assurances (art. L. 113-8), à condition de prouver l'intention et le lien avec une question précise. Sans mauvaise foi prouvée, l'article L. 113-9 prévoit qu'une inexactitude constatée après le sinistre réduit l'indemnité en proportion des primes payées par rapport à celles qui auraient été dues. La situation est différente lorsque la police fait de la sauvegarde une condition de la garantie. La cour d'appel de Versailles rappelle qu'« Il appartient à l'assuré de démontrer que les conditions d'application de la garantie sont remplies, sachant que la charge de la preuve repose sur l'assureur lorsqu'il entend opposer à l'assuré une clause d'exclusion de garantie. » (CA Versailles, ch. com. 3-1, 10 décembre 2025, n° 24/02259). Dans cette affaire, étrangère au risque cyber, elle a débouté l'assurée faute de dommage matériel préalable. Il faut donc qualifier la clause avant de répondre à l'assureur : condition, exclusion ou simple déclaration du risque. Une mesure en place, même imparfaite, se documente avec précision, et le cabinet distingue ce qui a été promis de ce qui existait.

Une exclusion se discute d'abord sur sa forme : le code des assurances ne valide une clause d'exclusion que si elle apparaît en caractères très apparents (C. assur., art. L. 112-4). La Cour de cassation a censuré un arrêt qui n'avait pas recherché, comme on le lui demandait, « si la clause litigieuse figurait en caractères très apparents de manière à attirer spécialement l'attention de l'assuré sur l'exclusion qu'elle édictait » (Cass. 2e civ., 24 mai 2018, n° 17-16.431). Elle se discute ensuite sur le fond, car l'article L. 113-1 veut une clause formelle, qui se comprend sans interprétation, et limitée. Une clause qui nécessite interprétation n'est pas formelle, et une clause qui ne laisse subsister qu'une garantie dérisoire n'est pas limitée. Le contentieux n'est pas joué d'avance : dans l'Cass. 2e civ., 1er décembre 2022, n° 21-15.392, la Cour de cassation a jugé valable l'exclusion discutée, au motif qu'elle laissait d'autres situations dans le champ de la garantie. Dans le doute, un contrat d'adhésion s'interprète contre celui qui l'a proposé (C. civ., art. 1190), mais une clause claire et précise ne s'interprète pas, à peine de dénaturation (C. civ., art. 1192). Le cabinet relit la clause dans la police complète, vérifie sa présentation matérielle et mesure ce que la garantie couvre encore après son application.

Pas nécessairement, et il faut le vérifier avant l'incident. Une police multirisque protège souvent les biens matériels et les pertes d'exploitation qui suivent un dommage matériel, ce qu'une attaque informatique ne provoque pas toujours. La cour d'appel de Versailles a jugé, pour une garantie de pertes d'exploitation subordonnée à un dommage matériel préalable aux biens assurés, que cette condition devait être prouvée par l'assurée, et l'a déboutée (CA Versailles, ch. com. 3-1, 10 décembre 2025, n° 24/02259). La responsabilité civile professionnelle peut, elle aussi, écarter le risque informatique. Le tribunal judiciaire de Lyon a examiné la police d'éditeurs de logiciels piratés par un tiers et retenu que « le risque de cyber attaque de la part d'un tiers, sous toutes ses formes, est exclu, de manière claire, de la garantie souscrite » (TJ Lyon, 20 août 2026, n° 22/10048). Les demandes des assurées ont été rejetées, et le tribunal a ajouté que le contrat n'était pas dépourvu d'objet, puisqu'il couvrait de nombreux autres risques professionnels. Une PME qui pense être protégée par ses contrats généraux doit donc rechercher les mots exacts : atteinte aux données, fraude informatique, frais de reconstitution, interruption de service. Le cabinet dresse cette carte des garanties existantes et des risques restés sans couverture.

Non. La garantie de pertes d'exploitation d'une police cyber indemnise en général la perte de marge brute liée à une baisse du chiffre d'affaires, et les frais engagés pour la limiter. Un dommage réel peut rester en dehors de cette définition. Le tribunal de commerce de Bobigny a statué sur le piratage de la plateforme de téléphonie d'une société de télécommunication : les pirates avaient passé de nombreux appels vers l'étranger, refacturés par l'opérateur pour plus de 214 000 euros. Le tribunal a relevé que l'attaque n'avait pas arrêté ni perturbé l'activité, qu'aucune baisse du chiffre d'affaires n'était démontrée et que « les seuls frais garantis par le contrat doivent avoir pour objectif de réduire la baisse du chiffre d'affaires de l'assuré » (T. com. Bobigny, 25 février 2025, n° 2023F01983). La société a été déboutée et condamnée au titre des frais de procédure. Cette décision de première instance montre qu'il faut rattacher chaque poste de préjudice à une garantie précise : perte de marge, frais supplémentaires, frais de reconstitution, responsabilité envers les tiers. Avant de chiffrer la réclamation, le cabinet confronte les comptes de l'entreprise, la chronologie de l'attaque et les définitions de la police, afin de présenter une demande qui correspond à ce que l'assureur s'est engagé à payer.

Le texte est rédigé comme une condition du paiement. Toute indemnité prévue par une clause couvrant les conséquences d'une intrusion informatique n'est due que si la victime a porté plainte dans les soixante-douze heures suivant le moment où elle a connu l'atteinte (C. assur., art. L. 12-10-1). Les intrusions visées sont celles que réprime notamment le code pénal (C. pén., art. 323-1), et la règle concerne les sociétés comme les professionnels agissant dans leur activité. Le délai court de la connaissance de l'atteinte, et non du jour où les attaquants sont entrés dans le système. La date de découverte doit donc être établie par des éléments objectifs : alerte de l'antivirus, message de rançon, signalement d'un client ou rapport du prestataire. Une plainte tardive n'est pas une simple formalité manquée : l'assureur pourra s'en prévaloir pour refuser le versement. Si l'entreprise doute de la date exacte de connaissance, il vaut mieux déposer plainte sans attendre la fin des investigations techniques, puis la compléter. Le cabinet aide à fixer cette date et à rédiger une plainte précise, qui servira aussi devant l'assureur et le juge.

Seulement dans un cadre étroit. Le code impose de prévenir l'assureur dès la connaissance du sinistre, dans le délai fixé par le contrat, qui ne peut être inférieur à cinq jours ouvrés, sauf les minima plus courts que le texte prévoit, dont deux jours ouvrés en cas de vol (C. assur., art. L. 113-2, 4°). La sanction de la tardiveté doit figurer dans une clause de la police, et l'assureur doit prouver que ce retard l'a réellement desservi. Un cas fortuit ou de force majeure à l'origine du retard l'empêche aussi de s'en prévaloir. La Cour de cassation en déduit que « l'assureur ne peut opposer à l'assuré une déchéance pour déclaration tardive lorsque le contrat applicable ne comporte pas de clause l'édictant ou lorsque la clause la prévoyant n'est pas conforme à ces dispositions » (Cass. 2e civ., 21 janvier 2021, n° 19-13.347). Dans cette affaire, la clause prévoyait un délai inférieur au minimum légal, et l'arrêt qui avait débouté l'assuré a été cassé. Cette règle ne dispense pas de la plainte dans les 72 heures, qui obéit à son propre texte. Face à un refus fondé sur le retard, le cabinet vérifie la clause, le point de départ retenu par l'assureur et la réalité du préjudice qu'il allègue.

Il peut l'engager, mais l'entreprise doit prouver une faute, un préjudice et un lien entre les deux. Le distributeur d'assurance précise par écrit les exigences et les besoins du souscripteur et conseille un contrat cohérent avec eux (C. assur., art. L. 521-4). La cour d'appel de Rennes rappelle que le courtier est tenu d'une obligation d'information et de conseil : « Il doit ainsi donner à son client tous les éléments objectifs de choix d'une couverture appropriée à son risque et veiller à l'adaptation de la garantie aux risques présentés. » (CA Rennes, 5e ch., 10 décembre 2025, n° 22/06509). Elle a pourtant confirmé le rejet de la demande, faute de perte de chance démontrée, le préjudice ne pouvant s'analyser qu'en une perte de chance de souscrire une garantie adaptée. Le tribunal judiciaire de Lyon a de même rappelé que l'obligation de conseil reposait sur le courtier intervenu à la souscription, et non sur l'assureur, tout en écartant le grief adressé à ce dernier (TJ Lyon, 20 août 2026, n° 22/10048). Pour agir utilement, il faut donc reconstituer ce que l'entreprise avait exprimé comme besoins, ce que le courtier lui a proposé et ce qu'une couverture adaptée aurait payé. Le cabinet rassemble ces éléments avant d'apprécier l'intérêt d'une action.

Pas automatiquement. La police couvre la société souscriptrice et les personnes qu'elle définit comme assurées, l'assurance pouvant aussi être conclue pour le compte d'autrui (C. assur., art. L. 112-1). Une autre société dirigée par le même gérant n'est donc couverte que si le contrat l'inclut. La cour d'appel de Rennes a statué sur une fraude au faux dirigeant : une assistante, trompée par des courriels imitant l'adresse du gérant, avait effectué deux virements depuis les comptes d'une société du groupe. Seule une autre société du groupe avait souscrit la police cyber, qui comportait une garantie de responsabilité civile en cas d'atteinte à la vie privée ou à la confidentialité des données. La cour a relevé que l'atteinte à la vie privée d'une personne morale ne pouvait se concevoir dans ce cas, que l'atteinte à la confidentialité n'était pas démontrée et que la responsabilité de la société assurée envers la société victime ne ressortait d'aucune pièce. Elle a confirmé le rejet de toutes les demandes, y compris contre le courtier (CA Rennes, 5e ch., 10 décembre 2025, n° 22/06509). Lorsque plusieurs sociétés partagent la même messagerie, le même matériel et le même personnel administratif, il faut vérifier que la police les inclut toutes, par une désignation ou par une clause visant les sociétés du groupe. Le cabinet vérifie la liste des assurés, la garantie fraude éventuelle et la société qui a réellement subi la perte.

Oui. L'assureur qui a payé l'indemnité est subrogé, jusqu'à concurrence de cette somme, dans les droits et actions de l'assuré contre les tiers dont le fait a causé le dommage (C. assur., art. L. 121-12). Le prestataire devra alors répondre comme il l'aurait fait face à son client, sur le fondement de la responsabilité contractuelle (C. civ., art. 1231-1). Le tribunal des activités économiques de Paris a statué sur un litige de ce type, opposant l'assureur cyber d'une enseigne à l'infogérant mis en cause après un rançongiciel. Les rapports produits ne montraient pas clairement les causes de l'intrusion ni la part de l'infogérant, et le tribunal a retenu qu'« Une explication technique est donc nécessaire pour que le tribunal puisse se prononcer. » (TAE Paris, 3 mars 2025, n° J2025000100). Il a ordonné à l'assureur de communiquer ses rapports d'expertise, le questionnaire de souscription et ses annexes, la plainte et la notification à la CNIL, puis renvoyé l'affaire. Pour l'entreprise, la conséquence est pratique : ses déclarations à l'assureur peuvent être lues par le prestataire. La clause limitative du contrat informatique reste soumise au code civil, qui répute non écrite la clause privant de sa substance l'obligation essentielle (C. civ., art. 1170). Le cabinet coordonne la position de l'entreprise, de l'assureur et du prestataire.

Oui, lorsque la faute contractuelle, le préjudice et le lien de causalité sont prouvés. Le prestataire qui manque à son engagement contractuel indemnise son client, à moins de justifier d'un cas de force majeure (C. civ., art. 1231-1). Le tribunal des activités économiques de Paris a jugé le cas d'un sous-traitant chargé de la sécurisation d'une plateforme hébergée, qui avait installé un serveur de téléphonie en phase de test sans filtrer l'un des deux protocoles exposés. Des pirates avaient utilisé cette ouverture pour passer près de dix mille appels, facturés plus de 84 000 euros par l'opérateur. Le tribunal a relevé que le prestataire avait reconnu ce défaut, retenant que « FABRIQUE IT a reconnu qu'elle n'avait pas correctement assuré la sécurisation du serveur installé par ses soins le 6 avril 2023 » (TAE Paris, 8 octobre 2025, n° 2024005541), et l'a condamné à indemniser sa cliente du montant des appels frauduleux, hors taxe. La preuve reposait sur un rapport d'incident établi conjointement après l'attaque et sur les écrits du prestataire à son propre assureur. Une PME a donc intérêt à obtenir rapidement un compte rendu technique daté, à conserver les échanges et à vérifier le périmètre de sécurité confié par contrat. Si le prestataire conteste, une mesure d'instruction peut être demandée avant tout procès (C. proc. civ., art. 145).

La taille de l'entreprise ne la dispense pas des règles du RGPD dès qu'elle traite des données personnelles de clients, de salariés ou de fournisseurs. L'article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque, en tenant compte de l'état des connaissances et des coûts. L'article 28 exige que le traitement confié à un sous-traitant soit encadré par un contrat ou un autre acte juridique contraignant. L'article 33 impose de notifier une violation de données à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf absence de risque, tout retard devant être motivé ; le sous-traitant alerte le responsable du traitement dans les meilleurs délais. L'article 34 prévoit l'information des personnes en cas de risque élevé. Le Conseil d'État a confirmé une amende de 400 000 euros contre une société dont le site exposait des pièces justificatives et qui conservait ces données trop longtemps, en relevant que les manquements auraient pu être prévenus par des mesures simples de sécurité, comme l'authentification des utilisateurs, et par des mesures d'archivage, et en tenant compte des moyens de la société et du délai de ses corrections (CE, 10e et 9e ch. réunies, 4 novembre 2020, n° 433311). Le code pénal sanctionne également le traitement réalisé sans les mesures que cet article 32 exige (C. pén., art. 226-17). Quant à NIS 2, directive (UE) 2022/2555, sa transposition française n'est pas achevée : selon le dossier législatif consulté le 1er novembre 2026, le Sénat a voté le projet de loi en mars 2025 et la commission spéciale de l'Assemblée nationale a établi son texte en septembre 2025, sans adoption définitive. Pour une PME, l'essentiel se joue donc aujourd'hui sur le RGPD, les contrats et la police d'assurance.

Les actions qui dérivent d'un contrat d'assurance se prescrivent en principe par deux ans à compter de l'événement qui y donne naissance (C. assur., art. L. 114-1). Ce délai, beaucoup plus court que celui du droit commun, impose de ne pas laisser traîner une discussion amiable sans issue. Le texte prévoit des tempéraments : en cas de sinistre, le délai ne court que du jour où les intéressés en ont eu connaissance, s'ils prouvent l'avoir ignoré jusque-là. Lorsque l'action de l'assuré contre l'assureur a pour cause le recours d'un tiers, par exemple un client dont les données ont été exposées, le délai ne court que du jour où ce tiers a agi en justice contre l'assuré ou a été indemnisé par lui. Ces règles se combinent avec les obligations de la crise : plainte dans les 72 heures, déclaration du sinistre dans le délai de la police, conservation des preuves techniques. Un refus de garantie reçu par courrier ne fixe pas, à lui seul, la date utile : il faut remonter à l'événement qui fonde la demande. Le cabinet reconstitue cette chronologie, vérifie les causes d'interruption invocables et décide s'il faut assigner avant l'expiration du délai.