Assurance Cyber : êtes-vous vraiment couvert contre le risque
que vous pensez assurer ?
Souscrire une assurance cyber permet-il de considérer le sujet comme réglé ? Deux actualités récentes, passées relativement sous les radars, montrent exactement l’inverse. Alors comme « une personne avertie en vaut deux », voire « mieux vaut prévenir que guérir »…
La première actualité vient de Lyon, où une entreprise victime d’un rançongiciel n’a pas obtenu la prise en charge attendue par son assureur. La seconde vient du marché international de l’assurance, où l’arrivée des agents IA commence déjà à bousculer la définition même d’un incident cyber.
Deux histoires différentes, mais une même question pour les entreprises : contre quels scénarios sommes-nous réellement assurés ?
Quand le contrat ne couvre pas le risque imaginé
L’affaire jugée le 20 août 2026 par le tribunal judiciaire de Lyon est particulièrement instructive. En juin 2021, un éditeur de logiciels est victime d’un rançongiciel. Ses serveurs sont paralysés et des données de quatorze clients professionnels sont perdues. L’entreprise se tourne alors vers son assureur pour obtenir la prise en charge de différents préjudices. Le litige porte sur plus de 155 000 euros.
Premier réflexe : penser que le dossier s’est joué sur l’absence de sauvegarde externalisée, initialement invoquée par l’assureur. En réalité, le tribunal n’a même pas eu besoin de trancher ce point. Les juges ont relevé dans les conditions générales une exclusion concernant les conséquences de fraudes, y compris informatiques. Selon leur analyse, l’attaque menée par un tiers entrait dans cette exclusion. La garantie de responsabilité civile invoquée par l’entreprise ne pouvait donc pas fonctionner.
Autre élément intéressant : l’entreprise estimait ne pas avoir été suffisamment conseillée sur l’étendue de sa couverture. Le tribunal rappelle que, lorsqu’un courtier intervient, c’est au distributeur d’assurance qu’il revient de s’assurer que le contrat proposé correspond aux besoins exprimés par son client. Dans cette affaire précise, le courtier n’était toutefois pas partie à la procédure.
Cette décision ne signifie évidemment pas que les cyberattaques ne sont pas assurables. Elle rappelle quelque chose de beaucoup plus simple : avoir une assurance ne signifie pas automatiquement être couvert contre tous les scénarios que l’on associe spontanément au mot “cyber”. D’où l’intérêt de faire appels aux bons experts qui maîtrisent le sujet.
REGARD D’EXPERT – Mickaël VIALLIS (RESCO COURTAGE)
Beaucoup
d'ESN pensent que leur RC professionnelle les protège en cas de cyberattaque.
En réalité, cette garantie l’exclue quasi systématiquement. Une simple clause «
fraude informatique » a suffi ici à écarter toute indemnisation, tandis qu'une
police cyber mal articulée avec elle laisse d'autres angles morts : périmètre
plus étroit qu’imaginé, sous-limites inférieures à celles affichées, prérequis
non respectés. C'est à l'articulation de ces deux contrats que se creuse
l'écart entre ce qu'on croit avoir assuré et ce qui est réellement couvert.
D'où le rôle déterminant d'un courtier expert, seul à faire tenir l'ensemble et
à éviter le vide de garantie le jour du sinistre
Et maintenant, les agents IA brouillent les frontières
C’est là que la seconde actualité devient particulièrement intéressante. En effet, Reuters a récemment révélé que plusieurs acteurs de l’assurance cyber travaillent déjà sur l’évolution de leurs contrats face aux agents IA autonomes. MSIG, QBE ou encore Beazley examinent notamment la manière dont les garanties existantes s’appliquent lorsque des systèmes d’IA réalisent des actions de manière autonome.
Pourquoi ? Parce que les contrats cyber ont historiquement été construits autour de scénarios relativement identifiables : accès non autorisé, attaque d’un serveur, vol de données, ransomware… Mais avec un agent IA, la frontière devient moins évidente. Une entreprise peut par exemple donner volontairement à un agent des droits d’accès à son système d’information afin qu’il réalise une tâche. Mais que se passe-t-il si cet agent utilise ensuite ces accès pour effectuer une action imprévue, exposer des données ou provoquer une interruption de service ? Il peut alors y avoir un dommage informatique majeur… sans hacker traditionnel et sans accès initialement non autorisé.
Les assureurs ne cherchent d’ailleurs pas forcément à exclure tous ces risques. Reuters rapporte plutôt un travail de clarification et d’adaptation des garanties au regard de l’évolution technologique, notamment de l’IA. QBE considère par exemple l’IA comme un amplificateur de risque plutôt que comme une nouvelle catégorie de cyber-risque. Mais certaines situations restent complexes, notamment lorsqu’un agent autonome agit avec les autorisations qui lui ont été données.
REGARD D’EXPERT – ONLYNNOV
Verbatim à intégrer sur l’impact concret de l’IA et des agents autonomes sur les contrats cyber et les discussions actuellement menées avec les entreprises et assureurs.
Passer de « sommes-nous assurés ? » à « contre quoi sommes-nous assurés ? »
Ces deux actualités racontent finalement la même histoire : le risque numérique évolue, les usages changent et les dépendances technologiques avec. Et le contrat souscrit il y a quelques années ne correspond plus nécessairement aux scénarios auxquels l’entreprise est aujourd’hui exposée.
L’assurance cyber doit donc être envisagée comme un élément de la stratégie globale de gestion du risque, et non comme un simple filet de sécurité. C’est également l’un des enseignements de l’étude LUCY 2026 de l’AMRAE : le marché français devient plus accessible, avec davantage de concurrence et des conditions plus favorables aux entreprises, mais l’équilibre reste fragile et la sinistralité progresse notamment chez les ETI.
Lors d’une souscription ou d’un renouvellement, quelques questions méritent donc d’être posées très concrètement :
- Quels événements déclenchent réellement nos garanties ?
- Quelles sont les principales exclusions et conditions de couverture ?
- Les pertes d’exploitation, frais de remise en état, atteintes aux données ou dommages subis par nos clients sont-ils couverts ?
- Quelles mesures de sécurité devons-nous impérativement maintenir pour conserver cette couverture ?
- Nos nouveaux usages, notamment ceux liés à l’IA et demain aux agents autonomes, modifient-ils notre exposition ?
L’objectif n’est pas de connaître par cœur plusieurs dizaines de pages de conditions générales. C’est précisément là que le dialogue entre dirigeant, équipes cyber, DSI, assureur et courtier prend alors tout son sens. Car une assurance cyber se teste finalement un peu comme un plan de continuité : mieux vaut découvrir ses angles morts avant l’incident qu’au moment de demander l’indemnisation. Et avec l’arrivée de l’IA agentique, cette vérification pourrait bien devenir encore plus importante.
Sources :
AMRAE : https://www.amrae.fr/lucy-lumiere-sur-la-cyberassurance-edition-2026