La réponse tient dans deux documents qu'on lit rarement l'un à côté de l'autre : le contrat d'infogérance et la police d'assurance.
En partie seulement. Le contrat qui confie votre informatique à ce prestataire extérieur, votre contrat d'infogérance, contient presque toujours une clause limitative de responsabilité, c'est-à-dire un plafond fixé d'avance sur ce que le prestataire vous devra en cas de faute. Ce plafond se chiffre souvent en quelques mois d'honoraires. Votre perte, elle, se chiffre en semaines d'activité arrêtée, et le reste vous incombe. Vis-à-vis de la CNIL et de vos clients, c'est votre entreprise qui répond, pas la sienne.
Plafonner sa responsabilité est un usage ancien et valable entre professionnels. Un prestataire facturé quelques milliers d'euros par mois ne peut pas porter seul un sinistre à sept chiffres.
Le droit lui pose tout de même des bornes. Une clause qui vide de sa substance l'obligation essentielle du prestataire, la prestation même pour laquelle vous l'avez choisi, est réputée non écrite, c'est-à-dire qu'un juge la traite comme si elle ne figurait pas au contrat (article 1170 du code civil). Le plafond cède aussi devant une faute lourde, une négligence d'une gravité extrême voisine de l'intention. Mais la Cour de cassation juge qu'elle ne se déduit pas du seul manquement : c'est la gravité du comportement qui compte. En pratique, le plafond tient.
Un prestataire qui manipule vos fichiers pour votre compte et sur vos instructions est un sous-traitant au sens du règlement européen sur les données personnelles. Vous restez le responsable de traitement, celui qui décide pourquoi et comment ces données sont utilisées. Cette qualité ne se délègue pas.
Si l'attaque expose ou détruit des données personnelles, vous avez 72 heures pour prévenir la CNIL, et vous informez les personnes concernées quand le risque pour elles est élevé. Le prestataire, lui, doit vous alerter sans délai : c'est vous qu'il prévient, pas l'autorité. Le règlement vous demande aussi de choisir un sous-traitant présentant des garanties suffisantes et d'écrire ce qu'il fait de vos données (article 28).
| Après l'incident | Le prestataire | Votre entreprise |
|---|---|---|
| Remise en service | Dans le périmètre du contrat | Vous financez ce qui n'y figure pas |
| Votre préjudice financier | Réparé jusqu'au plafond, sauf faute lourde ou tromperie volontaire | Tout ce qui dépasse ce plafond |
| Alerte CNIL et information des personnes | Il vous alerte sans délai (art. 33.2 RGPD) | Vous notifiez et informez (art. 33.1 et 34) |
| Plainte sous 72 heures | Hors de son champ | Condition de votre indemnisation (art. L. 12-10-1 du code des assurances) |
| Réclamation d'un client ou d'un salarié | Il répond de ses manquements (art. 82 RGPD) | Vous pouvez devoir la réparation entière, avec recours ensuite |
Un recours se compte en mois : expertise, chiffrage du préjudice, plafond opposé dès la première lettre. Une trésorerie se compte en jours. Le contrat cyber comble cet écart, en prenant en charge les frais de réponse à incident, les pertes d'exploitation et l'information des personnes touchées.
Une condition légale s'applique, quel que soit l'assureur : l'indemnisation d'une atteinte à votre système informatique suppose une plainte déposée dans les 72 heures qui suivent sa découverte. Ce compteur tourne en même temps que celui de la CNIL.
La clause qui peut vous coûter une partie de votre indemnité
Quand votre assureur vous a payé, il prend votre place pour se retourner contre le prestataire : c'est la subrogation. L'article L. 121-12 du code des assurances lui permet d'être déchargé, en tout ou partie, si cette place disparaît par votre fait. Une renonciation à recours, par laquelle vous acceptez de ne rien réclamer au prestataire, entre dans ce cas. Signalez-la à votre assureur avant de signer.
Les règles de la déclaration de souscription sont exposées sur la page questionnaire cyber et déclaration inexacte. Le marché des ETI est décrit dans primes en baisse, risque en hausse, et le contrat sur la page assurance cyber.
Un changement de prestataire remet les deux documents sur la table en même temps. Accent Conseil les lit ensemble à ce moment-là, pas six mois plus tard.
Audit gratuit
Vous repartez avec la liste des postes couverts par l'un, par l'autre, et de ceux que ni l'un ni l'autre ne prend.
Demander un audit en 30 minQuestions liées
Pas nécessairement, car le plafond n'est qu'une des façons de borner la facture. Même sans chiffre, votre prestataire ne répond que du dommage qui était prévu, ou prévisible, au moment où vous avez signé, sauf faute lourde ou tromperie volontaire. Beaucoup de contrats d'infogérance procèdent autrement : ils excluent des postes entiers, la perte de données ou la perte d'exploitation par exemple, plutôt que d'en plafonner le montant. Une exclusion coûte plus cher qu'un plafond, puisqu'elle ramène l'indemnisation à zéro sur le poste concerné. Lisez donc la liste des exclusions avec la même attention que la ligne du plafond.
Le régler, car l'obligation pèse sur vous. Le règlement européen impose un contrat écrit pour encadrer le traitement confié à un sous-traitant. Ce document décrit l'objet, la durée, la nature et la finalité du traitement, les types de données et les personnes concernées. Il doit aussi prévoir les mesures de sécurité que prend le prestataire, son aide en cas de violation, et son engagement à ne pas sous-traiter à son tour sans votre autorisation écrite. En pratique, cela prend la forme d'une annexe au contrat existant, à demander à votre prestataire.
Cela améliore votre situation sans la résoudre. Cette assurance couvre la responsabilité du prestataire telle qu'elle résulte de son contrat avec vous : elle intervient à l'intérieur du plafond convenu, pas au-delà. Elle a ses propres limites et ses propres exclusions, que vous ne connaissez pas. Et elle indemnise ce qu'il vous doit, jamais l'intégralité de ce que vous perdez. Demander l'attestation reste utile, notamment pour vérifier que le risque informatique y figure, mais elle ne remplace pas une garantie souscrite à votre nom.
Bien plus longtemps que le temps dont vous disposez. Il faut d'abord établir le manquement, ce qui suppose souvent une expertise sur un système d'information que le prestataire administre lui-même. Il faut ensuite chiffrer le préjudice, puis discuter du plafond, que votre prestataire invoquera dès le premier échange. Une transaction reste possible et va plus vite qu'un procès. Dans les deux cas, le calendrier est celui de la procédure, pas celui de vos échéances. C'est exactement la raison d'être d'une garantie cyber, qui avance les frais et les pertes pendant ce temps-là.
Oui, et sur deux terrains distincts. D'abord celui du choix : vous ne devez faire appel qu'à des sous-traitants présentant des garanties suffisantes en matière de sécurité. L'autorité peut vérifier ce que vous avez contrôlé avant de signer. Ensuite celui de la réaction : le retard de notification, l'absence d'information des personnes ou un registre des violations vide vous sont directement imputables. Le prestataire, de son côté, répond de ses propres manquements et peut être poursuivi lui aussi. Les deux responsabilités coexistent, elles ne se remplacent pas.
Sources
Textes : article 1170 du code civil ; article 1231-3 ; article L. 12-10-1 du code des assurances ; article L. 121-12 ; RGPD, articles 28, 32, 33 et 34 et article 82 ; Cour de cassation, com., 22 octobre 1996, n° 93-18.632 et ch. mixte, 22 avril 2005, n° 03-14.112 ; com., 21 février 2006, n° 04-20.139.
Ressources publiques : CNIL, violations de données ; Cybermalveillance.gouv.fr, guide dirigeants ; France Assureurs.
Pour aller plus loin : ce que la directive NIS 2 attend des organes de direction, et le contrat qui couvre les dommages causés à un tiers, la responsabilité civile.
Cette page fait partie de nos réponses aux questions des employeurs.
Le cabinet : Accent Conseil est le nom commercial d'Accent Assurances, 80 rue de Paris, 93100 Montreuil. Courtier immatriculé à l'ORIAS sous le numéro 09049208 depuis le 30 avril 2009, registre consultable sur orias.fr.
Parce que notre métier chez Accent Conseil, c’est d’accompagner à la fois les décideurs dans la sélection des assurances les plus pertinentes, et les équipes qui sont les premières concernées par les options retenues.
