Une clarification législative pour la cyberassurance

Le marché de la cyberassurance est en effervescence. D'un côté, les cyber-risques s'accroissent considérablement pour les entreprises, tentées d'adopter une approche assurantielle en complément d'une cybersécurité classique. D'un autre côté, les assureurs multiplient certes les offres mais celles-ci ne sont pas toujours satisfaisantes comme l'AMRAE (Association pour le Management des Risques et des Assurances de l'Entreprise) l'a mentionné. Une intervention du Législateur est donc une possibilité qu'a étudié dans un récent rapport, réalisé pour le Groupe d'études Assurances de l'Assemblée Nationale, par la députée Valéria Faure-Muntian en collaboration avec Romain Dewaele.

Le rapport préconise notamment de clarifier les termes contractuels et les concepts relatifs à la cyberassurance ainsi que d'harmoniser les termes d'évaluation (comme cela a été fait sur des contrats santé par exemple) et de prévoir des offres hybrides cyber-assurance / cybersécurité destinées aux TPE/PME. La députée stigmatise également quelques manques tels que l'absence d'interdiction formelle et indiscutable pour un assureur de payer une rançon bien que la logique des textes actuels tendrait à une telle interdiction. La légalité de la couverture des amendes administratives n'est pas claire (l'interdiction est claire pour les amendes pénales), notamment celles infligées par la CNIL, mais la députée, cette fois, préconise plutôt une autorisation. Pour faciliter le suivi des cyber-attaques, la député souhaiterait également un recensement anonyme géré par le GIP ACYMA (Cybermalveillance.gouv.fr) dont les moyens seraient renforcés. Face à un risque qui peut devenir systémique, une possibilité de réassurance à base publique est une hypothèse défendue par le rapport.

La formation des magistrats serait également à améliorer, signale le rapport sans que cela relève à proprement parler de la cyber-assurance. De la même façon, plusieurs initiatives sont envisagées pour améliorer la coordination des acteurs de la cybersécurité, favoriser les petits acteurs français et accroître la sensibilisation des personnels des entreprises (et notamment chez les assureurs).