Le gouvernement va autoriser les assureurs à rembourser la rançon payée par leurs clients suite à une cyberattaque, à la seule condition qu'une plainte soit déposée dans les 48 heures suivantes. Cette mesure, qui met fin à un flou de plusieurs années, est très bien accueillie par les assureurs car elle conforte leurs pratiques. Mais elle déclenche aussi une levée de bouclier chez les experts de la cybersécurité, qui souhaitent au contraire interdire le paiement de la rançon. Décryptage.Voilà une mesure qui va animer les débats dans le petit milieu de la cybersécurité. Dans le projet de loi d'orientation et de programmation du ministère de l'Intérieur, présenté en conseil des ministres mercredi, le gouvernement propose d'autoriser l'indemnisation des cyber-rançons par les assureurs, à la seule condition que la victime dépose plainte sous 48 heures. Cette mesure fait suite à un rapport de la direction générale du Trésor sur le développement de l'assurance du risque cyber, résultat d'une consultation lancée à l'été 2021 à la demande de Bruno Le Maire. «Je souhaite que ces orientations soient mises en œuvre le plus rapidement possible», a ainsi déclaré le ministre de l'Économie.
La première version du texte avait déjà déclenché un débat houleux en mars, puisqu'il préconise l'inverse du rapport parlementaire sur la cyber-assurance, remis en octobre 2021 par l'ex-députée LREM Valéria Faure-Muntian. Cette dernière recommandait d'interdire dans la loi de garantir, couvrir ou indemniser les rançons, ainsi que d'y introduire des sanctions contre les victimes qui paient, à l'instar des Etats-Unis.
Les assureurs confortés dans leurs pratiques
« C'est un bon signal. Les assureurs opéraient jusqu'ici dans une zone grise, ils vont désormais être plus à l'aise puisque le gouvernement se positionne sur la légalité de leurs pratiques », évalue auprès de La Tribune Diego Sainz, référent technique cyber du courtier d'assurance Verspieren, en précisant que « la majorité des assureurs indemnisent déjà le montant de la rançon. »
La mise en application du texte reste encore loin : le projet de loi doit encore être discuté au Parlement (à partir d'octobre), puis amendé et voté. Mais dans tous les cas, il devrait mettre fin à une longue période de flou sur le statut du paiement des rançons, qui, bien que unanimement déconseillé par les experts du secteur, reste dans les faits un levier très utilisé par les victimes. En mars, France Assureurs, la fédération professionnelle des assureurs, se félicitait d'ailleurs de la première version du texte, car il permettait une « clarification du cadre légal du remboursement » demandé depuis plusieurs années.
