Le nombre de cyberattaques explose en France mais l'assurance peine toujours à couvrir ce risque émergent. Un rapport parlementaire vient de proposer une batterie de mesures pour mieux structurer le marché de la couverture du risque cyber et mieux prévenir les risques. Il propose notamment une interdiction du paiement des cyber-rançons, une harmonisation des critères de risques ou la formation des agents généraux à ce risque. L'enjeu est bien de renforcer l'écosystème numérique français en plein essor.
Alors que les cyberattaques pourraient devenir un risque économique systémique, menaçant entreprises et institutions publiques, le marché de la cyberassurance, en France, peine à se structurer. L'équation est en effet compliquée à résoudre. Alors que le risque augmente, les couvertures sont encore insuffisantes et la demande des entreprises trop faibles pour créer un véritable marché de la cyberassurance économiquement viable.
Pour l'heure, en France, les assureurs perdent de l'argent sur ce risque. Si le volume de primes a augmenté de 49% en 2020 (à 130 millions d'euros), le montant des indemnisations versées a, lui, été multiplié par 3 (à 217 millions d'euros en 2020), soit un ratio combiné qui est passé de 84 % en 2019 à 167 % en 2020. En soi, cela n'a rien d'inquiétant pour un marché émergent. Mais il faut trouver les conditions pour qu'il trouve, rapidement, son équilibre.
Un cadre commun pour mieux prendre en compte les risques
Pour sortir de ce cercle vicieux, la députée Valéria Faure-Muntian (LREM), co-présidente du groupe d'études "Assurance" à l'Assemblée nationale, esquisse, dans un rapport parlementaire, des recommandations pour "lever les freins au développement en France d'un marché mature de la cyberassurance". L'objectif est défini : en structurant ce segment assurantiel, c'est tout l'écosystème numérique français qui pourrait devenir plus robuste grâce à une meilleure prévention.
Le premier enjeu est de bien définir le périmètre des couvertures des contrats. L'élue de la Loire préconise ainsi une définition commune du cyber-risque et de la cyberattaque alors que les différentes compagnies d'assurance proposent des terminologies différentes.
Cette meilleure lisibilité passe également par la loi, du moins sur deux points sensibles, qui font débat au sein même des assureurs : le paiement des rançongiciels et la prise en charge des amendes administratives par les assureurs.
Newsletter
Industrie et service
Chaque jour à 13h, l’essentiel de l’actualité industrielle.
Pour Valéria Faure-Muntian, "il convient d'inscrire dans la loi l'interdiction pour les assureurs de garantir, couvrir ou d'indemniser la rançon." En 2020, l'Anssi a constaté une hausse de 225% des signalements d'attaques par rançongiciels par rapport à 2019. Ces attaques, qui constituent l'une des principales menaces qui pèsent sur les entreprises, consistent à "verrouiller" les données d'une entreprise ou d'une institution exigeant, pour libérer les informations, le paiement d'une rançon généralement en cryptomonnaie.
