Hors collection - Écosystème numérique : défis juridiques et sociétaux - 84

84
ÉCOSYSTÈME NUMÉRIQUE : DÉFIS JURIDIQUES ET SOCIÉTAUX
La loi d'orientation et de programmation du ministère de l'Intérieur (LOPMI, art. 5) insère dans le
Code des assurances un chapitre consacré à l'assurance des risques de cyberattaques composé d'un
unique article L. 12-10-1.
La version du texte initialement introduite dans le projet de loi visait à encadrer les clauses de
remboursement des cyberrançons mais ce terme qui faisait polémique a été enlevé dans la version
finale. En effet, dans son article 4 de la version du projet approuvée au Sénat, il était prévu d'autoriser
les assureurs à indemniser les entreprises ayant choisi de payer la rançon exigée par des cybercriminels,
sous réserve d'un dépôt de plainte alors que les autorités déconseillaient lors d'une cyberattaque de
payer ces rançons. Ce positionnement se comprend car n'était-ce pas encourager le crime et inciter
les cybercriminels à continuer à demander des rançons9
?
L'indemnisation est désormais conditionnée au dépôt d'une plainte de la victime 72 heures au plus
tard après qu'elle a eu connaissance de l'infraction.
Le nouvel article L. 12-10-1, qui n'entrera en vigueur que trois mois après la promulgation de la loi,
soit le 24 avril 2023, prévoit ainsi que : « Le versement d'une somme en application de la clause d'un
contrat d'assurance visant à indemniser un assuré des pertes et dommages causés par une atteinte à un
système de traitement automatisé de données mentionnée aux articles 323-1 à 323-3-1 du Code pénal
est subordonné au dépôt d'une plainte de la victime auprès des autorités compétentes au plus tard
soixante-douze heures après la connaissance de l'atteinte par la victime ». Il est précisé que cela
s'applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité
professionnelle. Le gouvernement devra remettre au Parlement, avant le 31 décembre 2023, deux
rapports d'évaluation des politiques publiques en matière de cybersécurité. L'un d'eux devra évaluer
la protection des entreprises, en examinant la possibilité de subordonner le remboursement d'une assurance
contre les risques de cyberattaques au recours par la victime à un prestataire informatique labellisé.
Ce rapport comportera un avis et des préconisations de l'Agence nationale de la sécurité des
systèmes d'information (ANSSI) et du groupement d'intérêt public « Action contre la cybermalveillance
» sur les exigences minimales de l'éventuelle labellisation des prestataires (Loi nº 2023-22 du
24 janv. 2023, art. 29).
9. V. https://www.lemonde.fr/pixels/article/2022/11/14/cyberassurance-derriere-la-question-des-rancons-l-enjeu-economique_6149816_4408996.html

https://www.lemonde.fr/pixels/article/2022/11/14/cyberassurance-derriere-la-question-des-rancons-l-enjeu-econo

Hors collection - Écosystème numérique : défis juridiques et sociétaux

Table des matières de la publication Hors collection - Écosystème numérique : défis juridiques et sociétaux