Bulletin sur la récupérabilité n° 2
Ce sont les temps d'arrêt, et non les rançons, qui constituent le véritable coût d'un incident cybernétique
Demandez aux membres d'un conseil d'administration combien coûte un cyberincident, et ils vous parleront de la rançon, des avocats, du cabinet d'expertise numérique et des notifications. Mais les assureurs, qui prennent en charge ces frais, tiennent des registres plus précis que quiconque, et leurs données indiquent autre chose :
La majeure partie du coût d'un incident cybernétique est liée aux temps d'arrêt, c'est-à-dire aux jours et aux semaines pendant lesquels l'entreprise ne peut pas fonctionner à un niveau satisfaisant.
Cette conclusion ressort de l'analyse des sinistres présentée dans le rapport « State of Recoverability » 2026 de Fenix24, et elle devrait modifier la façon dont les responsables de la sécurité envisagent leurs dépenses. Parmi tous les coûts liés à un sinistre cybernétique, les temps d'arrêt sont les seuls qui puissent encore être réduits une fois que le pirate s'est introduit dans le système. Les données relatives aux sinistres le prouvent à double titre.
Ce sont ceux qui paient les factures qui décident
Les assureurs qui couvrent les cyberincidents comptent parmi les témoins les plus fiables quant à leur coût réel, et leurs données relatives aux sinistres aboutissent à une conclusion unanime. Dans les plus grandes bases de données indépendantes au monde sur les sinistres, l’interruption d’activité constitue la principale composante des pertes, dépassant le montant cumulé des rançons, des expertises informatiques, des frais juridiques et des coûts de notification. L’analyse réalisée par Allianz Commercial pour 2025 estime que l’interruption d’activité représente plus de 50 % de la valeur des sinistres cyber de grande ampleur. Munich Re, s’appuyant sur son propre portefeuille, l’évalue à 51 % des coûts liés aux ransomwares. Deux assureurs, deux bases de données, une seule réponse.
L'étude sur les sinistres menée par NetDiligence sur cinq ans montre l'impact de cette part sur le total. Les sinistres comportant une composante « interruption d'activité » coûtent en moyenne 650 % de plus que ceux qui n'en comportent pas, et les ransomwares sont à l'origine de 81 % des sinistres des PME présentant une telle composante. Les moyennes relatives à ces sinistres illustrent la situation aux deux extrémités du marché. Pour les PME, l’interruption d’activité représentait en moyenne 1,2 million de dollars sur un coût total de sinistre de 1,8 million de dollars, les services de gestion de crise s’élevant à 297 000 dollars. Pour les grandes entreprises, l’interruption d’activité représentait en moyenne 26 millions de dollars sur un total de 36,1 millions de dollars, contre 3,5 millions de dollars pour les services de gestion de crise. Quelle que soit l’échelle, le poste « interruption d’activité » représente plusieurs fois la somme de tous les autres postes du sinistre réunis.
Le seul coût qui reste variable
Ces chiffres revêtent une importance particulière pour un responsable de la sécurité, et ce pour une raison qui va au-delà de leur ampleur. L'interruption d'activité se distingue de toutes les autres composantes du sinistre.
Une fois qu’un incident se produit, les coûts liés à l’expertise, aux aspects juridiques et à la notification sont à peu près fixes. Les enquêteurs facturent ce qu’ils facturent, les avocats facturent ce qu’ils facturent, et les courriers sont envoyés à toutes les personnes concernées. Rien de ce que fait l’organisation après le premier jour ne modifie beaucoup ces coûts. Il en va autrement pour le poste « interruption ». Il s’agit d’une variable, et la variable qu’elle reflète est la vitesse de reprise. Les propres analystes sinistres d’Allianz soulignent que les pertes liées à l’interruption d’activité sont directement liées à la qualité de la réponse et à la mise en œuvre des mesures de continuité. L’indécision et une mauvaise coordination ne font que les prolonger.
Lisez cela comme le ferait un directeur financier. Tous les autres résultats en matière de sécurité sont probabilistes. Vous investissez dans la prévention et les risques qu’un incident survienne diminuent dans une mesure que personne ne peut vérifier. La capacité de reprise s’avère payante de manière déterministe. Si l’activité reprend en quarante heures au lieu de trois semaines, la différence est arithmétique et se répercute sur le poste le plus important du bilan des sinistres. Chaque heure de temps de reprise achetée à l’avance représente une valeur de sinistre qui ne se concrétise jamais. Aucun autre investissement en sécurité n’a un lien aussi direct avec le chiffre le plus important du bilan des sinistres.
C’est également pour cette raison que le simple fait de dire « nous avons une cyberassurance » ne suffit pas à régler la question. Les assureurs fixent leurs tarifs en fonction des montants qu’ils versent. Une organisation capable de démontrer un délai de reprise court et étayé par des preuves présente un profil de sinistre plusieurs fois inférieur à celui d’une organisation qui n’en est pas capable. La police d’assurance transfère la perte. Elle ne la réduit pas. C’est la rapidité de la reprise qui la réduit.
Le chiffre indiqué dans votre dossier budgétaire est erroné.
La plupart des dossiers relatifs au budget de la sécurité invoquent les pertes déclarées liées aux ransomwares, alors que l’organisme qui les publie recommande de ne pas le faire. L’IC3 du FBI a enregistré 3 600 plaintes liées à des ransomwares en 2025, pour un montant total de 32 millions de dollars de pertes déclarées. Sa propre méthodologie précise que ce total exclut généralement les pertes d’activité, de temps, de salaires, de fichiers et de matériel, ainsi que les coûts liés aux mesures correctives prises par des tiers. Elle ne prend également en compte que les incidents signalés par les victimes au FBI.
L’Institut Cyentia, qui a réalisé une estimation portant sur l’ensemble des incidents, coûts opérationnels compris, a chiffré les pertes annuelles liées aux ransomwares à près de 95 milliards de dollars pour 2023. Ces deux chiffres mesurent des éléments différents, et c’est précisément là que réside le problème. Les catégories que le chiffre phare exclut par nature correspondent précisément aux coûts liés aux temps d’arrêt qui, selon les données sur les sinistres, constituent la part prépondérante de la facture. Un budget fondé sur les pertes déclarées passe à côté de son poste de dépense le plus important, et un conseil d’administration à qui l’on annonce « 32 millions de dollars de pertes liées aux ransomwares à l’échelle nationale » se voit ainsi fournir une raison de dépenser moins, et non davantage.
L'exposition aux risques cybernétiques devrait être mesurée en heures d'interruption d'activité, et non en nombre d'enregistrements compromis. C'est déjà ce qui ressort des données relatives aux sinistres.
Combien coûte une heure, et comment le savoir
Mesurer l’exposition en heures semble simple jusqu’à ce que l’on tente de chiffrer ce chiffre, car « l’entreprise » n’a pas de tarif horaire. Les services aux entreprises, eux, en ont, et ceux-ci varient énormément. Une heure sans la plateforme de commerce électronique correspond à un chiffre d’affaires perdu. Une heure sans le système de paie coûte peu le mardi, mais beaucoup le vendredi, jour de versement des salaires. Une heure sans le système d’exécution de la fabrication met une usine à l’arrêt, dont les coûts de main-d’œuvre et les pénalités contractuelles continuent de s’accumuler quoi qu’il arrive.
Le calcul de l’exposition se déroule en trois étapes, dont chacune représente un travail que la plupart des organisations n’ont pas encore effectué. Premièrement, identifiez les services métier qui s’arrêtent en cas de panne de l’environnement, service par service plutôt que serveur par serveur. Deuxièmement, attribuez à chacun d’eux un coût horaire, calculé à partir du chiffre d’affaires, de la main-d’œuvre inutilisée, des pénalités liées aux accords de niveau de service (SLA) et des clients qui ne reviennent pas. Troisièmement, et c’est cette étape qui distingue une estimation d’une donnée factuelle, déterminez le nombre d’heures nécessaires à la remise en service de chaque service, en vous basant sur des tests réels plutôt que sur un objectif fixé dans un plan.
Ce troisième chiffre est celui que presque personne ne connaît. Dans les missions menées par Fenix24, les objectifs de temps de reprise documentés promettaient généralement un délai de 24 à 48 heures. Sur plus de 800 clients, quatre se sont rapprochés de cet objectif pour une reprise partielle de leurs activités. Multipliez un coût horaire réaliste par l’écart entre le délai promis et celui effectivement atteint, et vous obtiendrez votre exposition réelle. Pour la plupart des organisations, il s’agit du chiffre le plus important qui n’ait pas été examiné dans le registre des risques.
Acheter des heures avant d'en avoir besoin
Si chaque heure de temps de reprise achetée à l’avance correspond à une valeur d’indemnisation qui ne se concrétise jamais, la question pratique est de savoir où ces heures sont disponibles à la vente. Du point de vue de la reprise après sinistre, sur la base de plus de 500 interventions liées à des ransomwares, la réponse est claire : ces heures sont perdues en raison de conditions qui existaient bien avant l’arrivée de l’attaquant. Les équipes doivent reconstituer les dépendances des applications en cours d’incident, car aucune cartographie à jour n’existait. Les sauvegardes qui semblaient avoir réussi s’avèrent impossibles à restaurer en production. Les données restaurées n’ont nulle part où être stockées, car personne n’avait prévu d’espace de stockage pour une restauration complète de l’environnement. Les décisions sont bloquées, car personne n’avait convenu à l’avance de qui donnerait les instructions de restauration à 3 heures du matin.
Chacun de ces éléments est mesurable et corrigible en temps de paix, et chacun se traduit directement en heures. C’est le débat budgétaire que ces données sur les réclamations rendent possible. Au lieu de demander au conseil d’administration de financer une protection contre une probabilité, un responsable de la sécurité peut chiffrer le coût d’une heure d’indisponibilité pour chaque service métier critique, mettre en évidence l’écart entre le temps de reprise promis et celui réellement atteint, et présenter l’investissement dans la reprise comme un moyen de combler cet écart. C’est l’une des rares propositions de sécurité qu’un directeur financier peut évaluer comme n’importe quelle autre décision d’investissement, car, pour une fois, le retour sur investissement est exprimé dans la même unité que la perte.
Consultez le rapport complet
Le rapport « État de la récupérabilité 2026 » s’articule entièrement autour de la question que se posent désormais tous les conseils d’administration : combien de temps serions-nous réellement hors service ? Il rassemble des données sur les sinistres, des analyses réglementaires et des enquêtes menées auprès de dirigeants d’institutions de premier plan, notamment Allianz, Munich Re et Accenture, puis croise l’ensemble de ces informations avec les observations de Fenix24 issues de plus de 500 cas réels de récupération après une attaque par ransomware. Aucun autre rapport ne combine une analyse sectorielle avec des données de terrain provenant de l’équipe qui réalise plus de restaurations que quiconque dans le monde. C’est la différence entre ce que les organisations affirment au sujet de leur résilience et ce qui se passe réellement lorsque leur environnement informatique est hors service.
Cliquez ici pour télécharger le rapport 2026 de Fenix24 sur l'état de la recouvrabilité.
