Le ministère de l’Economie entérine le paiement d’une rançon lors d’une cyber attaque

La direction générale du Trésor, qui dépend du ministère de l’Economie et des Finances, propose un plan d’actions afin d’accélérer la couverture assurantielle des entreprises face au risque cyber.

Une clause entérine le paiement d’une rançon qui pour être remboursée par l’assureur nécessiterait que l’entreprise attaquée porte plainte. Le paiement des rançons par les assureurs fut dénoncé il y a quelque temps par certains comme un pousse au crime. La Direction du Trésor pour sa part veut relativiser le risque que les entreprises françaises soient spécialement ciblées dans le monde en cas d’assurabilité du paiement de la rançon car elle souligne qu’aucun état de l’OCDE n’interdit ce remboursement de la rançon.

Une task force mise en place fin septembre 2022

Afin de mettre en œuvre les orientations du plan d’actions, une task force dédiée sera mise en place d’ici la fin du mois de septembre 2022. Elle associera les acteurs concernés. La mesure dédiée aux cyber-rançons oblige à un dépôt de plainte pour être indemnisé. Elle sera partie intégrante du projet de loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) présenté le mercredi 7 septembre en Conseil des Ministres.

« Ce rapport propose des actions concrètes et crédibles pour développer un marché de solutions assurantielles, tout en renforçant la prévention du risque cyber » affirme Bruno Le Maire, ministre de l’Economie, des Finances et de la Souveraineté industrielle et numérique. « Je souhaite que ces orientations soient mises en œuvre le plus rapidement possible. L’enjeu est crucial, il s’agit d’affirmer la souveraineté numérique de notre économie face à un accroissement des menaces cyber, pour renforcer la résilience de nos entreprises » dit-il.

La direction générale du Trésor a mis en place, en juin 2021, un groupe de travail portant sur le développement d’une offre d’assurance des risques cyber à la demande de Bruno Le Maire. La direction du Trésor constate que les cyber-attaques sont aujourd’hui susceptibles de menacer la survie d’une entreprise. Elle considère que le risque cyber est encore relativement peu assuré, et qu’il ne représente que 3 % des cotisations en assurance dommage des professionnels.

Un groupe de travail qui réunissait les parties prenantes

Le groupe de travail sur le développement d’une offre assurantielle des risques cyber, a associé les services de l’État, des représentants des entreprises, des organismes d’assurance et de réassurance et des experts du monde académique.

Le plan d’actions prévoit de clarifier le cadre juridique et les clauses de l’assurance du risque cyber. C’est une priorité pour mettre fin aux incertitudes qui peuvent entourer la couverture éventuelle de dommages consécutifs à la réalisation d’un risque cyber.  L’obligation d’un dépôt de plainte de la victime pour permettre l’assurabilité d’une cyber-rançon, ainsi qu’un principe général d’inassurabilité des sanctions administratives sont également proposés pour lever des ambiguïtés dommageables aux assurés comme aux assureurs.

Ce plan d’actions veut favoriser une meilleure mesure du risque cyber. Il est notamment préconisé de faciliter la transmission d’informations entre assureurs au sein d’une plateforme de partage de données sur les incidents cyber afin de disposer de davantage de données sur ce risque.

Une assurance de type paramétrique pour un remboursement automatique

Le plan d’actions propose l’usage de solutions innovantes, comme l’assurance paramétrique qui réalise le versement automatique d’une prestation établie en fonction d’un indice mesurable automatiquement, le développement de solutions d’auto-assurance telles que les captives de réassurance pourrait permettre de créer un marché de l’assurance du risque cyber.

Ce plan veut accroître les efforts de sensibilisation des entreprises au risque cyber ainsi qu’accroître les efforts de formation des professionnels de l’assurance. La définition de référentiels de sécurité partagés et un travail sur l’harmonisation des questionnaires de sécurité utilisés par les assureurs constituent également un levier pour renforcer la résilience des entreprises.