{"id":14072,"date":"2022-10-27T15:17:43","date_gmt":"2022-10-27T15:17:43","guid":{"rendered":"https:\/\/www.asquarepartners.com\/?p=14072"},"modified":"2022-11-15T12:12:20","modified_gmt":"2022-11-15T12:12:20","slug":"lassurance-cyber-pourquoi-fait-elle-peur-aux-assureurs","status":"publish","type":"post","link":"https:\/\/www.asquarepartners.com\/nl\/lassurance-cyber-pourquoi-fait-elle-peur-aux-assureurs\/","title":{"rendered":"L\u2019assurance cyber, pourquoi fait-elle peur aux assureurs\u00a0?"},"content":{"rendered":"

\"\"<\/a><\/p>\n

Le risque cyber, un des plus grands ennemis des assurances ? C\u2019est en tout cas la conclusion tir\u00e9e par le Forum \u00e9conomique mondial de Davos<\/strong><\/a> ainsi que par France Assureurs<\/strong> et elle n\u2019est pas sans raison : environ 1 000 entreprises belges et une entreprise fran\u00e7aise sur deux ont \u00e9t\u00e9 touch\u00e9es par des attaques cyber en 2021. Malgr\u00e9 ce constat, la situation peut devenir encore plus critique : d\u2019un point de vue de l\u2019assurance auto, la voiture autonome et la voiture connect\u00e9e peuvent avoir un impact cons\u00e9quent sur cette derni\u00e8re et dans une approche plus futuriste et globale, l\u2019ampleur du m\u00e9tavers<\/a> aussi. Le march\u00e9 des assurances cyber ne semble pourtant pas se d\u00e9velopper \u00e0 la m\u00eame vitesse.<\/p>\n

\u00c9tat des lieux <\/strong><\/h5>\n

Alors que le march\u00e9 des assurances cyber a vu le jour d\u00e8s les ann\u00e9es 2000 de l\u2019autre c\u00f4t\u00e9 de l\u2019Atlantique, sur le march\u00e9 europ\u00e9en et plus particuli\u00e8rement en France et en Belgique, ce march\u00e9 peine \u00e0 prendre ses marques.<\/p>\n

L\u2019offre de ce type de contrat destin\u00e9 aux professionnels existe depuis 5 ans en Belgique et en France. Les quelques clients actuels sont principalement parmi les grandes multinationales et, dans une moindre mesure, parmi les petites et moyennes entreprises, ainsi que quelques entreprises cibles comme les professions lib\u00e9rales. Du c\u00f4t\u00e9 des assureurs, ils sont tr\u00e8s peu nombreux \u00e0 proposer une couverture cyber. De plus, la Wallonie propose moins de contrats de ce type qu\u2019ailleurs en Belgique. La couverture contre les risques cyber se pr\u00e9sente sous deux formes : soit elle est rattach\u00e9e \u00e0 une responsabilit\u00e9 civile ou une protection juridique, ou bien elle existe en tant que police d\u2019assurance \u00e0 part enti\u00e8re.<\/p>\n

En France, en 2021, le march\u00e9 de l\u2019assurance dommages des professionnels totalisait 185 millions d\u2019euros pour les primes cyber (Source : AMRAE). Cependant, le rapport Lucy 2022<\/a> de l\u2019AMRAE, mentionne que les offres d\u2019assurances cyber ne correspondent aux attentes des grandes entreprises, notamment d\u00fb aux montants \u00e9lev\u00e9s des franchises<\/strong>. Au vu de ce constat, m\u00eame si ce march\u00e9 est port\u00e9 par les quelques multinationales qui en sont actuellement clientes, celles qui ne sont pas encore clientes ne le deviennent pas et pr\u00e9f\u00e8rent s\u2019assurer seules ou dans des groupes de mutuelles d\u2019assurance, comme nous allons le voir plus loin.<\/p>\n

 <\/p>\n

“Les offres d\u2019assurances cyber ne correspondent aux attentes des grandes entreprises, notamment d\u00fb aux montants \u00e9lev\u00e9s des franchises<\/strong>.”<\/h3>\n

 <\/p>\n

 <\/p>\n

En ce qui concerne les sp\u00e9cificit\u00e9s du contrat d\u2019assurance cyber, diverses clauses peuvent en faire l\u2019objet. Une clause d\u2019exclusion des pertes engendr\u00e9es par une attaque lorsque celle-ci occasionne un effet de catastrophe pour l\u2019Etat attaqu\u00e9 doit \u00eatre mentionn\u00e9e. Des clauses excluant des pertes provenant d\u2019une guerre, si le contrat ne dispose pas de clause d\u2019exclusion pour de tels conflits, sont \u00e9galement mentionn\u00e9es. Cependant, comme le souligne la Direction du Tr\u00e9sor<\/strong>, l\u2019impl\u00e9mentation et l\u2019effectivit\u00e9 de ces clauses ne sont pas toujours \u00e9videntes. C\u2019est particuli\u00e8rement le cas lorsque le terme de cyberguerre n\u2019est pas clairement d\u00e9fini juridiquement et que la sinistralit\u00e9 de l\u2019assur\u00e9 n\u2019est pas clairement d\u00e9finie si l\u2019origine de l\u2019attaque ne peut l\u2019\u00eatre.<\/p>\n

Dangers d\u2019une attaque cyber<\/strong><\/h5>\n

Les types d\u2019attaques cyber sont de plus en plus diversifi\u00e9es. Parmi celles-ci, on peut retrouver des malwares et ransomwares, ainsi que le vol d\u2019identit\u00e9. Par ailleurs, pour un plus grand impact sur l\u2019image ou la finance de l\u2019entreprise, le vol d\u2019identit\u00e9 est la meilleure arme des attaquants. Les menaces d\u2019une attaque cyber sont diverses et engendrent des dommages cons\u00e9quents pour une entreprise : frais li\u00e9s aux cons\u00e9quences imm\u00e9diates de l\u2019incident, que ce soit la gestion de l\u2019incident ou les pertes financi\u00e8res de l\u2019entreprise, les dommages mat\u00e9riels et l\u2019engagement de la responsabilit\u00e9 civile de l\u2019entreprise. De plus, la perte d\u2019exploitation, ainsi que l\u2019arr\u00eat de l\u2019activit\u00e9 sont les principaux risques majeurs. De ce fait, le risque cyber est consid\u00e9r\u00e9 comme un risque op\u00e9rationnel par bon nombre d\u2019assureurs.<\/p>\n

Une autre menace qui inqui\u00e8te les entreprises, et par cons\u00e9quent, les assureurs, est le paiement d\u2019une ran\u00e7on, pouvant aller jusqu\u2019\u00e0 500 000\u20ac. Cependant, le sujet de la ran\u00e7on fait d\u00e9bat au sein de l\u2019hexagone, notamment parce qu\u2019une assurance qui offre au sein de son contrat une clause en faveur du paiement de la ran\u00e7on est per\u00e7ue comme favorisant les cybercriminels \u00e0 commettre de tels actes.  \u00c0 cet \u00e9gard, le Minist\u00e8re de l\u2019\u00c9conomie<\/strong> fran\u00e7ais a r\u00e9cemment publi\u00e9 un rapport<\/a> pr\u00e9cisant le droit des assur\u00e9s \u00e0 demander le paiement de cette ran\u00e7on par l\u2019assureur, sans que cela ne constitue un devoir pour l\u2019assureur. Partant de cette situation, il est pr\u00e9f\u00e9rable en tant qu\u2019assureur d\u2019accompagner ses assur\u00e9s autant que possible dans le cas d\u2019une attaque cyber, sans pour autant payer la ran\u00e7on.<\/p>\n

 <\/strong>Pourquoi ce march\u00e9 se d\u00e9veloppe lentement <\/strong>? <\/strong><\/p>\n

Que ce soit en Belgique ou en France, les assureurs sont m\u00e9fiants car il existe tr\u00e8s peu de donn\u00e9es statistiques sur le risque cyber. Son \u00e9volution rapide ne permet pas une adaptation \u00e9vidente, d\u2019autant plus dans un environnement encore tr\u00e8s peu connu et peu ma\u00eetrisable.<\/p>\n

\u00c9valuer le risque financier, voil\u00e0 une barri\u00e8re pour les assureurs, notamment en raison du manque de donn\u00e9es. En France, une des causes du mauvais d\u00e9veloppement de ce march\u00e9 est due \u00e0 la balance entre la valeur des primes et la valeur des dommages calcul\u00e9s : en effet, en 2020, les assureurs fran\u00e7ais ont compatibilis\u00e9 217 millions d\u2019euros de dommages pour 126 millions d\u2019euros de primes (source : AMRAE), ce qui cause un d\u00e9ficit pour ceux-ci. Le co\u00fbt des dommages pour une entreprise victime d\u2019une attaque cyber est particuli\u00e8rement difficile \u00e0 chiffrer pour deux raisons. La premi\u00e8re est l\u2019interd\u00e9pendance des syst\u00e8mes informatiques dans notre soci\u00e9t\u00e9, qui est \u00e0 l\u2019origine des ph\u00e9nom\u00e8nes d\u2019accumulation comme le pr\u00e9cise Olivier Lopez<\/strong>, Directeur de l\u2019Institut de Statistique de l\u2019Universit\u00e9 de Paris, lors de cet entretien<\/a>. La deuxi\u00e8me concerne le chiffre noir, c\u2019est-\u00e0-dire l\u2019\u00e9cart entre les actes d\u2019attaque cyber connues et les actes r\u00e9els, qui provient de la peur des victimes en ce qui concerne les cons\u00e9quences sur leur r\u00e9putation.<\/p>\n

Il est \u00e9galement tr\u00e8s difficile d\u2019anticiper les dommages de ce genre d\u2019attaque, notamment car une attaque peut avoir plusieurs cibles : m\u00eame si cela reste tr\u00e8s rare, cela peut arriver dans le cadre d\u2019une attaque contre plusieurs \u00c9tats. Par ailleurs, malgr\u00e9 la raret\u00e9 de ce type de cas, cette \u00e9ventuelle attaque visant diff\u00e9rentes cibles simultan\u00e9ment, effraie les assureurs. D\u00e8s lors, et en raison du nombre d\u2019attaques de plus en plus nombreuses, les primes des assurances sont \u00e9lev\u00e9es, alors que l\u2019offre n\u2019est d\u00e9j\u00e0 pas tr\u00e8s d\u00e9velopp\u00e9e. De ce fait, le march\u00e9 de l\u2019assurance cyber ne peut \u00e9voluer. \u00c0 cela s\u2019ajoute des compagnies d\u2019assurance s\u00e9lectives dans le choix du type de profils clients car elles sont soucieuses de leur solvabilit\u00e9, un manque de connaissance des produits en cyber assurance et une sous-estimation de l\u2019importance de ces cyberattaques, surtout pour les PME.<\/p>\n

 <\/p>\n

“Le cadre juridique des contrats d\u2019assurance cyber n\u2019est pas suffisamment clair, que ce soit pour l\u2019assureur ou pour l\u2019assur\u00e9.”<\/strong><\/h3>\n

 <\/p>\n

 <\/p>\n

Ce qui emp\u00eache \u00e9galement le bon d\u00e9veloppement du march\u00e9 cyber est li\u00e9 \u00e0 sa propre structure. En effet, le cadre juridique des contrats d\u2019assurance cyber n\u2019est pas suffisamment clair, que ce soit pour l\u2019assureur ou pour l\u2019assur\u00e9<\/strong>. La couverture \u00ab silencieuse \u00bb, qui implique que le risque cyber est couvert par des contrats IARD mais dont les assureurs et assur\u00e9s n\u2019ont pas connaissance, ou encore des garanties implicites existent. (Du point de vue des assur\u00e9s, cette couverture peut \u00eatre b\u00e9n\u00e9fique car elle est inclue dans ce type de contrat. Cependant, \u00e9tant donn\u00e9 qu’ils ignorent qu’elle existe, ils ne l’activent pas et cette derni\u00e8re n’est pas incluse dans le calcul de la prime. Pour les compagnies d’assurance, cette pratique est dangereuse, notamment car l\u2019assureur peut \u00eatre confront\u00e9 \u00e0 un risque impr\u00e9vu s’il ne prend pas en compte la cons\u00e9quence r\u00e9elle du risque dans le calcul de la prime. Par cons\u00e9quent, la couverture des contrats d\u2019assurance n\u2019\u00e9tant pas toujours claire pour l\u2019assur\u00e9, moins de polices \u00e0 ces contrats sont souscrites. De plus, l’impr\u00e9cision de la couverture \u00ab silencieuse \u00bb peut impacter de fa\u00e7on n\u00e9gative la solvabilit\u00e9 de l’assureur). \u00c0 ce sujet, suite \u00e0 la publication de l\u2019EIOPA<\/strong><\/a>, l\u2019ACPR<\/strong> encourage fortement les assureurs \u00e0 \u00ab examiner l<\/em>\u2019<\/em>ensemble des garanties contenues dans leurs contrats par rapport aux risques cyber et, le cas \u00e9ch\u00e9ant, \u00e0 clarifier et \u00e0 rendre plus explicites les formulations des termes et conditions des polices en ce qui concerne la couverture ou l<\/em>\u2019<\/em>exclusion de ces risques, pour permettre une offre exempte d\u2019<\/em>ambigu<\/em>\u00ef<\/em>t\u00e9 vis-\u00e0-vis des preneurs d<\/em>\u2019<\/em>assurance <\/em>\u00bb.<\/em><\/p>\n

Comme mentionn\u00e9 plus haut, la ran\u00e7on a des r\u00e9percussions sur le d\u00e9veloppement du march\u00e9, car certains contrats la couvrent , alors que d\u2019autres ne le font pas. Cette garantie peut avoir un effet non-d\u00e9sir\u00e9 : l\u2019augmentation des cyber-attaques. Cependant, la f\u00e9d\u00e9ration des assureurs Assuralia<\/strong> affirme que cette garantie constitue un avantage pour les assur\u00e9s, et ne devrait pas leurs engendrer de crainte: en \u00e9tant couvertes contre les ran\u00e7ons, les entreprises assur\u00e9es b\u00e9n\u00e9ficient de l\u2019aide d\u2019experts qui peuvent d\u00e9chiffrer ces demandes de ran\u00e7on et donc \u00e9clairer le client sur celle-ci.<\/p>\n

Enfin, la prise en charge ou non des sanctions administratives, par exemple en cas de non-notification de violation des donn\u00e9es, \u00e0 l\u2019\u00e9gard des entreprises victimes d\u2019une attaque cyber par les assurances occasionne des craintes aupr\u00e8s des entreprises qui voudraient \u00e9ventuellement souscrire \u00e0 de tels contrats. Dans ce cas de figure, cela peut \u00eatre pris en charge par l\u2019assureur, contrairement \u00e0 l\u2019amende p\u00e9nale. De plus, certains contrats d\u2019assurance peuvent inclure une indemnisation concernant les frais engendr\u00e9s par la mise en place d\u2019une communication de crise par l\u2019entreprise victime.<\/p>\n

Pas \u00e0 pas, les efforts se poursuivent\u2026 <\/strong><\/h5>\n

Malgr\u00e9 le contexte g\u00e9opolitique actuel, des mesures sont prises dans le march\u00e9 de l\u2019assurance pour d\u00e9velopper davantage l\u2019 assurance cyber. En France, le Ministre de l\u2019\u00c9conomie<\/strong> propose la mise en place d\u2019un groupe de travail pour d\u00e9finir ce qu\u2019est une cyberguerre afin d\u2019\u00e9tablir d\u2019\u00e9ventuelles exclusions l\u00e9gales aux contrats. De plus, l\u2019ACPR<\/strong> et France Assureurs<\/strong> \u00e9tudieront les principales clauses du march\u00e9 pour am\u00e9liorer le niveau d\u2019information des assur\u00e9s et ont pour ambition de cr\u00e9er un observatoire de la cybercriminalit\u00e9 afin de solutionner la p\u00e9nurie de donn\u00e9es. En Belgique, Assuralia<\/strong> estime qu\u2019une collaboration entre le secteur public et les assureurs pourrait permettre un meilleur d\u00e9veloppement de ce march\u00e9, avec l’intervention du Centre for Cyber Security<\/strong>, qui a pour principales missions de sensibiliser les citoyens \u00e0 ce danger et d\u2019aider les victimes.<\/p>\n

Au niveau europ\u00e9en, l\u2019EIOPA<\/strong>  estime que la cr\u00e9ation d\u2019une base de donn\u00e9es europ\u00e9ennes de signalement d\u2019 attaques cyber fond\u00e9e sur une taxonomie commune peut permettre au secteur assurantiel d\u2019am\u00e9liorer ses \u00e9valuations et sa collecte de donn\u00e9es afin que ces types de risques puissent \u00eatre mesur\u00e9s, surveill\u00e9s et g\u00e9r\u00e9s de mani\u00e8re ad\u00e9quate.<\/p>\n

En tout cas, si les assureurs ne suivent pas, certaines entreprises (Airbus, Veolia et Adeao) ont anticip\u00e9 un futur d\u00e9sastre en cr\u00e9ant une mutuelle sur le territoire belge, Miris Insurance, pour couvrir le risque d\u2019attaques cyber. Elle est toujours en attente d\u2019approbation aupr\u00e8s du r\u00e9gulateur belge, mais elle devrait \u00eatre op\u00e9rationnelle avant le 1er<\/sup> janvier 2023.<\/p>\n

Cette prise de position par de grands groupes met davantage en \u00e9vidence la gestion de l\u2019assurance  cyber par les assureurs. Le constat est sans appel : il est primordial que les compagnies d\u2019assurance r\u00e9pondent \u00e0 ce d\u00e9fi de fa\u00e7on plus claire car elles prennent le risque que d\u2019autres acteurs, comme Miris, deviennent indispensables dans ce march\u00e9. Enfin, des mutuelles d\u2019assurance comme Miris pourraient se d\u00e9velopper et proposer des produits d\u2019assurance concurrentiels et \u00e9ventuellement plus attractifs.<\/p>\n

Le sujet de l\u2019assurance cyber est donc un sujet primordial \u00e0 traiter par les compagnies d\u2019assurance, sous peine de cr\u00e9er un d\u00e9savantage pour ces derni\u00e8res.<\/p>\n

Sources :<\/h6>\n