Couverture rançongiciel : ce que couvre vraiment votre assurance cyber

Qu'est-ce que la couverture rançongiciel dans une assurance cyber ?

Un rançongiciel (ou ransomware) est un logiciel malveillant qui chiffre les données d'une entreprise et exige le paiement d'une rançon, généralement en cryptomonnaie, pour rétablir l'accès aux fichiers [1]. En 2024, l'ANSSI a recensé 144 compromissions par ransomware, dont 37 % touchaient des TPE, PME et ETI [2]. Le parquet de Paris a ouvert 546 enquêtes liées aux rançongiciels en 2023, soit une hausse de 30 % par rapport à 2022.

La couverture rançongiciel n'est pas un produit autonome : c'est un volet spécifique intégré dans une police de cyberassurance globale. Pour une vue d'ensemble des risques cyber et des garanties disponibles, consultez notre guide complet sur la cyberassurance [2]. Concrètement, cette couverture protège l'entreprise contre les conséquences opérationnelles, financières et juridiques d'une attaque par ransomware. Les garanties typiques incluent :

• Assistance d'urgence 24h/24, 7j/7 : cellule de crise, experts techniques et juridiques mandatés immédiatement
• Remédiation technique : restauration des systèmes et données, expertise forensique (cybercriminalistique)
• Perte d'exploitation : indemnisation du chiffre d'affaires perdu pendant l'arrêt d'activité
• Cyber-extorsion : prise en charge des frais de négociation et, sous conditions strictes, du paiement de la rançon
• Responsabilité civile cyber (RC Cyber) : dommages causés à des tiers (clients, partenaires), frais juridiques
• Conformité RGPD/CNIL : frais de notification, communication de crise, frais supplémentaires d'exploitation pour maintenir une activité minimale

Ce que remboursent réellement Allianz, AXA, Hiscox et Chubb en cas de ransomware

Les garanties varient considérablement d'un assureur à l'autre. Voici un comparatif basé sur les données produits réels disponibles sur AssurancesLabs.

Points clés à retenir : chez Allianz, les frais de remédiation et la cyber-extorsion sont inclus d'office, mais la perte d'exploitation reste optionnelle. Chez AXA, l'atteinte au système et aux données (reconstitution, remise en état) ainsi que les pertes d'exploitation sont incluses, tandis que la RC cyber est en option. Hiscox inclut la cyber-extorsion et l'assistance, mais les dommages subis et l'interruption d'activité nécessitent une souscription complémentaire sur demande. Quant à Chubb, l'offre se concentre davantage sur le remboursement des pertes financières liées aux arnaques en ligne et achats frauduleux, avec une couverture plus limitée sur le ransomware pur [2].

Conseil pratique : vérifiez systématiquement les sous-limites et plafonds par type de garantie. Un contrat affichant un plafond global de 500 000 € peut limiter la cyber-extorsion à 50 000 € ou exclure totalement le remboursement de la rançon.

Loi LOPMI 2023 : l'obligation de déposer plainte en 72h pour être indemnisé

Depuis l'entrée en vigueur de la loi LOPMI (Loi d'orientation et de programmation du ministère de l'Intérieur) en 2023, un nouvel article L.12-10-1 du Code des assurances impose une condition sine qua non pour toute indemnisation assurantielle en cas de cyberattaque : le dépôt de plainte dans un délai de 72 heures à compter de la connaissance de l'attaque [3][4].

À qui s'applique cette obligation ?

Cette exigence concerne exclusivement les professionnels (entreprises, associations, collectivités). Les particuliers, bien qu'ils puissent souscrire une cyberassurance, ne sont pas soumis à ce délai [3].

Conséquence directe

Sans dépôt de plainte dans les délais, l'assureur peut légalement refuser toute indemnisation, y compris le remboursement de la rançon. Il ne s'agit pas d'une simple recommandation mais d'une obligation légale.

Les 5 conditions cumulatives pour le remboursement d'une rançon

En droit français, le paiement d'une rançon n'est pas interdit en soi [5]. La victime d'un ransomware est qualifiée de victime d'extorsion au sens de l'article 312-1 du Code pénal [5]. Toutefois, le remboursement par l'assureur est soumis à des conditions très strictes :

1. Dépôt de plainte dans les 72h (obligation LOPMI)
2. Contrôle des listes de sanctions internationales : ne pas payer un groupe sanctionné (OFAC, UE)
3. Analyse blockchain des flux de cryptomonnaies pour tracer les fonds
4. Diligences LCB-FT (lutte contre le blanchiment) : l'assureur intègre le sinistre dans sa cartographie des risques et peut déclarer à Tracfin
5. Accord préalable de l'assureur avant tout paiement

Si l'assureur rembourse une rançon sans ces précautions, il s'expose au risque d'être considéré comme facilitant le blanchiment de capitaux [4].

Exclusions légales à connaître

L'article L.121-8 du Code des assurances exclut les dommages résultant d'un conflit armé ou d'une guerre informatique. Ce point reste très débattu depuis l'affaire NotPetya (2017), où des assureurs ont invoqué la clause de guerre pour refuser l'indemnisation. Par ailleurs, l'ACPR (Autorité de contrôle prudentiel et de résolution) a enjoint les assureurs à clarifier les clauses cyber implicites dans les contrats non entièrement dédiés au cyber, afin d'éliminer toute ambiguïté pour les assurés [6].

Combien coûte une assurance cyber avec garantie ransomware ?

Le budget varie fortement selon la taille de l'entreprise, le secteur d'activité et le niveau de garanties choisi.

En règle générale, la prime représente 0,5 % à 5 % du montant total des garanties souscrites.

Mise en perspective : le coût moyen d'une cyberattaque pour une PME se situe entre 50 000 € (médiane Asterès) et 466 000 € selon les estimations de l'ANSSI [7][8]. Selon les données couramment citées, 60 % des PME victimes d'une cyberattaque majeure ferment dans les 18 mois suivants [2][7]. Face à ces chiffres, une prime annuelle de quelques centaines à quelques milliers d'euros représente un investissement de protection proportionné.

5 points de vigilance avant de souscrire une couverture rançongiciel

1. Vérifiez si le remboursement de la rançon est explicitement inclus ou exclu. Certains contrats couvrent uniquement les frais de négociation, pas le paiement lui-même. Lisez attentivement les conditions particulières.
2. Contrôlez les exclusions pour négligence caractérisée. L'absence de mises à jour de sécurité, l'absence de sauvegardes hors ligne (offline) ou le défaut de formation des collaborateurs peuvent invalider la garantie.
3. Identifiez les clauses de guerre et leur périmètre exact. Le débat post-NotPetya reste d'actualité : certains assureurs excluent largement les attaques attribuées à un État, d'autres limitent l'exclusion aux conflits armés déclarés.
4. Méfiez-vous des couvertures cyber implicites. L'ACPR alerte sur les contrats non dédiés au cyber (multirisque professionnelle, RC générale) qui contiennent des garanties cyber ambiguës, souvent insuffisantes en cas de sinistre réel [6].
5. Exigez une plateforme de gestion de crise 24/7 avec des experts techniques ET juridiques mandatés directement par l'assureur. La réactivité dans les premières heures est déterminante pour limiter les dégâts.

Bonne pratique complémentaire : combinez assurance et prévention. Un contrat de cyberassurance ne remplace pas un dispositif de sécurité solide : EDR (Endpoint Detection and Response), sauvegardes offline régulières, formations anti-phishing pour les collaborateurs et plan de réponse à incident testé au moins une fois par an [1].

Conclusion

La couverture rançongiciel constitue un volet essentiel de toute police de cyberassurance pour les entreprises françaises, quelle que soit leur taille. Trois points méritent une attention particulière : la vérification précise des garanties incluses et optionnelles (chaque assureur structure différemment son offre), le respect impératif du délai de plainte de 72 heures imposé par la loi LOPMI, et la combinaison indispensable entre assurance et mesures de prévention technique.

Références

1. RESCO Courtage, Assurance ransomware : protégez votre entreprise contre les rançongiciels
2. AssurancesLabs, Cyber-risques : assurance et prévention 2026
3. Les Surligneurs, L'indemnisation par l'assureur des pertes et dommages causés par une cyberattaque
4. Almond, TO PAY, OR NOT TO PAY : Derrière la loi LOPMI, quel régime assurantiel de la rançon ?
5. Féral Avocats, Est-il légal de payer la rançon d'un rançongiciel ?
6. ACPR, L'ACPR appelle les assureurs à poursuivre leurs efforts pour clarifier la couverture du risque cyber (mars 2024)
7. CriseHelp, Le coût réel d'une cyberattaque en France
8. Hiscox, PME : le vrai coût d'une cyberattaque et comment s'en protéger