Dans un rapport publié par le ministère de l’Économie et des Finances sur le développement de l’assurance du risque cyber, plusieurs recommandations portent sur une clarification du cadre juridique de celle-ci. Il existe en effet une sorte de zone grise.
Une proposition faite est de » conditionner l’indemnisation d’une assurance cyber-rançons au dépôt de plainte de la victime. » Autrement dit, il s’agirait de donner sans équivoque le feu vert aux assureurs afin d’indemniser les rançons pour les entreprises victimes de cyberattaques par ransomware.
La condition impérative et obligatoire d’un dépôt de plainte de la victime a toute son importance. Outre l’objectif de renforcer l’accompagnement d’une victime, elle vise à » améliorer les opérations d’investigation des autorités de police, justice et gendarmerie. » Il est en outre souligné qu’en parallèle, » une coopération accrue entre les assureurs et les forces de sécurité pourrait faciliter la lutte contre la cybercriminalité. «
Dans le projet de loi Lopmi
Ministre de l’Économie, des Finances et de la Souveraineté industrielle et numérique, Bruno Le Maire a fait savoir qu’il souhaite que les orientations du rapport soient mises en œuvre le plus rapidement possible. Sur l’indemnisation par les assureurs des rançons payées aux cybercriminels, cela renvoie à une disposition du projet de loi d’orientation et de programmation du ministère de l’Intérieur. Il a été présenté en Conseil des ministres mercredi.
Selon le rapport de la direction générale du Trésor (PDF), l’assurance contre le risque cyber est un marché encore peu développé en France. En 2021, il représentait 219 millions d’euros de chiffre d’affaires, » soit 3,1 % du total des cotisations de l’assurance des dommages aux biens des professionnels et 0,35 % du chiffre d’affaires des assurances de biens et responsabilité. «
Un mauvais signal envoyé ?
L’année dernière et compte tenu du flou législatif, le groupe d’assurance Axa avait décidé de suspendre l’option de remboursement d’une rançon pour des attaques par ransomware dans le cadre de son contrat d’assurance Cyber Secure.
Auparavant, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi) avait pointé du doigt » un jeu trouble de certains assureurs « , et la vice-procureure au Tribunal judiciaire de Paris en charge de la lutte contre la cybercriminalité avait appelé à » durcir le ton face au paiement des rançons. […] La France est l’un des pays les plus attaqués en matière de ransomware parce que nous payons trop facilement les rançons. «