Vous avez souscrit une cyberassurance et vous acquittez la prime chaque année. La question qui mérite d'être posée est de savoir ce que cette police couvrirait effectivement le jour où un ransomware atteindrait votre usine. Dans la majorité des dossiers que nous examinons chez des industriels marocains, la couverture réelle se situe très en deçà des pertes attendues lors d'un incident majeur.
Il ne s'agit pas de mauvaise foi de la part des assureurs. Les polices sont rédigées par des juristes et des actuaires qui maîtrisent le risque informatique. L'environnement industriel, avec ses automates, ses systèmes de supervision et ses lignes de production, relève d'une autre logique, et ce qui n'est pas compris se retrouve rarement couvert.
Les sept exclusions que personne ne lit
Voici les clauses d'exclusion les plus fréquentes dans les polices commercialisées au Maroc et en Afrique du Nord. Chacune peut réduire l'indemnisation à néant.
Exclusion 1 : Systèmes non inventoriés
Si l'équipement touché ne figure pas dans l'inventaire déclaré à l'assureur, il n'est pas couvert. Or, en environnement industriel, des équipements se raccordent au réseau sans que leur mise en service ait jamais été documentée, et ils échappent donc à l'inventaire transmis à l'assureur.
Exclusion 2 : Défaut de mesures de sécurité minimales
La plupart des polices imposent un socle : authentification multifacteur, sauvegardes dont la restauration a été testée, segmentation des réseaux. Si l'enquête consécutive à l'incident établit que ces mesures étaient absentes, l'assureur décline la prise en charge. La comparaison avec une assurance incendie qui refuserait d'indemniser en l'absence d'extincteur est ici tout à fait exacte.
Exclusion 3 : Dommages physiques causés par une cyberattaque
Un ransomware bloque votre supervision, une vanne reste ouverte, une cuve déborde. Les dégâts matériels ne relèvent pas de la cyberassurance, tandis que votre assurance dommages classique exclut les causes informatiques. Le sinistre se situe alors dans un intervalle que ni l'une ni l'autre ne prend en charge, et cet intervalle n'apparaît qu'au moment de la déclaration.
Exclusion 4 : Arrêt de production OT
La clause de perte d'exploitation couvre généralement l'indisponibilité des systèmes informatiques. L'arrêt de production consécutif à la compromission d'un automate ou d'un système de supervision fait l'objet d'un traitement distinct. Dans la majorité des polices que nous avons examinées, les systèmes industriels sont explicitement exclus ou plafonnés à un montant sans rapport avec l'exposition réelle.
Exclusion 5 : Actes de guerre et attaques étatiques
Depuis NotPetya en 2017, les assureurs ont généralisé les clauses d'exclusion visant les attaques attribuées à des États. La difficulté tient à l'attribution elle-même, qui reste incertaine et se prête à une interprétation extensive. Si l'attaque subie par votre site emploie un outil associé à un groupe étatique, y compris revendu par la suite, la clause peut être invoquée.
Exclusion 6 : Sous-traitants et fournisseurs
L'attaque a transité par votre prestataire de maintenance ou par la connexion de votre intégrateur. De nombreuses polices excluent les incidents dont l'origine se situe chez un tiers, sauf si vous établissez avoir évalué et suivi la sécurité de ce tiers. Cette preuve suppose une démarche engagée avant l'incident, et non reconstituée après.
Exclusion 7 : Non-conformité réglementaire
Si vous relevez de la loi 05-20 sans être en conformité, certains assureurs se réservent la faculté de réduire ou de refuser l'indemnisation, au motif que les obligations étaient connues et n'ont pas été satisfaites.
Ce que votre police couvre vraiment (et ce qu'elle ne couvre pas)
Les exigences des assureurs se durcissent
Le marché de la cyberassurance évolue rapidement. Confrontés à des sinistres importants à l'échelle internationale, les assureurs soumettent désormais leurs candidats à des questionnaires de souscription nettement plus détaillés. Ce qui est demandé aujourd'hui :
- La preuve du déploiement de l'authentification multifacteur sur tous les accès privilégiés
- Un plan de sauvegarde assorti de tests de restauration documentés
- Une segmentation démontrée entre réseaux bureautiques et industriels
- Un programme de sensibilisation des collaborateurs
- Un plan de réponse aux incidents formalisé et éprouvé
- Un inventaire à jour des actifs connectés
- Une gestion documentée des correctifs
Point de vigilance : une déclaration inexacte dans le questionnaire de souscription constitue un motif de nullité du contrat. Si vous déclarez disposer d'une authentification multifacteur et que l'enquête établit le contraire, la couverture peut être annulée rétroactivement. Ce risque justifie de faire vérifier les réponses par la personne qui exploite réellement les systèmes, et non par celle qui remplit le formulaire.
Comment combler les lacunes
La cyberassurance conserve son utilité : elle est nécessaire, mais elle ne suffit pas. Cinq mesures permettent d'en tirer ce qu'elle peut réellement apporter.
- Faites auditer votre police par un spécialiste de la sécurité, et pas uniquement par votre courtier. L'objectif est d'identifier chaque exclusion susceptible de s'appliquer à votre environnement.
- Établissez un inventaire complet de vos actifs informatiques et industriels. Ce qui n'est pas déclaré n'existe pas du point de vue de l'assureur.
- Mettez en œuvre le socle exigé par la police : authentification multifacteur, sauvegardes, segmentation. Ce sont les mêmes mesures que celles attendues au titre de la loi 05-20 et des référentiels de la DGSSI, ce qui permet de servir deux objectifs avec le même effort.
- Négociez des avenants spécifiques couvrant explicitement les systèmes industriels, l'arrêt de production et les dommages physiques consécutifs.
- Documentez systématiquement chaque mesure déployée, chaque test réalisé et chaque décision prise. En cas de sinistre, cette documentation constitue votre preuve de diligence.
Le vrai calcul à faire
Le calcul utile ne porte pas sur la prime. Il porte sur l'écart entre le plafond inscrit dans votre police et ce que coûterait réellement un arrêt de production de plusieurs jours. Faites-le avec vos propres chiffres, poste par poste.
- Perte de production, marge comprise, pour chaque jour d'arrêt
- Destruction de stock, immédiate et totale si votre production est périssable
- Réponse à incident et investigation, facturées en jours d'intervention
- Reprogrammation et revalidation des automates avant redémarrage
- Pénalités contractuelles prévues par vos contrats de livraison
- Atteinte à la réputation : non chiffrable, et rarement couverte
Additionnez ces postes, puis placez le total en regard du plafond de votre police. Dans la plupart des cas, la différence est considérable, et elle reste intégralement à la charge de votre trésorerie. Elle n'est même acquise qu'à la condition qu'aucune exclusion ne trouve à s'appliquer. C'est cet écart, et non le montant de la prime, qui devrait déterminer le niveau d'investissement en prévention.
La cyberassurance est un filet de sécurité, non un substitut à la sécurité. Investir en prévention réduit à la fois la probabilité de l'incident et la part non couverte du sinistre. Les deux effets se cumulent, ce qui explique pourquoi les organisations les mieux protégées obtiennent aussi les meilleures conditions.
Conclusion
Une police d'assurance atténue un choc financier, à condition que les obligations souscrites aient été respectées. Chaque dirham consacré à la sécurité effective, qu'il s'agisse d'inventaire, de segmentation, de surveillance ou de préparation à l'incident, renforce simultanément votre position contractuelle vis-à-vis de l'assureur et réduit votre exposition.
La distinction entre être assuré et être protégé n'est pas rhétorique. Elle se matérialise au moment de la déclaration de sinistre, lorsque l'écart entre les deux se lit dans le montant qui reste à votre charge.