SMART CYBER - Cyber assurance : quelle stratégie ?

La cyberassurance à la une de ce SmartCyber, alors on parle d'indemnisation mais pas seulement, au-delà de ça, est-ce que ça fait partie aujourd'hui intégrante de la maîtrise des risques en entreprise alors que les fuites de données s'envolent et en particulier en France, on l'a vu notamment dans l'alerte cyber tout à l'heure, et qu'un simple rançongiciel peut faire mettre la clé sous la porte à une entreprise. Alors pour parler de ce sujet avec nous, Philippe Cotel, risque manager chez Airbus Défense & Space, coordinateur du programme de cyberassurance du groupe Airbus et membre du conseil d'administration de l'AMRAE.

Donc vous allez nous dévoiler tout ce que vous savez de l'étude LUCI que vous avez pilotée, LUCI pour Lumière sur la cyberassurance, mais avant si vous permettez on va présenter nos autres invités. Sylvain Lefeuvre est avec nous. Bonjour Sylvain, directeur général adjoint de Board of Cyber. Et puis il est resté avec nous Benjamin Leroux, merci beaucoup Benjamin, administrateur du CLUCIF. Donc je citais cette étude, LUCI, qu'est-ce que vous pouvez nous dire en synthèse de ce qu'on apprend de la dernière édition, qui est la sixième édition, je crois, sur la cyberassurance ?

Bonjour, merci beaucoup pour votre invitation. Peut-être un mot sur cette étude parce qu'elle est spécifique. C'est la seule aujourd'hui qui rassemble des données de l'ensemble des courtiers français, donc depuis sept ans, et ça donne aujourd'hui, LUCI, comme étant une référence sur l'ensemble de l'écosystème, à la fois pour les risques majeurs, les gestionnaires de risques et les ciseaux, mais aussi les courtiers, les assureurs et les pouvoirs publics. Qu'est-ce qu'elle dit cette étude sur 2025 ? Elle dit que le marché de l'assurance cyber en France a été extrêmement compétitif.

Avec des baisses de prix historiques, on a moins 32% de baisse de prix pour les grandes entreprises, moins 23% pour les ETI. Et ça, ça veut dire que pour les grandes entreprises, il y a eu une augmentation de la souscription, plus 18%, et pour les ETI et les entreprises moyennes, on a eu presque un doublement du nombre d'entreprises qui se sont assurées.

Donc quand on baisse les prix, ça marche, on vend mieux ?

Ça va, on vend mieux, et en fait, on rend cet outil plus accessible à un certain nombre d'entreprises, et donc on voit pour les ETI et les entreprises moyennes, doublement d'entreprises qui s'assurent. Donc tout ça, ce sont des bons signaux. D'accord. Néanmoins, ce qu'on voit aussi, c'est que quand j'ai dit baisse des prix de 32%, augmentation des achats de 18% pour les grandes entreprises, ça veut dire que leur budget, elle s'est réduit de 14%. Moins 14% de budget, ça veut dire que globalement, le volume de primes en France, il s'est contracté. Pour la troisième année consécutive, on est maintenant à 300 millions d'euros de primes en France.

Donc on a une baisse des primes sur trois ans, et à contrario, on a une augmentation des sinistres, on est à 80 millions de sinistres en 2025. Donc lorsqu'on a des primes qui baissent et des sinistres qui montent, si les deux flèches se rencontrent, au bout d'un moment, il va y avoir un retournement brutal du marché, comme on l'a vu en 2020, avec des primes qui peuvent doubler, tripler, et des conditions financières qui vont être très dégradées.

Et un risque que, en fait, les assureurs ne puissent pas faire face à un incident cyber majeur.

Absolument. Avec 300 millions de primes, aujourd'hui, on est sensible à deux, trois gros sinistres qui peuvent retourner le marché en quelques semaines. C'est un peu, pour donner une image, c'est le bonhomme qui tombe de l'immeuble, et aujourd'hui, à chaque étage dit, jusque-là, ça va. Mais est-ce qu'il a un parachute ou pas ? On n'en sait pas.

Vous parlez de l'augmentation des sinistres. Oui, c'est vrai qu'on entend, voilà, et on était dans l'alerte cyber sur ce sujet, notamment de la fuite des données, des rançons JCL. Bon, on a toujours beaucoup de menaces, les DDo, ce qui reste la principale menace. Est-ce que, quand même, dans les grandes organisations, on est un petit peu mieux préparé, un peu mieux protégé ?

Alors, c'est effectivement une bonne remarque. Dans la distribution des sinistres, on voit une stabilité des sinistres pour les grandes entreprises. Et à contrario, on a vu une multiplication par quatre des sinistres chez les ETI.

Donc, ça veut dire qu'on se protège mieux, quand même ?

On se protège mieux sur les entreprises, c'est le résultat d'investissements constants et longs dans cette gamme-là. Par contre, pour les ETIs d'entreprises moyennes, on voit une augmentation de ces sinistres-là, qui est peut-être corrélée aussi avec l'afflux de nouveaux assurés qui rentrent sur ce marché-là. Donc, en fait, dans ce climat de volatilité énorme, nous, la marraine, notre conseil est très clair, c'est qu'il faut pour toutes les entreprises, véritablement, d'une part, faire un assessment de son besoin et profiter de cette bulle d'opportunités pour étendre la couverture et l'adapter à son besoin dans les conditions actuelles de marché qui sont favorables.

Et en même temps, continuer à investir dans la prévention parce que le jour où le marché va se retourner, ce sont les entreprises qui seront bien préparées qui seront les plus à même de continuer à pouvoir s'assurer.

Alors là, c'est les assurances qui parlent. Voilà. Qu'en est-il, selon vous, de votre point de vue, de la question de la cyberassurance dans, aujourd'hui, la manière dont on doit concevoir la maîtrise des risques dans une DSI ? Qui veut commencer ?

Plusieurs choses. Tout d'abord, ce que l'on remarque, c'est que l'arrivée de Nice 2, il y a environ 18 mois à peu près, qu'on entend beaucoup de choses plutôt contraignantes sur cette partie-là. Aujourd'hui, c'est une réalité. Et ce que l'on sait, en tous les cas, ce qu'on peut remarquer, c'est que toutes les entreprises qui se sont préparées en avance, aujourd'hui, sont bien mieux armées par rapport aux menaces cyber et du coup, sont bien mieux notées. Et en tous les cas, vont, dans ce qui a été expliqué il y a un instant, dans cette projection vers l'avenir d'une capacité à conserver une assurance ou des assurances cyberplaines. Ça, c'est la première chose.

La deuxième chose qui est importante, c'est que quand vous faites régulièrement, et c'était notamment tout l'objet du récif de l'ANSI, quand vous faites régulièrement des exercices de préparation avant même que les règles arrivent, vous êtes de toute façon mieux préparé que si vous ne l'aviez pas fait pendant 18, 24 ou 36 mois. Et donc, c'est tout cet intérêt.

Ce que l'on voit, nous, chez Border Cyber, c'est que lorsque les entreprises se préparent en amont et qu'elles sont capables, aujourd'hui, d'augmenter leur niveau global de cybersécurité, avec elles, mais aussi, surtout, avec leurs fournisseurs, puisqu'elles sont capables d'aller sonder ou noter des milliers ou des dizaines de milliers de fournisseurs, tout ça fait monter le niveau global de cybersécurité de l'écosystème français.

Et quand on sait que d'ici quelques mois ou quelques années, tout au plus, quand toutes les réglementations seront passées en Europe, il y aura plus de 160 000 entreprises qui seront concernées directement par NIS2, mais 5 à 7 fois ça, a priori, indirectement, puisqu'elles seront fournisseurs ou fournisseurs de fournisseurs, on va arriver à monter le niveau global de cybersécurité.

Et je pense qu'à ce moment-là, la cyberassurance prendra, on ne sera plus sur ces 300 millions dont on parle aujourd'hui en France, notamment, qui sortent de l'étude, mais on sera sur bien plus que ça, et à ce moment-là, on aura une capacité de protéger de manière bien plus large, en tous les cas, que ce qu'on fait aujourd'hui.

Au sein du Clusif, parmi les membres, on parle de ce sujet de la cyberassurance ?

Oui, oui, exactement. Au sein du Clusif, on a un certain nombre de groupes de travail qui visent à produire un certain nombre de documents, on en parlait tout à l'heure sur l'intelligence artificielle, la cyberassurance est évidemment un des sujets.

Comment il est pris ce sujet ? Quelle est la préoccupation sur ce sujet ? Comment le RSSI se positionne là-dessus ?

En fait, le RSSI, il y a des spécialistes des assurances dans les entreprises qui vont aller parler avec des courtiers, choisir les contrats, etc. Le RSSI va être un peu sollicité dans deux cas de figure. Ça va être déjà pour les critères d'assurabilité, parce qu'il ne faut montrer pas de blanche quelque part pour avoir l'assurance. Il faut montrer qu'on a un certain niveau de préparation, qu'on applique des bonnes pratiques. Il y a eu par le passé des débats sur les critères d'assurabilité et le bon niveau. Puis il y a également un autre cas de figure sur lequel je voulais insister, c'est malheureusement quand il y a un sinistre.

Parce qu'évidemment, le RSSI, quand il y a un problème, évidemment on sollicite l'assurance, mais il faut aussi activer une gestion de crise, il faut faire face à l'incident, ce qui n'est pas un exercice très agréable, mais malheureusement il faut l'accepter. Et c'est aussi une bonne chose, les entreprises et les organisations sont conscientes du risque, et ce n'est pas est-ce qu'un jour on aura un problème, c'est quand est-ce que le prochain va arriver. Et si on relit ça à l'échange de tout à l'heure sur Mythos, c'est que les prochains vont peut-être arriver très très très souvent.

Donc je pense qu'il y aura un challenge sur la capacité à accompagner, en cas de sinistre, de façon très efficace, peut-être malheureusement très fréquente, avec quelque chose qui soit utile, parce que l'objectif ça va être de se remettre le plus vite possible. On a vu la durée réelle pour sortir d'une attaque, et ce n'est pas que le week-end qui est fichu, quand il y a une attaque, le semestre ça dure longtemps, il va falloir avoir cette dynamique collectivement, et c'est là aussi où le RSSI avec l'assureur pourra dire « moi j'ai besoin de ça le jour J, j'ai besoin de ça une semaine après, etc. » Il y a un vrai sujet opérationnel à adresser aussi là je pense.

Parce que c'est le sujet de comment la cyber-assurance ne fait pas juste son job d'indemnisation. Alors c'est important quand même de parler d'indemnisation, c'est quand même le moteur principal j'imagine, mais effectivement il n'y a pas que ça, c'est la capacité aussi de l'assureur à suivre et à accompagner pendant le sinistre, à suivre une entreprise qui risque d'être attaquée de multiples fois.

En fait l'assurance cyber...

On va voir les primes d'assurance augmenter là quand je dis tout ça, non ?

Non, non, à contraire. L'assurance cyber, elle a deux aspects. Elle a un aspect de support technique et juridique pendant la gestion de crise. En fait, pour un certain nombre d'entreprises, des entreprises moyennes, des ETIs, n'ont pas forcément une structure interne de gestion de crise et des supports techniques, des supports juridiques. Et là, l'assureur, il va lui apporter ce support-là pendant la phase où il en a le plus besoin. Et c'est un alignement d'intérêt parce que plus le sinistre va être réglé rapidement, et moins il sera important. Et donc moins l'assureur devrait indémitter.

Tout le monde y trouve son compte.

Tout le monde y trouve son compte. Et donc l'assureur va d'abord apporter ce support-là. Et ça c'est intéressant pour les entreprises moyennes et les ETI. Et d'ailleurs on voit dans le doublement des entreprises qui s'assurent, des ETIs, en fait, elles sont aussi très sensibles au service qu'un courtier peut lui apporter dans l'identification de son exposition et dans la maintenance de sa potentielle vulnérabilité. Et on voit que c'est vraiment quelque chose auquel ils sont sensibles et ça fonctionne. Donc à la fois protection, gestion de crise, et ensuite, seulement ensuite, indemnisation.

Les cyberassureurs sont des partenaires des boîtes de la cybersécurité, finalement ?

Vous êtes obligés de travailler ensemble ? Exactement, on travaille avec un certain nombre d'assureurs et on parle souvent de la notion de chaîne. C'est-à-dire que, et je pense que Nice 2 le met en pratique totalement, en se disant qu'on peut être le plus fort ou le plus sécurisé aujourd'hui au monde à partir du moment où on a un maillon qui est excessivement faible et qu'il casse, et on l'a vu dans énormément de cas ces derniers temps, ça va mettre l'intégralité de la chaîne en péril.

Les assureurs s'intéressent énormément à ça, mais les fonds d'investissement aussi, qui cherchent aussi à avoir une vision plus large que simplement l'entreprise, soit qu'ils vont financer, soit qu'ils vont assurer sur cette partie-là. Et donc ils cherchent à avoir quelque chose de beaucoup plus étendu en matière de cybersécurité. Ils ne cherchent pas à avoir des pics sur certains domaines de la cyber, mais plutôt quelque chose qui, globalement, va monter le niveau de cybersécurité. On parle souvent de la course au Lyon, en tous les cas de la chasse au Lyon, en se disant qu'on ne courra jamais plus vite que le Lyon, c'est-à-dire contre des attaques qui peuvent arriver, etc.

Par contre, essayons globalement que l'écosystème dans lequel je travaille, celui avec lequel je collabore tous les jours, coure plus vite que les derniers en tous les cas, et donc qu'on ne se fasse pas manger en premier, et que ça nous donne un peu plus de temps pour réagir. Et donc il y a aussi cette notion de travail collectif, que nous on remarque de plus en plus chez Bord, lorsqu'on travaille avec un certain nombre d'entreprises, et qui cherchent à identifier sur leurs fournisseurs les surfaces d'attaque les plus sensibles ou les plus faciles sur cette partie-là, et ensuite les assureurs viennent nous voir.

Et puis il y a l'effet de l'autre côté, qui dit à partir du moment où j'ai bien travaillé, à partir du moment où j'ai bien progressé, je vais aussi aller voir mon assureur pour être capable de négocier des primes qui sont différentes, ou en tous les cas des paiements qui sont différents, ou des couvertures plus importantes sur cette partie-là. Et donc ces deux éléments-là participent globalement à ce qu'on disait tout à l'heure, au fait qu'il faut que le fonds global de cyberassurance augmente.

Je pense que c'est une excellente chose, parce que ça va encore passer, et il y a encore des attaques qui passeront régulièrement, mais on doit être capable d'emmener tout le monde très certainement beaucoup plus haut que ce qu'on fait aujourd'hui.

Je vais poser la question de la cyberrançon. Est-ce que le cyberassureur rembourse en cas de paiement de rançon ? On en est où sur cette question du paiement des rançons ?

Alors aujourd'hui, ce n'est pas vraiment un débat. D'aujourd'hui, en France en tout cas, le remboursement par l'assureur d'une rançon n'est pas interdit. Donc il faut être très clair là-dessus. On n'a absolument pas de tabou là-dessus. Par contre, effectivement, la recommandation globale de l'ensemble de l'écosystème, c'est de ne pas céder à ces demandes de rançon.

Sauf dans le domaine public de l'État, je crois, pour les administrations, les collectivités.

Qui s'assurent peu ? Qui finalement sont peu assurés. Alors, c'est une autre question.

Qui s'assurent peu, donc ?

Qui s'assurent peu. Ah oui, ok. Par contre, effectivement, pour revenir au sujet Mythos et Viviatek, et ce sera peut-être le sujet d'une autre émission, si on veut vraiment développer le marché de l'assurance cyber, et on voit bien qu'on en a besoin parce que ce volume-là est trop faible et rend le marché très volatile, on a un vrai sujet, c'est le risque systémique. À Viviatek, on parlait de souveraineté numérique. Et en fait, c'est très lié. Aujourd'hui, le développement des nouvelles technologies restreint le nombre d'infrastructures en peu de main, ce qui augmente ce risque systémique.

Et ce risque systémique-là, c'est une vraie barrière, un vrai sujet pour les assureurs, parce que c'est l'opposé du modèle assurantiel où on mutualise les primes pour payer quelques sinistres. Là, un seul événement peut endommager l'ensemble du portefeuille. Tant qu'on n'aura pas résolu ce problème-là, effectivement, le marché de l'assurance cyber aura du mal à se développer.

Ah, c'est intéressant. Vous allez dans le même sens tous, finalement. Sur la question, pour revenir sur la question des rançons, comment se positionne l'occlusif là-dessus ?

On ne paye pas la rançon.

On ne paye pas.

Voilà, tout simplement. On n'alimente pas le cybercrime. Exactement, ça entretient l'écosystème criminel.

Mais c'est parfois un peu plus facile à dire qu'à faire, quand même.

Peut-être, mais c'est vrai qu'on a vu des gens payer la rançon et se refaire attaquer deux semaines après, parce que les attaquants sont paresseux. Quand quelqu'un est un bon client, on va retaper à la porte quelques semaines après. Donc, en fait, ce n'est vraiment pas une bonne solution à titre personnel et également à titre collectif parce que si c'est autant répandu le ransomware, c'est que c'est un business lucratif. Il faut faire en sorte que ce soit le moins rentable possible pour les attaquants.

Quel est le moteur principal, justement, pour convaincre une direction de signer l'adhésion à une cyberassurance ? Qu'est-ce qui vous semble l'argument le plus convaincant ? Est-ce que c'est un type d'attaque qui peut faire peur et vers laquelle on sait qu'on est plutôt exposé là-dessus et on veut s'en protéger ? Qu'est-ce qui est moteur aujourd'hui pour aller frapper à la porte d'un cyberassureur ?

Je pense que juste avant ça, il y a déjà une phase de transition qu'on est en train de voir autour de la cyber aujourd'hui. À partir du moment où les directions générales prennent la cyber comme un élément important et notamment lorsqu'ils participent au COMEX et un certain nombre de décisions, on s'aperçoit que la sensibilité à la cyber et donc à la cyberassurance est du coup de se faire la modifier. Ça, c'est la première chose.

La deuxième chose qui les pousse, en tous les cas, de ce que l'on voit, et je ne suis pas spécialiste et on n'a pas fait d'études sur le sujet, mais des discussions, en tous les cas, des échanges que l'on a, c'est véritablement la perte d'exploitation, c'est-à-dire la capacité ou l'incapacité totale d'être capable de fournir ses clients sur cette partie-là. Et c'est quand on discute avec un certain nombre de clients, la première chose qui vient, c'est suis-je en capacité de continuer mon activité, même dégradée, avec une notion de cyber-résilience et de tout ce qu'on veut derrière. Et la souveraineté, du coup, est un élément important aussi dans cette cyber-résilience.

C'est en tous les cas ce qui remonte le plus souvent aujourd'hui quand on discute avec un certain nombre de clients.

Est-ce que la cyberassurance peut couvrir ce risque, véritablement ?

Alors, effectivement, la première des choses, c'est que nous sommes dans une économie digitale. Tous nos process sont maintenant imprégnés de digital. Et donc, effectivement, l'arrêt d'activité suite à un problème cyber entraîne directement une perte d'exploitation pour l'entreprise.

Et ça, si les risques majeurs, de manière conjointe avec les RSCI, sont capables de donner des éléments financiers, donc transformer le risque technique cyber en un impact financier et être capable de corréler cet impact financier à un plan de mitigation qui va être un investissement en prévention, en cybersécurité, mais qui ne couvrira pas tous les scénarios, qui couvrira un certain nombre de scénarios, et de cumuler ça avec une protection assurantielle. C'est la meilleure manière, la plus efficace, de pouvoir protéger l'entreprise de manière pérenne.

Donc, j'entends que l'assurance ne va pas pouvoir couvrir toute ma perte d'exploitation. Il faut que je m'assure d'un côté, déjà en amont, d'avoir protégé ou d'avoir trouvé un scénario de résilience.

Le but de l'assurance, c'est de couvrir le risque résiduel une fois qu'on s'est protégé. Vous allez fermer les fenêtres de votre maison avant de vous assurer contre le cambriolage.

En matière de cybersécurité, c'est beaucoup plus compliqué de prouver finalement qu'on a mis en place, qu'on a fermé la porte et les fenêtres.

Alors, ce que vous allez expliquer à l'assureur, et c'est aussi un élément d'évaluation de la qualité de votre politique de cybersécurité, si elle est évaluée par un tiers assureur, qui va de fait, en validant, en souscrivant l'assurance, valider qu'il croit que la stratégie de cybersécurité appliquée dans l'entreprise, elle est saine et elle justifie la confiance qu'il va lui apporter. Il y a également des sociétés d'audit, il y a des labels délivrés par l'ANSI pour attester de la qualité d'un contrôle, de la qualité d'un service, ce qui n'est pas accessible pour tout le monde. Mais voilà, il y a un certain nombre de briques qui permettent, parce que le contrôle est un élément...

Indépendant de l'assurance.

Exactement, beaucoup de responsables cyber mettent en place des démarches d'audit, de labellisation, de certification, depuis un certain nombre d'années, c'est quelque chose qui marche assez bien.

Et qui est pris en compte par le cyberassureur.

Ça peut être pris en compte, par contre, comme vous l'avez dit, la couverture totale du risque, c'est un vœu pieux, et oui, il y a un risque résiduel, et l'assurance est une des réponses, de la même manière que parfois l'acceptation du risque en est une, dès lors qu'on a fait tout ce qu'il faut avant pour réduire le niveau résiduel à un niveau le plus raisonnable.

Merci beaucoup à tous les trois, on arrive déjà à la fin de cette discussion. Merci Philippe Cotel de Lamraï, Sylvain Lefeuve de Board of Cyber, et Benjamin Leroux du Clusif. C'est l'heure de notre Focus Solutions, vous allez découvrir une solution inédite pour le secteur de la santé.