Assurance cyber pro : rançongiciel et exclusions à vérifier

Quand un rançongiciel bloque un poste, la vraie question n’est pas seulement « faut-il payer ? », mais surtout quels frais le contrat cyber peut réellement prendre en charge, et quelles exclusions ou conditions déclenchent une mauvaise surprise. Pour une entreprise, le bon réflexe consiste à relire la garantie à partir de l’événement lui-même : arrêt des systèmes, demande de rançon, récupération des données, déclaration aux autorités, puis vérification du périmètre exact du contrat.

Dans cet article, le sujet est volontairement étroit : la prise en charge d’un rançongiciel dans une assurance cyber professionnelle, et non la prévention informatique générale. L’objectif est simple : vous aider à lire les bonnes lignes du contrat avant d’ouvrir un dossier, sans supposer qu’une garantie couvre automatiquement la rançon, les pertes d’exploitation ou la remise en état. (franceassureurs.fr)

Le point de départ : identifier ce que le rançongiciel a touché

Un rançongiciel chiffre des données ou bloque un système pour obtenir une somme d’argent en échange d’une clé de déchiffrement. Le premier tri utile consiste donc à distinguer trois zones : les systèmes paralysés, les données potentiellement perdues ou altérées, et les données personnelles éventuellement exposées. Cette distinction compte parce qu’un contrat cyber ne traite pas toujours ces effets de la même manière.

• Blocage du système : l’activité s’arrête, mais les données ne sont pas forcément exfiltrées.
• Chiffrement ou destruction de fichiers : la question porte alors sur la restauration, les sauvegardes et les frais techniques.
• Violation de données personnelles : si le traitement de données est concerné, la notification à la CNIL peut devenir nécessaire.

Ce qu’un contrat cyber peut couvrir, selon ses clauses

Les sources officielles décrivent surtout une logique de gestion d’événement cyber : accompagnement de crise, mobilisation d’experts, prise en charge de certains coûts techniques et financiers, soutien à la reprise d’activité. Cela peut inclure, selon les contrats, des prestations d’analyse, de remise en état, de reconstitution de données ou d’appui à la gestion de crise. Mais rien n’autorise à présumer que tous ces postes sont inclus par défaut. (franceassureurs.fr)

Un exemple concret : atelier NovaPrint découvre un message de rançon sur son serveur de fichiers. Avant même de parler indemnisation, il faut vérifier si le contrat vise uniquement les frais de réponse à incident, ou s’il couvre aussi les conséquences financières de l’interruption d’activité. France Assureurs rappelle que le marché distingue bien les garanties d’accompagnement et la reprise d’activité, mais les contours varient selon les contrats. (franceassureurs.fr)

Les exclusions et limites à lire en priorité

Pour un contrat cyber pro, les exclusions ne doivent pas être devinées : elles doivent être lues ligne par ligne. Commencez par les clauses qui limitent mécaniquement la prise en charge : plafond, franchise, périmètre des frais remboursables, territoire couvert et conditions de déclaration. Les articles officiels ne donnent pas une liste unique d’exclusions cyber valable pour tous les contrats ; ils montrent au contraire que l’étendue des garanties varie. (franceassureurs.fr)

• Vérifiez si la garantie vise la rançon elle-même ou seulement les frais liés à l’attaque. (legifrance.gouv.fr)
• Vérifiez si les frais d’expertise et de remise en état sont listés comme frais garantis. (franceassureurs.fr)
• Vérifiez si l’interruption d’activité fait l’objet d’une garantie distincte. (franceassureurs.fr)
• Vérifiez les clauses qui conditionnent la garantie à une plainte rapide ou à une démarche précise. (legifrance.gouv.fr)

Ce que dit le droit français sur la plainte et la déclaration

Le Code des assurances prévoit qu’en matière d’atteinte à un système de traitement automatisé de données, le versement d’une somme au titre d’un contrat visant à indemniser des pertes et dommages est subordonné au dépôt d’une plainte auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l’atteinte. La disposition s’applique aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle. (legifrance.gouv.fr)

En parallèle, lorsqu’un rançongiciel touche des données personnelles et crée un risque pour la vie privée, les responsables de traitement doivent notifier la CNIL dans les meilleurs délais ; la fiche officielle de la CNIL rappelle aussi l’échéance de 72 heures après la prise de connaissance de la violation. Il est donc utile de distinguer la plainte, la notification CNIL et la déclaration au contrat, car ces démarches ne poursuivent pas le même objectif. (cnil.fr)

Comment lire son dossier sans se tromper

• Relisez le libellé exact de la garantie cyber : couvre-t-elle la réponse à incident, les pertes financières, ou les deux ? (franceassureurs.fr)
• Repérez la condition de plainte et la fenêtre de 72 heures prévue par le Code des assurances. (legifrance.gouv.fr)
• Vérifiez les exclusions écrites dans la notice : tout ce qui n’est pas listé comme garanti peut rester hors champ. (franceassureurs.fr)
• Préparez les preuves utiles : message de rançon, fichiers chiffrés, traces de l’incident. Service-Public recommande de les collecter dès le départ.

Questions fréquentes

Faut-il payer la rançon pour être indemnisé ?
Les sources officielles ne disent pas qu’un paiement garantit une issue favorable ; Service-Public précise même que le paiement n’assure pas le retour d’accès aux fichiers. Il faut donc se référer aux clauses du contrat et aux démarches imposées par la police d’assurance.

Une assurance cyber couvre-t-elle toujours la reprise d’activité ?
Non, pas automatiquement. Les ressources officielles évoquent un accompagnement et certains coûts, mais la reprise d’activité dépend du contrat et de ses limites. (franceassureurs.fr)

Pourquoi la CNIL intervient-elle dans un sujet d’assurance cyber ?
Parce qu’un rançongiciel peut aussi devenir une violation de données personnelles. La gestion assurantielle et les obligations RGPD peuvent alors se superposer. (cnil.fr)

Pour aller plus loin dans la lecture des garanties professionnelles, vous pouvez consulter Professionnels, RC professionnelle et exploitation : poser les bonnes questions, Protection juridique : lire le périmètre avant de choisir et Faire le point sur ses garanties sans multiplier les contrats.

Sources consultées le 15 octobre 2026 : Service-Public – Rançongiciel ou ransomware ; economie.gouv.fr – Cinq conseils pour se prémunir contre les rançongiciels ; Légifrance – Code des assurances, article L.12-10-1 ; CNIL – Multiplication des attaques par rançongiciel : comment limiter les risques ?.