Mon assurance multirisque couvre-t-elle les cyberattaques ?
Assurance Cyber : protégez votre entreprise des attaques Cyber
Deux sujets souvent confondus
Le RGPD est un cadre juridique qui impose des obligations en matière de données personnelles. L’assurance cyber est un mécanisme de transfert d’une partie des conséquences financières d’un incident. L’un ne remplace donc pas l’autre.
Une entreprise peut être conforme au RGPD et subir une cyberattaque. À l’inverse, une assurance cyber ne dispense jamais de respecter les obligations réglementaires.
Que demande le RGPD en matière de sécurité ?
Le RGPD impose des mesures techniques et organisationnelles appropriées au risque. La sécurité doit donc être proportionnée à la nature des données et aux traitements réalisés.
En cas de violation de données personnelles, l’entreprise doit analyser l’incident et, selon les circonstances, notifier la CNIL et informer les personnes concernées.
Que peut apporter l’assurance cyber ?
Selon le contrat, l’assurance peut prendre en charge investigation, assistance juridique, notification, communication de crise, restauration et éventuellement pertes d’exploitation ou réclamations de tiers.
Elle peut ainsi aider à absorber les coûts d’une crise, mais elle ne transforme pas une mauvaise gouvernance des données en conformité RGPD.
Les amendes sont-elles couvertes ?
Il faut être prudent. Les sanctions administratives ne sont pas automatiquement assurables et leur prise en charge dépend du droit applicable et du contrat. La CNIL rappelle que les amendes RGPD peuvent atteindre, pour les violations les plus graves, 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
En revanche, certains frais de défense, d’assistance et de gestion de crise peuvent être couverts lorsqu’ils sont prévus au contrat.
Une complémentarité utile
Le RGPD pousse l’entreprise à réduire son exposition et à organiser sa gouvernance des données. L’assurance intervient lorsque, malgré les mesures mises en place, un événement génère des conséquences financières ou juridiques.
Une bonne démarche consiste à intégrer les obligations RGPD dans l’analyse du risque cyber puis à vérifier que la police répond aux scénarios identifiés.
Conclusion
Le RGPD et l’assurance cyber ne poursuivent pas le même objectif. Le premier impose un cadre de protection et de responsabilité ; la seconde peut contribuer à absorber les conséquences d’un incident.
Pour une PME, les deux sujets doivent être considérés ensemble, sans attendre une violation de données pour vérifier obligations et garanties.
OBTENEZ UN AUDIT GRATUIT DE VOS RISQUES CYBER
LE CONSEIL COVERALP
Ne confondez jamais conformité et assurance. L’assurance peut financer certains coûts d’une crise, mais elle ne vous exonère pas de vos obligations RGPD.
Source :
CNIL, sanctions et cybersécurité ; CNIL, article 83 du RGPD ; CNIL, analyse économique de la cybersécurité.
