- Texte visé : Texte de la commission sur le projet de loi, adopté par le Sénat, après engagement de la procédure accélérée, d’orientation et de programmation du ministère de l’intérieur (n°343)., n° 436-A0
- Stade de lecture : 1ère lecture (2ème assemblée saisie)
- Examiné par : Assemblée nationale (séance publique)
À l’alinéa 4, substituer aux mots :
« tout dommage causé »
les mots :
« toute perte ou dommage, à l’exclusion des prestations et des frais de remédiation d’urgence et de gestion de crise, causée ».
L’article 4, tel que modifié par la commission des lois, a pour objet l’assurance des risques de cyberattaques, et vise plus particulièrement à instaurer une obligation de dépôt de plainte à tout remboursement assurantiel faisant suite à une cyberattaque (tout dommage causé par une atteinte à un système de traitement automatisé de données).
Tel que rédigé, cet article s’éloigne de son objectif initial, à savoir la clarification du cadre juridique applicable à l’assurabilité du remboursement des cyber rançons. C’est pourquoi cet amendement vise à opérer deux modifications à ce dispositif.
Dans un premier temps, il est proposé de faire référence à la notion de « perte » en plus de celle de « dommage » dans le but de répondre à l’objectif initial de ce texte.
En effet, la simple notion de « dommage » est sujette à interprétation. Il est par exemple possible de se demander si le remboursement d’une rançon est un dommage ou une perte financière.
Dans un second temps, il est proposé d’exclure explicitement du dispositif les prestations et les frais de remédiation d’urgence et de gestion de crise, car ces dernières doivent pouvoir intervenir immédiatement.
En effet, l’assureur ne doit pas attendre que l’assuré ait porté plainte pour intervenir. Cette obligation de porter plainte dans tous les cas de cyber attaque va à l’encontre du mécanisme actuel de gestion de sinistre. À titre d’exemple, les garanties mesure d’urgence permettent une intervention des experts mandatés par les assureurs via une hotline disponible en 24/7, ce qui ne serait plus possible si l’assureur doit attendre que l’assuré porte plainte. Ce type de garantie est un point fort des garanties cyber et permet de limiter l’impact d’une cyber attaque sur une entreprise.
Ces modifications permettront à l’article 4, comme souhaité initialement, d’être un levier de développement de la cyber assurance, et ce en particulier pour les TPE PME qui sont les plus fragiles.