Après un laborieux parcours parlementaire, le cadre de l’assurance cyber commence à s’éclaircir. Mardi soir, les députés ont voté en séance publique la nouvelle version de l’article 4 du projet de loi d’orientation et de programmation du ministère de l’Intérieur.
Le texte voté par les députés prévoit désormais de conditionner le remboursement de pertes et dommages causés par une cyberattaque par une assurance à un dépôt de plainte, dans les « 72 heures après la connaissance de l’atteinte par la victime ». Des dispositions qui ne concernent pas les particuliers.
Nouveau cadre assurantiel
Il s’agit, a plaidé le député Mounir Belhamiti (Renaissance), « de préciser les conditions de prise en charge par les assurances des risques de cyberattaques », en incitant les victimes « à porter plainte rapidement s’ils veulent pouvoir prétendre à une indemnisation ».
Controversée, la disposition prévoyait initialement de conditionner le remboursement d’une cyber-rançon par une assurance à un dépôt de plainte.
Mais alors que la consigne gouvernementale est de ne pas payer les rançons, la formulation avait heurté les professionnels. Le Club des experts de la sécurité de l’information et du numérique (CESIN) s’était par exemple inquiété d’une pression des assureurs pour le paiement des rançons dans les cas où l’extorsion coûterait moins cher que la remédiation.
Plus de mention du paiement d’une rançon
Source de polémiques, la mention du paiement d’une rançon a finalement été évacuée par la Commission des lois de l’Assemblée nationale, qui a préféré élargir le cadre à toutes les attaques informatiques.
Une suggestion notamment portée devant les députés par le chef des cybergendarmes, et qui devrait améliorer la connaissance des pouvoirs publics de l’état réel de la menace. « On ne parle plus nommément des rançons, même si elles restent englobées dans le dispositif », relève cependant le député insoumis Ugo Bernalicis.
L’article a ensuite été peaufiné en séance publique. Les députés ont par exemple donné plus de temps à la victime pour déposer plainte. Et le député Philippe Latombe (MoDem) a porté une précision, en remplaçant la simple notion de « dommages causés » par celle des « pertes et dommages », incluant donc explicitement les pertes d’exploitation.
« Nous aurions pu prendre un peu plus de temps pour traiter de ce sujet complexe, sur lequel il est visible que nous tâtonnons », a cependant regretté la députée insoumise Elisa Martin.
Pas sûr pour autant que le temps du débat soit terminé. Après son adoption par les députés, le projet de loi pourra en effet être encore amendé par la commission mixte paritaire parlementaire.