Entreprises · Contentieux de l’assurance cyber
Refus de garantie, exclusion opposée après le sinistre, pertes d’exploitation sous-évaluées, expertise qui se prolonge : l’indemnisation d’une cyberattaque donne fréquemment lieu à un désaccord avec l’assureur. Le Cabinet Belhaouci assiste et représente les entreprises dans ces litiges, avec une lecture à la fois technique et juridique du dossier.
72h – Dépôt de plainte
À compter de la connaissance de l’atteinte — art. L. 12-10-1 C. assur.
Contrat – Déclaration du sinistre
Délai fixé par la police, souvent quelques jours ouvrés.
2 ans – Prescription de l’action contre l’assureur
Art. L. 114-1 C. assur. — délai susceptible d’interruption.
Situations rencontrées
L’assureur vous écrit que le sinistre n’entre pas dans la garantie, qu’une exclusion s’applique ou qu’une condition de sécurité n’était pas remplie. Cette position, souvent peu motivée, peut être contestée.
La garantie est admise, mais l’expert de la compagnie retient une période d’interruption réduite, écarte les frais de reconstruction du système d’information ou conteste votre marge. L’offre ne couvre alors qu’une partie des pertes réelles.
Demandes de pièces successives, réunions d’expertise repoussées, absence de position écrite. Dans l’intervalle, la trésorerie de l’entreprise est sollicitée et la prescription de deux ans continue de courir.
Motifs de refus
Un refus de garantie exprime la position de l’assureur, non une décision définitive. Chaque motif obéit à des règles précises de validité et de preuve.
L’assureur
« Une clause d’exclusion s’applique. »
Une exclusion doit être formelle et limitée, et figurer en caractères très apparents dans le contrat. Il faut examiner sa rédaction, son périmètre et son application aux circonstances du sinistre. L’assureur doit démontrer que les conditions de l’exclusion invoquée sont réunies.
L’assureur
« Le questionnaire de souscription contenait une fausse déclaration. »
Une réponse inexacte au questionnaire ne suffit pas à justifier la nullité du contrat. L’assureur doit établir son caractère intentionnel et son incidence sur l’appréciation du risque. Si la mauvaise foi n’est pas établie, une réduction proportionnelle de l’indemnité peut être applicable. L’analyse porte sur les questions posées, les réponses apportées et les justificatifs techniques disponibles lors de la souscription.
L’assureur
« Vos mesures de sécurité n’étaient pas conformes : pas de MFA, sauvegardes non externalisées. »
Tout dépend de la nature de la clause : condition de garantie, exclusion déguisée ou simple engagement de prévention. Cette qualification détermine qui doit prouver quoi, et si la sanction invoquée est licite. Il faut ensuite confronter le reproche à la réalité technique — journaux, rapport de réponse à incident, configuration effective au jour du sinistre.
L’assureur
« La plainte n’a pas été déposée dans les 72 heures. »
Pour les pertes et dommages concernés par l’article L. 12-10-1 du Code des assurances, l’indemnisation est subordonnée au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte par la victime. Ce délai ne commence donc pas nécessairement à la date de l’intrusion. Il faut examiner la chronologie de l’incident, la date de connaissance de l’attaque et les garanties invoquées pour apprécier le refus de l’assureur.
L’assureur
« Le sinistre a été déclaré trop tard. »
La déchéance pour déclaration tardive doit être prévue au contrat, et l’assureur doit démontrer que le retard lui a causé un préjudice. Cette preuve est rarement aisée lorsque le retard se limite à quelques jours en période de crise.
L’assureur
« Vos pertes d’exploitation sont surévaluées. »
Période d’indemnisation, franchise exprimée en heures, marge brute de référence, frais supplémentaires d’exploitation, coûts de reconstruction du SI : le chiffrage retenu par l’expert de la compagnie peut être discuté, avec votre expert-comptable, un expert d’assuré et, si nécessaire, une expertise judiciaire.
Notre plus-value
Dans ces dossiers, le débat ne porte pas seulement sur le contrat. Il porte sur la date réelle de la compromission, le vecteur d’entrée, l’état des sauvegardes, la chronologie de la réponse à incident. La maîtrise de ces éléments conditionne la qualité de l’argumentation.
Ingénieur de formation avant d’être avocat, Maître Djamel Belhaouci analyse les rapports d’investigation numérique au même titre que les conditions du contrat, et intervient aux côtés des entreprises pendant la crise : dépôt de plainte, notification CNIL, relation avec l’assureur.
Lecture croisée du rapport d’investigation, de la police et des échanges avec l’assureur, afin d’identifier les points de contestation.
Échanges techniques avec l’expert technique et l’expert financier mandatés par la compagnie.
Cohérence avec le volet pénal : la plainte, son contenu et sa date sont des pièces du dossier d’assurance.
Responsabilité du courtier ou de l’agent examinée en parallèle lorsque le contrat vendu ne correspondait pas à votre risque.
Notre intervention
Conditions générales, particulières, questionnaire de souscription, annexes cybersécurité, correspondances. Cette analyse identifie les points contestables, leur fondement et les perspectives du dossier.
Interruption de la prescription biennale par lettre recommandée, vérification de la plainte et de la déclaration de sinistre, conservation des preuves techniques avant la reconstruction du système.
Avec votre direction financière, votre prestataire de réponse à incident et, le cas échéant, un expert d’assuré : pertes d’exploitation, frais de remédiation, frais de notification, réclamations de tiers.
Une contestation argumentée en fait et en droit, adressée à la compagnie et à son conseil. Lorsqu’un accord est possible, il est formalisé par un protocole transactionnel.
Lorsque le désaccord est technique ou comptable, l’expertise judiciaire rétablit le contradictoire. Lorsque l’obligation n’est pas sérieusement contestable, une provision peut être demandée en référé dans l’attente du jugement.
Devant le tribunal de commerce, le tribunal des activités économiques ou le tribunal judiciaire selon la forme de l’assureur : exécution de la garantie, intérêts de retard, et dommages-intérêts en cas de résistance abusive.
Fondateur du cabinet Belhaouci, Maître Djamel Belhaouci accompagne les entreprises dans leurs litiges avec les assureurs après une cyberattaque. Son parcours associe une expérience en entreprise dans l’intelligence artificielle et une pratique de la défense pénale.
Sa connaissance des environnements techniques et judiciaires lui permet de dialoguer avec les équipes informatiques, d’éclairer les décisions des dirigeants et de défendre les intérêts de l’entreprise, jusqu’au contentieux.
Il intervient partout en France et travaille en français, anglais, allemand et luxembourgeois.
Questions fréquentes
Pas nécessairement. Le délai court à compter de la connaissance de l’atteinte par l’entreprise, ce qui suppose d’établir précisément à quelle date et par qui l’attaque a été identifiée comme telle. Le texte vise par ailleurs les pertes causées par les infractions d’atteinte aux systèmes de traitement automatisé de données : toutes les garanties d’un contrat ne sont pas forcément concernées. Chaque situation doit être examinée avec la chronologie technique de l’incident.
Deux ans à compter de l’événement qui donne naissance à l’action (article L. 114-1 du Code des assurances). Ce délai est interrompu notamment par la désignation d’un expert ou par l’envoi d’une lettre recommandée à l’assureur concernant le règlement de l’indemnité (article L. 114-2). Si votre contrat ne rappelle pas correctement ces règles, l’assureur peut se voir privé du droit d’invoquer la prescription (article R. 112-1).
Seulement si le contrat le prévoit par une clause valable, et s’il démontre ce qu’il avance. Un reproche général de « négligence » ne suffit pas : l’exclusion doit être formelle et limitée, et la faute de l’assuré, même lourde, reste en principe garantie, seule la faute intentionnelle ou dolosive étant exclue par la loi.
Le droit français ne l’interdit pas, à condition que le contrat le prévoie et que la plainte ait été déposée dans les 72 heures. Le paiement reste fortement déconseillé par les autorités et soulève d’autres risques juridiques (sanctions internationales, financement d’activités criminelles) qui doivent être examinés avant toute décision.
Entre une société commerciale et une société d’assurance, le litige relève du tribunal de commerce — ou du tribunal des activités économiques dans les ressorts concernés par l’expérimentation, dont Marseille. Face à une mutuelle d’assurance, le tribunal judiciaire est compétent. Le contrat peut aussi contenir une clause d’arbitrage ou de médiation préalable, à vérifier avant toute action.
Oui, si un manquement à ses obligations d’information ou de conseil vous a causé un préjudice. Cela peut notamment concerner un contrat inadapté aux besoins exprimés par votre entreprise ou une information insuffisante sur ses garanties et exclusions. Un refus d’indemnisation ne suffit toutefois pas, à lui seul, à engager sa responsabilité : il faut examiner les conseils donnés, les échanges lors de la souscription et le lien entre le manquement reproché et le préjudice subi.
Une convention d’honoraires est signée avant toute intervention. Elle peut combiner un honoraire fixe ou au temps passé et un honoraire complémentaire de résultat. Pensez à vérifier si votre entreprise dispose d’une garantie de protection juridique susceptible d’en prendre une partie en charge.
Transmettez-nous la lettre de l'assureur, vos conditions particulières et le rapport d'incident. Le cabinet intervient à Marseille et partout en France, en français, anglais, allemand et luxembourgeois.
Prendre rendez-vous+33 6 60 07 20 96
Maître Djamel Belhaouci, avocat pénaliste à Marseille. Le cabinet assure la défense pénale des particuliers et entreprises.