Assurance cyber : pourquoi votre réclamation risque d'être refusée

Une police cyber garantit-elle d'être indemnisé ?

Réponse courte : non. La question n'est plus le prix de la prime mais l'éligibilité et la tenue de la couverture. Une part croissante des réclamations est refusée ou partiellement refusée, presque toujours pour la même raison : un écart entre les contrôles de sécurité déclarés dans le questionnaire de souscription et ceux que l'enquête forensique constate réellement au moment du sinistre.

Le marché canadien s'est assaini. Après deux années de hausses tarifaires marquées, les primes se sont stabilisées. Mais les assureurs ont déplacé leur exigence : plutôt que de facturer le risque, ils le sélectionnent. L'authentification multifacteur, la détection sur les postes, les sauvegardes hors ligne et un plan de réponse aux incidents sont devenus des conditions d'accès, pas des bonus tarifaires.

Or c'est précisément à l'endroit de cette sélection que se logent les litiges d'indemnisation.

Les cinq causes les plus fréquentes de refus

1. Le MFA déclaré mais incomplet

Le questionnaire demande : « Le MFA est-il déployé sur tous les accès distants et tous les comptes à privilèges ? ». La réponse cochée est oui. La forensique montre que le compte de service utilisé par l'attaquant, l'accès du fournisseur infogérance ou la console d'administration infonuagique en étaient exemptés.

S'ajoute une nuance technique récente : plusieurs assureurs ne considèrent plus le code SMS ni la simple notification push comme suffisants pour les comptes sensibles. La correspondance de numéros est devenue le plancher, et le MFA résistant au hameçonnage la référence.

2. L'EDR partiel

La très grande majorité des souscripteurs exigent désormais une solution de détection et de réponse sur l'ensemble des appareils gérés : un antivirus classique ne suffit plus à obtenir la police. Le contentieux naît du mot « ensemble » : les serveurs hérités, les hyperviseurs, les postes de sous-traitants et les machines de production sont souvent hors couverture, et ce sont eux que l'attaquant utilise.

3. Les sauvegardes non immuables ou non testées

La déclaration mentionne des sauvegardes hors ligne. L'incident révèle un partage réseau monté en permanence, chiffré en même temps que le reste. Ou une copie hors site jamais restaurée, dont on découvre l'incomplétude au pire moment. L'impact ne porte pas seulement sur le refus : il porte sur la durée d'interruption, donc sur le montant même du sinistre.

4. Le retard de notification

Les polices imposent des délais de déclaration courts, parfois 72 heures à compter de la découverte. Une organisation qui tente d'abord de régler seule, puis appelle son courtier une semaine plus tard, s'expose à une réduction d'indemnité : d'autant que les frais engagés avant l'accord de l'assureur ne sont pas toujours couverts.

5. Le recours à des intervenants non agréés

Beaucoup de polices imposent un panel : cabinet juridique de brèche, équipe de forensique, négociateur. Engager un prestataire hors panel sans accord préalable peut faire tomber la prise en charge de ces frais, même si le travail est irréprochable.

Ce que l'enquête forensique vérifie réellement

Quand un sinistre survient, l'assureur mandate une équipe de forensique dont le rapport sert à deux choses : comprendre l'incident et vérifier la matérialité des déclarations. Concrètement, l'équipe examine :

Aucun de ces éléments n'est déclaratif. Tout est vérifiable a posteriori dans les journaux. C'est pourquoi la meilleure protection contre un refus est de constituer les preuves avant le sinistre.

Comment sécuriser votre indemnisation

Le sous-assurance des PME reste le point aveugle

Une part très minoritaire des petites entreprises canadiennes détient une police cyber autonome. Beaucoup s'appuient sur une extension de leur assurance commerciale, dont les plafonds (souvent quelques dizaines de milliers de dollars) sont sans rapport avec le coût réel d'un incident, qui se chiffre en centaines de milliers.

La bonne question à poser à son courtier n'est pas « suis-je couvert ? » mais « quel montant, pour quels postes de coût, et sous quelles conditions de contrôle ? ». Frais de forensique, négociation, restauration, notification aux personnes concernées, perte d'exploitation et responsabilité civile ne sont pas systématiquement inclus.

L'angle ITCS Group

Nous intervenons des deux côtés de la table : en forensique pour le compte d'assureurs, et en accompagnement d'entreprises avant et pendant le sinistre. Cette double position nous permet de préparer un dossier de souscription qui résiste à l'enquête, de documenter les preuves attendues et d'intervenir en moins de deux heures lorsque l'incident survient. Contactez-nous pour une revue de votre questionnaire de souscription avant votre prochain renouvellement.

Sources