CyberAttaques : une indemnisation versée si la plainte est déposée dans les 72 h (et si le contrat d’assurance le prévoit) !

Depuis le 24 avril 2023, toute entreprise victime de pertes ou de dommages causés par une cyberattaque sera tenue de porter plainte dans les 72 heures qui suivent la prise de connaissance de l’attaque pour bénéficier des indemnisés des assurances… à condition qu’une clause soit prévue dans les contrats.

Cette obligation s’inscrit dans le cadre de la loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur (LOPMI).

Concrètement, cette loi stipule que "l’indemnisation de pertes et dommages causés par une cyberattaque est désormais subordonnée au dépôt d’une plainte dans les 72 heures qui suivent la connaissance de cette atteinte" (article 5).  

Sont concernés :

• Les travailleurs indépendants,
• Les entrepreneurs individuels,
• Les entreprises,
• Les associations,
• Les administrations publiques.

Le délai de 72 heures : les détails

Pour pouvoir bénéficier des indemnités, l’entreprise victime dispose d’un délai de 72 heures qui débute dès la prise de connaissance de l’attaque (et non pas à compter de la date de la cyberattaque).

En d'autres termes, une entreprise peut porter plainte si elle a eu connaissance récemment d’une attaque qui a eu lieu en dehors de ce délai (semaines, voire mois précédents).

Le contrat d’assurance : l’autre condition majeure

La condition du dépôt de plainte n’est pas le seul paramètre pour être indemnisé. La victime devra également s’assurer que son contrat d’assurance prévoit une couverture sur le risque de cyberattaque.

En d’autres termes, il est conseillé de consulter son assureur dans les plus brefs délais, et de mettre en place cette clause si ce n’est pas le cas.

Quels sont les cas de cyberattaques éligibles à l’indemnisation ?

L’ensemble des cyberattaques sont concernées par cette nouvelle mesure :

• Les attaques par logiciels malveillants (rançongiciels) ;
• Les hameçonnages (phishing) ;
• Le vol de données ;
• Le défaçage d’un système ;
• Les attaques par déni de service ;
• Les interceptions de communication ;
• L’exploitation de vulnérabilité, jusqu'alors non corrigée, présente dans un logiciel.

En savoir plus