GLOSSAIRE
Glossaire de la cyber-assurance
Définitions brèves et citables des notions qui structurent la souscription, les sinistres et la réglementation cyber.
Assurabilité des sanctions
Possibilité de couvrir par une assurance les sanctions administratives, par exemple en matière de protection des données. Elle dépend du droit applicable et du texte de la police, et certains droits nationaux l'interdisent.
Assurance cyber
Contrat qui transfère à l'assureur, dans des limites et conditions contractuelles, une partie des pertes financières causées par des incidents informatiques : frais de gestion de l'incident, perte d'exploitation, réclamations de tiers et sanctions assurables.
Authentification multifacteur (MFA)
Accès qui exige au moins deux preuves d'identité de nature différente, par exemple un mot de passe et un code généré par une application. C'est l'un des contrôles minimaux exigés par la plupart des assureurs cyber.
Betterment
Amélioration des systèmes obtenue en les restaurant après un sinistre. Beaucoup de polices paient le retour à l'état antérieur et non le coût des améliorations.
Carence de fournisseurs (dependent BI)
Perte d'exploitation causée par l'indisponibilité d'un prestataire tiers, par exemple un fournisseur cloud, dont dépend l'assuré. Elle peut n'être couverte que pour des prestataires désignés ou avec une sous-limite.
Claims-made
Déclencheur selon lequel la police couvre les réclamations formulées pour la première fois pendant la période d'assurance, à condition que le fait ne soit pas antérieur à la date de rétroactivité. C'est la base la plus courante des garanties de responsabilité cyber.
Cumul cyber (Cyber Aggregation)
Risque qu'un même événement, par exemple la défaillance d'un fournisseur cloud ou une vulnérabilité logicielle largement répandue, entraîne des pertes simultanées chez de nombreux assurés d'un même portefeuille.
Cyber Resilience Act (CRA)
Règlement (UE) 2024/2847 fixant des exigences de cybersécurité pour les produits comportant des éléments numériques. Les obligations de signaler les vulnérabilités exploitées et les incidents s'appliquent depuis le 11 septembre 2026, les obligations principales à partir du 11 décembre 2027.
DORA
Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025 : il impose la gestion du risque informatique, la notification des incidents et la surveillance des prestataires critiques.
Date de rétroactivité
Date avant laquelle les faits ne sont pas couverts par une police claims-made, même si la réclamation est formulée pendant la période d'assurance. Une intrusion commencée avant cette date peut donc être exclue.
Directive sur la responsabilité du fait des produits défectueux
Directive (UE) 2024/2853, qui considère le logiciel comme un produit et s'applique aux produits mis sur le marché après le 9 décembre 2026. Les dommages indemnisables excluent notamment les biens utilisés exclusivement à des fins professionnelles et la perte purement économique.
Délai de carence (waiting period)
Nombre d'heures qui doivent s'écouler depuis le début de l'indisponibilité des systèmes avant que la garantie perte d'exploitation n'indemnise la perte de marge.
Délai subséquent (ERP)
Période après l'expiration d'une police claims-made pendant laquelle l'assuré peut encore déclarer des réclamations nées de faits survenus pendant la période de garantie. Elle exige souvent une prime supplémentaire.
EDR (Endpoint Detection and Response)
Outil qui surveille les terminaux, détecte les comportements anormaux et permet de les isoler et de les analyser. Sa présence est souvent évaluée lors de la souscription.
Exclusion de guerre cyber (Cyber War Exclusion)
Clause excluant les pertes résultant d'une guerre ou d'opérations cyber attribuables à des États. Le marché du Lloyd's exige des clauses de ce type dans les polices cyber autonomes depuis le 31 mars 2023.
Extorsion cyber
Garantie des frais liés à une menace d'endommager des systèmes ou de divulguer des données en l'absence de paiement, y compris, lorsque la loi et la police le permettent, les négociateurs et le paiement de la rançon.
Frais de gestion de l'incident
Dépenses engagées pour répondre à un événement cyber : investigation forensique, conseil juridique, confinement et restauration, communication et notification aux personnes et aux autorités.
Fraude par ingénierie sociale
Escroquerie qui pousse une personne à effectuer un paiement ou à révéler des identifiants, par exemple un faux e-mail d'un fournisseur ou d'un dirigeant. Elle n'est souvent couverte qu'avec des sous-limites et des conditions de vérification.
Garanties dommages propres
Garanties des pertes subies directement par l'assuré, comme les frais de restauration des systèmes, l'investigation forensique, l'extorsion, la perte d'exploitation et la notification des personnes concernées.
NIS2
Directive (UE) 2022/2555 qui renforce les obligations de gestion des risques de cybersécurité et de notification des incidents pour les entités essentielles et importantes de l'Union européenne.
Perte d'exploitation (cyber)
Garantie qui indemnise la perte de marge opérationnelle causée par l'interruption des systèmes informatiques à la suite d'un événement cyber.
Plafond de garantie
Montant maximal que l'assureur paie par sinistre ou par période d'assurance. Il peut s'agir d'un plafond global pour toute la police ou être réduit par des sous-limites sur certaines garanties.
Prestataires du panel
Cabinets d'avocats, sociétés forensiques et autres professionnels agréés à l'avance par l'assureur. Beaucoup de polices ne couvrent les frais de réponse que si l'on fait appel à eux ou si l'assureur en approuve d'autres.
Questionnaire de souscription
Formulaire dans lequel le candidat décrit ses mesures de sécurité (MFA, sauvegardes, correctifs, EDR). Les réponses déterminent le prix et les conditions, et des déclarations inexactes peuvent compromettre la garantie.
Rançongiciel
Logiciel malveillant qui chiffre ou bloque les données et les systèmes et exige une rançon pour les rétablir. Il est souvent combiné à un vol de données utilisé comme menace supplémentaire (double extorsion).
Responsabilité civile envers les tiers
Garantie des réclamations de clients, partenaires ou autres personnes lésées par l'incident cyber de l'assuré, y compris les frais de défense.
Risque systémique
Risque qu'un seul événement touche de nombreux acteurs en même temps, par exemple via un prestataire commun ou une vulnérabilité très répandue. C'est la principale limite à la capacité des assureurs à proposer des garanties cyber.
Rétention (SIR)
Montant de chaque sinistre supporté par l'assuré avant l'intervention de la police. Dans les polices cyber, il prend souvent la forme d'une rétention propre et peut varier selon la garantie.
Silent Cyber
Risque cyber ni expressément inclus ni expressément exclu des polices traditionnelles (non cyber), pouvant générer des expositions que l'assureur n'a ni quantifiées ni tarifées.
Sous-limite
Plafond inférieur à la limite globale de la police, appliqué à une garantie spécifique, par exemple le ransomware ou la perte d'exploitation.
Subrogation
Droit de l'assureur qui a indemnisé un sinistre d'agir contre le responsable du dommage, par exemple un fournisseur, pour récupérer ce qu'il a payé.
System failure
Panne qui n'est pas causée par une attaque, comme une erreur de configuration ou une mise à jour défectueuse. Certaines polices l'incluent dans la garantie perte d'exploitation, d'autres l'excluent.