Assurance ransomware : ce que couvre réellement le contrat cyber
L'assurance ransomware n'est pas un contrat à part : c'est le volet du contrat cyber qui se déclenche lorsqu'un rançongiciel chiffre vos données et exige une rançon pour les libérer. Elle mobilise quatre leviers : une cellule de crise 24/7 pour piloter l'incident, la restauration des systèmes et des données, l'indemnisation des pertes d'exploitation pendant l'arrêt, et — sous conditions légales strictes — la garantie cyber-extorsion qui peut couvrir la négociation et le paiement de la rançon.
Le rançongiciel est aujourd'hui la première cause de sinistre cyber majeur en France. Il combine deux dommages : l'indisponibilité, quand vos serveurs sont chiffrés et l'activité paralysée, et de plus en plus la double extorsion, où l'attaquant menace en outre de publier les données volées. L'assurance intervient sur ces deux fronts, mais la priorité de tout bon contrat reste de vous remettre en marche par la restauration, pas par le paiement.
Restauration et pertes d'exploitation : les garanties qui jouent
Après un rançongiciel, l'essentiel de l'indemnisation ne porte pas sur la rançon mais sur la remise en état de l'entreprise. Deux garanties concentrent l'enjeu financier : la restauration des données et les pertes d'exploitation, souvent le poste le plus lourd du sinistre.
| Poste | Contenu | Plafond ou franchise |
|---|---|---|
| Cellule de crise | Investigation numérique, juristes, négociateurs, communicants mobilisés en heures | Inclus |
| Restauration des données | Décontamination, reconstruction des systèmes, récupération des sauvegardes | 250 000 € à 2 M€ |
| Pertes d'exploitation | Marge brute perdue pendant l'arrêt, frais supplémentaires pour maintenir l'activité | Franchise 12 à 48 h |
| Cyber-extorsion | Négociation spécialisée et paiement de la rançon sous conditions légales | Sous-plafonnée 20 à 50 % |
| Frais de notification | Information CNIL et personnes concernées en cas de vol de données | 50 000 € à 300 000 € |
La franchise temporelle mérite une attention particulière : les 12 à 48 premières heures d'arrêt ne sont jamais indemnisées, et c'est précisément la période où l'activité chute le plus. Vérifiez aussi que la garantie « pertes d'exploitation » couvre bien la durée réelle de remise en route, qui dépasse souvent la seule décontamination — reconstruction, remigration des données, tests de non-régression.
Bon à savoir
Des sauvegardes déconnectées, saines et testées transforment radicalement l'issue d'un rançongiciel : elles permettent de restaurer sans payer et raccourcissent l'arrêt d'activité. C'est aussi le prérequis que tout assureur vérifie en priorité avant d'indemniser.
Le paiement de la rançon : ce que la loi française autorise
Payer une rançon est légal en France, et une assurance peut la rembourser — mais depuis la loi LOPMI, ce remboursement est strictement encadré. L'article L12-10-1 du Code des assurances, issu de la loi n° 2023-22 du 24 janvier 2023, subordonne toute indemnisation d'une cyber-rançon au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'infraction. Sans plainte dans ce délai, l'assureur ne peut légalement pas prendre la rançon en charge, quel que soit le contrat.
Ce dépôt de plainte n'est pas une formalité : il déclenche l'enquête judiciaire, sécurise juridiquement le versement et conditionne l'ensemble de votre indemnisation. La marche à suivre pour porter plainte après une cyberattaque dans le délai des 72 heures, avec les preuves à réunir, pèse donc directement sur votre remboursement — c'est une étape à préparer avant même d'en avoir besoin.
Attention
Payer une rançon sans l'accord préalable de l'assureur, ou engager un prestataire de restauration non référencé, peut vous faire perdre tout droit à indemnisation. La négociation et le paiement éventuel passent obligatoirement par la cellule de crise du contrat.
Faut-il payer la rançon ? La position des assureurs
Les autorités françaises — ANSSI comme ministère de l'Intérieur — comme les assureurs déconseillent le paiement. Payer ne garantit ni la récupération des données ni l'absence de publication, finance l'écosystème criminel et fait de vous une cible récurrente. En moyenne, les entreprises qui paient ne récupèrent qu'une partie de leurs données, et rien n'empêche l'attaquant de revenir.
Ce qui plaide contre le paiement
- Restauration possible depuis des sauvegardes saines
- Aucune garantie de récupérer l'intégralité des données
- Risque d'être ciblé de nouveau, identifié comme payeur
- Financement direct de l'écosystème criminel
Les rares cas où il est envisagé
- Absence de sauvegarde exploitable et arrêt total de l'activité
- Données vitales sans autre voie de récupération
- Décision toujours pilotée par les négociateurs de l'assureur
- Après dépôt de plainte, condition légale du remboursement
Concrètement, la décision ne se prend jamais seul et à chaud. Les toutes premières heures conditionnent l'issue : isoler sans éteindre, alerter l'assureur, préserver les preuves. Notre guide des bons réflexes pour savoir que faire dans les premières heures d'une attaque ransomware détaille l'ordre exact des opérations, qui fait souvent la différence entre un arrêt de trois jours et un arrêt de trois semaines.
Combien coûte l'assurance contre les rançongiciels ?
La couverture ransomware n'a pas de prix isolé : elle est incluse dans le contrat cyber, dont la prime va de 300 € par an pour une TPE à plus de 5 000 € pour une PME. Ce qui change d'un contrat à l'autre, ce n'est pas tant la présence de la garantie que ses limites : le sous-plafond de cyber-extorsion et la franchise temporelle sur les pertes d'exploitation.
La garantie cyber-extorsion est presque toujours sous-plafonnée, souvent à 20 ou 50 % du plafond global du contrat. Un contrat affichant 1 M€ de plafond peut ainsi ne couvrir que 200 000 € à 500 000 € au titre de la rançon et de sa négociation. C'est un point à vérifier ligne à ligne, car la restauration et les pertes d'exploitation, elles, s'imputent sur le plafond principal.
Le chiffre
120 000 €coût moyen complet d'une attaque par rançongiciel pour une PME française : investigation, restauration des systèmes et pertes d'exploitation cumulées — un total très supérieur au seul montant de la rançon, qui n'en représente qu'une fraction.
Exclusions et conditions à vérifier avant de signer
La couverture ransomware repose sur des conditions précises, dont le non-respect peut suspendre la garantie. Trois vérifications s'imposent avant de signer, et trois exclusions reviennent systématiquement dans les contrats du marché.
- Sous-plafond de cyber-extorsion réel, exprimé en euros et non en pourcentage flou ;
- Durée de la franchise temporelle sur les pertes d'exploitation (12, 24 ou 48 h) ;
- Délai d'intervention contractuel de la cellule de crise, en heures ;
- Prise en charge de la reconstruction complète, pas seulement de la décontamination.
- Rançon payée sans dépôt de plainte sous 72 heures : exclusion légale (art. L12-10-1) ;
- Sauvegardes inexistantes ou jamais testées, déclarées à tort au questionnaire ;
- Faute intentionnelle, systèmes notoirement non maintenus, actes de guerre.
À retenir
La qualité d'un contrat ransomware se mesure à trois chiffres : le sous-plafond de cyber-extorsion en euros, la franchise temporelle en heures et le délai d'intervention de la cellule de crise. Un plafond global élevé ne vaut rien si ces trois lignes sont défavorables.
Le jour de l'attaque : comment votre assurance ransomware s'active
La valeur d'une assurance ransomware se joue dans les premières heures. Dès l'appel à la hotline, l'assureur mobilise sa cellule de crise et prend la main sur la conduite de l'incident. La séquence est éprouvée et vaut mieux que toute improvisation interne.
- Isoler sans éteindre.
Déconnectez du réseau les machines touchées sans les arrêter : couper l'alimentation détruit des preuves et des données en mémoire utiles à l'investigation.
- Appeler l'assureur avant tout.
Contactez la cellule de crise avant tout prestataire non référencé et avant toute tentative de contact avec l'attaquant. Elle pilote la suite.
- Déposer plainte sous 72 heures.
Condition légale du remboursement d'une éventuelle rançon, et déclencheur de l'enquête. À faire en parallèle de la gestion technique.
- Notifier la CNIL si nécessaire.
En cas de vol de données personnelles, la notification à la CNIL est due sous 72 heures ; la cellule de crise rédige la déclaration avec vous.
- Restaurer, puis renforcer.
Reconstruction depuis les sauvegardes saines, tests, puis correction de la faille exploitée pour éviter une seconde attaque.
Pour l'orientation initiale et le dépôt de plainte, le dispositif public cybermalveillance.gouv.fr complète l'assistance de votre assureur. Le contrat se renouvelle par tacite reconduction et se résilie à chaque échéance annuelle, avec un préavis de deux mois (article L113-12 du Code des assurances).
« Face à un rançongiciel, la meilleure assurance n'est pas celle qui paie la rançon, mais celle qui vous permet de ne jamais avoir à la payer : une cellule de crise réactive et des sauvegardes restaurables valent tous les plafonds d'extorsion. »
