Bulletin sur la récupérabilité n° 4
Votre assureur cyber a déjà chiffré votre délai de reprise d'activité
Une fois par an, la compagnie qui prendra en charge les conséquences de votre pire scénario vous envoie une série de questions visant à évaluer votre niveau de préparation. La plupart des entreprises traitent le renouvellement de leur cyberassurance comme une simple formalité administrative. Le service de gestion des risques et le courtier recueillent les réponses, le service de sécurité vérifie que l’authentification multifactorielle (MFA) est activée et que les sauvegardes fonctionnent, puis le dossier est renvoyé avec une colonne remplie de « oui ». Un devis est alors établi, mais presque personne ne le considère comme un retour d’information.
Ce prix reflète l’avis d’un tiers qui engage ses propres fonds. La prime correspond à l’estimation faite par ce tiers de la durée d’indisponibilité de votre entreprise après une attaque et du coût de cette interruption. Le rapport 2026 de Fenix24 sur l’état de la capacité de reprise montre que les opérateurs parviennent de mieux en mieux à établir cette estimation, et que les organisations capables de prouver leur capacité de reprise paient déjà moins cher que celles qui ne le peuvent pas.
Les pertes ont augmenté et les prix ont baissé la même année
Selon les chiffres de la NAIC, le nombre de sinistres liés à la cyberassurance aux États-Unis a augmenté de près de 40 % en 2024, pour atteindre près de 50 000. Les taux de prime moyens ont baissé de 5 % au quatrième trimestre, ce qui constitue la première baisse trimestrielle en sept ans. Les sinistres et les prix ne peuvent évoluer dans des directions opposées que lorsque ceux qui fixent les prix ont suffisamment confiance en leur capacité à distinguer les bons risques des mauvais. La NAIC attribue cet assouplissement aux investissements soutenus dans les dispositifs de contrôle que les souscripteurs jugent favorables.
Vu sous cet angle, la baisse moyenne des tarifs masque une disparité entre les acheteurs. Les organisations capables de fournir des preuves de leur niveau de sécurité et de leur capacité de reprise après sinistre obtiennent de meilleures conditions, des plafonds plus élevés et des franchises moins élevées. Les acheteurs qui ne peuvent pas fournir ces preuves absorbent une plus grande partie des pertes croissantes du marché, sous la forme d’une couverture plus restreinte et de franchises plus élevées. L’écart entre ces deux groupes devrait se creuser à mesure que les assureurs apprendront à mieux interpréter ces preuves. La preuve de la reprise est devenue un instrument financier, et sa valeur se reflète à chaque renouvellement.
Ce qu'une somme de 75 millions de dollars ne peut toujours pas acheter
Les assureurs trient les acheteurs avec autant de soin car ils connaissent les limites de ce que leurs indemnités permettent d’accomplir. De nombreux acheteurs découvrent ces limites en cours d’incident, lorsque la procédure de réclamation est en cours mais que l’activité n’a toujours pas repris. Les indemnités peuvent être colossales. Le registre récent des sinistres de NetDiligence fait état de demandes d’extorsion atteignant 150 millions de dollars, de paiements individuels allant jusqu’à 75 millions de dollars et de cinquante rançons distinctes à huit chiffres ou plus. Des sommes d’une telle ampleur transfèrent des capitaux à la victime sans pour autant contribuer à sa capacité à se remettre de l’incident.
Malgré tout, selon l’enquête 2026 d’Accenture, 60 % des organisations considèrent la cyberassurance comme un substitut à la résilience plutôt que comme un filet de sécurité financier. Les chiffres leur donnent tort. Une fois pris en compte les temps d’arrêt, les pertes de chiffre d’affaires et l’atteinte à la réputation, le coût total de la perturbation peut atteindre dix fois le montant de l’indemnisation ; dans ces incidents, la police ne couvre donc qu’environ un dixième de la facture. La majeure partie du reste non couvert correspond aux temps d’arrêt.
Une police d’assurance rembourse le capital une fois le sinistre réglé. Elle ne peut pas rétablir les contrôleurs de domaine ni la confiance dans un environnement d’identité compromis, et elle ne peut pas produire une sauvegarde valide et intacte. Elle n’a aucune influence sur l’ordre de reprise des services métier, et elle ne peut pas racheter une seule heure de fonctionnement. Or, ce sont précisément ces éléments pour lesquels une équipe de reprise passe les premiers jours d’un incident à se battre. Le remboursement de ces jours n’intervient qu’une fois qu’ils sont écoulés.
Le prix variable des opérateurs est le temps
Les assureurs savent où va leur argent. Selon Allianz et Munich Re, les pertes d’exploitation représentent la majeure partie de leurs indemnités. Allianz indique que l’ampleur des pertes liées à l’interruption d’activité dépend de l’efficacité avec laquelle une entreprise met en œuvre ses mesures d’intervention et de continuité. Les assurés qui reprennent rapidement leurs activités coûtent moins cher aux assureurs. Le secteur, dont le métier consiste à évaluer ce risque, a conclu que la capacité de reprise est la variable déterminante.
La vitesse de reprise est déterminée bien avant le dépôt d’une demande d’indemnisation. Le chèque d’indemnisation finance la reprise, mais ne peut pas l’accélérer. La vitesse de reprise a été fixée des mois plus tôt en fonction de trois facteurs : la capacité des sauvegardes à résister à une attaque, l’actualité de la carte des dépendances et l’existence ou non d’un chemin de restauration testé. Au moment où l’équipe de reprise rejoint la première réunion, ces conditions sont déjà réunies ou font déjà défaut. L’argent dépensé pendant l’incident sert à pallier ce qui manque.
Cela place l'assurance et la reprise d'activité au cœur du même débat budgétaire. Les dépenses qui permettent de raccourcir le délai de reprise réduisent le montant des pertes prises en compte par l'assureur dans le calcul de la prime, et les souscripteurs répercutent une partie de cette valeur sous forme de conditions plus avantageuses. Se limiter à des dépenses liées à la couverture permet d'obtenir un remboursement pour les temps d'arrêt que l'entreprise n'a rien fait pour raccourcir.
Intégrer le renouveau dans le programme de rétablissement
Le rapport « The State of Recoverability » recommande de considérer les questionnaires de renouvellement comme les indicateurs du marché qu’ils sont et d’utiliser chaque renouvellement comme un catalyseur. Les éléments de preuve que les souscripteurs demandent aujourd’hui et ceux qui sont nécessaires à un recouvrement effectif sont les mêmes.
Le fait de tenir compte de ces éléments modifie qui répond au questionnaire et ce qui est considéré comme une réponse. Presque tout le monde peut cocher « oui » à la question « Les sauvegardes sont-elles séparées de l’environnement de production ? », car cocher « oui » sur un formulaire ne coûte rien. Un environnement de sauvegarde qui ne s’authentifie pas via l’annuaire de production est un élément qu’un assureur peut prendre en compte dans son devis et qu’une équipe de reprise peut utiliser dès le premier jour d’un incident. Les tests de restauration fonctionnent de la même manière. Une restauration datée d’un service métier, effectuée dans les délais fixés par le RTO (délai de reprise des activités) du plan, en dit bien plus à l’assureur qu’une simple case cochée. Elle indique également au RSSI si le délai de reprise prévu dans le plan est réalisable. Fenix24 maintient ces preuves à jour entre les renouvellements grâce à Argos99, qui modélise les dépendances de chaque service métier, la couverture de sauvegarde existante, la séquence de reprise requise et la faisabilité des objectifs de reprise du plan.
L'intégration du renouvellement dans le programme de reprise après sinistre apporte également à ce dernier un élément qu'il possède rarement : un retour financier tangible. Le renforcement des sauvegardes et la cartographie des dépendances sont généralement considérés comme des coûts sans contrepartie. Au moment du renouvellement, le directeur financier peut constater la valeur de ces mesures en termes de prime et de rétention. Ce chiffre est plus facile à justifier auprès du conseil d'administration qu'une probabilité réduite d'attaque qui pourrait ne pas se produire cette année.
Abordez votre prochain renouvellement en vous appuyant sur des éléments concrets
Le rapport « The State of Recoverability 2026 » associe les données relatives aux sinistres d’Allianz, les études du Forum économique mondial, d’Accenture et de treize autres institutions aux données de terrain recueillies par Fenix24 lors de plus de 500 interventions concrètes de restauration après une attaque par ransomware, ce qui constitue la base d’expérience la plus complète au monde en matière de restauration. Si vous souhaitez comprendre ce qui détermine la durée d’indisponibilité d’une entreprise, voici les éléments qui le prouvent.
Cliquez ici pour télécharger le rapport 2026 de Fenix24 sur l'état de la recouvrabilité.
