La mise en conformité NIS2 est désormais une obligation légale pour des milliers d’organisations à travers l’UE.

La directive transforme la cybersécurité : d’un simple enjeu technique, elle devient un impératif de gouvernance. Elle engage la responsabilité personnelle des dirigeants en cas de manquement.

Ce guide détaille les entités concernées, les dix mesures de sécurité exigées par l’article 21 et les délais de notification des incidents. Il couvre également les sanctions encourues lorsque les organisations -ou leurs dirigeants- ne sont pas à la hauteur.

Une fuite de données à caractère personnel correspond à un accès non autorisé et à une divulgation non autorisée ou menace de divulgation de ces données.

Il s’agit donc d’une violation de données au sens du RGPD, qui déclenche un compte à rebours de 72 heures auquel la plupart des organisations ne sont pas préparées.

Dès l’instant où votre DSI ou RSSI confirme un accès non autorisé à des données personnelles, l’Article 33 du RGPD impose en effet une notification à la CNIL dans les trois jours.

C’est à ce moment précis que l’exposition juridique du dirigeant commence à s’accumuler.

Ce guide détaille chaque étape de cette fenêtre critique de 72 heures, de la préservation des preuves (forensique) à la notification réglementaire, en passant par la responsabilité civile et pénale personnelle à laquelle s’exposent les dirigeants en cas de défaillance.

publiée sur Linkedin et dans La Matinale Européenne

On a trop souvent raconté l’histoire de la souveraineté numérique européenne comme une chronique d’échec : une Europe condamnée à courir derrière les géants américains et chinois, simple marché ouvert, régulé mais impuissant.

Cette vision est fausse et nous désarme. Dans le monde qui vient – où la confiance d’après‑guerre s’efface au profit de rapports de force assumés – l’Europe dispose déjà de cartes maîtresses pour résister, innover et affronter ses concurrents : infrastructures critiques, acteurs uniques comme ASML ou IMEC, marché intérieur gigantesque, arsenal normatif sans équivalent. À condition de les utiliser comme de véritables instruments de puissance.

Ce texte prend donc le contre‑pied du discours dominant: il ne demande pas “comment rattraper notre retard”, mais comment jouer intelligemment les atouts que nous avons en main – infrastructures, données, entreprises, marché, recherche, savoir‑faire – pour peser dans les rapports de force numériques, sans renoncer à ce qui fait le cœur du projet européen : État de droit, libertés, stabilité des règles comme terreau d’innovation.

Depuis vingt ans, on répète que l’Europe aurait “raté” la révolution numérique, faute de GAFAM et de géant du cloud, laissant filer la valeur des plateformes grand public fondées sur les données personnelles. En ne regardant que ce front, on oublie que l’Europe s’est positionnée ailleurs : puissance normative, protection des droits fondamentaux, infrastructures industrielles.

Plutôt que courir après le “winner takes all” des plateformes B2C, elle a construit un espace informationnel régulé, protecteur de la vie privée et de l’État de droit, et posé les bases d’un marché intérieur numérique unifié. Surtout, elle dispose aujourd’hui des atouts industriels, des compétences et du marché intérieur nécessaires pour être un acteur majeur de la nouvelle phase du numérique – celle des données industrielles et de l’IA – à condition de changer de logiciel politique.

L’ordre de l’après‑guerre reposait sur une confiance institutionnalisée: Bretton Woods, OMC, OTAN, article 5. Cette architecture se défait, minée par les guerres commerciales, les sanctions extraterritoriales, les contrôles d’exportation technologique, l’espionnage économique et le pillage des données. Ce qui émerge n’est pas le chaos, mais une nouvelle grammaire : des rapports de force ouverts, y compris entre alliés.

Dans ce monde, être un simple “like‑minded partner” ne protège plus. Les programmes de surveillance de masse, le Patriot Act, la section 702, les écoutes entre alliés ont montré les limites de la fraternité proclamée. La loyauté transatlantique n’a pas empêché l’espionnage ni l’usage unilatéral de leviers juridiques et technologiques.

L’Europe doit donc assumer une mue stratégique:conserver son projet de paix et de droit, mais rassembler ses attributs de puissance, pour protéger son autonomie de décision. Tant qu’elle se pense comme un partenaire docile, elle reste en position de vassalisation, notamment vis-à-vis des États-Unis, dont dépendent nombre de pays européens pour leur sécurité et leur infrastructure numérique.

Une souveraineté numérique adulte commence par une cartographie lucide des dépendances, structurée autour de trois niveaux : Infrastructures, Données, Services et plateformes.

• Infrastructures : sanctuariser le critique

Les infrastructures – réseaux, cloud, serveurs, systèmes d’exploitation, logiciels stratégiques, HPC (calcul à haute performance) , cybersécurité – reposent largement sur des technologies non européennes. L’enjeu n’est pas de tout nationaliser, mais de sanctuariser ce qui est vital pour la sécurité, l’économie et la démocratie, en l’hébergeant et en l’opérant sous droit européen. L’Europe a déjà des fournisseurs clefs: OVHcloud, Scaleway, T‑Systems, Orange pour le cloud; Thales, Atos/BDS, Stormshield, Orange Cyberdefense, F‑Secure, Secunet pour la cyber; Bull/Atos et les grands centres nationaux pour le HPC; Nokia et Ericsson pour les réseaux. La souveraineté consiste à les mobiliser là où l’enjeu est vital, via la commande publique, la certification et les clauses de réversibilité.

• Données : un patrimoine européen

Les données – personnelles, industrielles, scientifiques, publiques – constituent un patrimoine informationnel. Elles n’ont de valeur qu’à travers les services qu’elles rendent. Si des plateformes accèdent à nos données en échange d’un service (logique de marché biface), il s’agit d’un échange marchand. Deux principes s’imposent : certaines données doivent être stratégiques et rester dans l’espace juridique européen ; les plateformes qui monétisent l’accès à nos données et à notre marché doivent assumer les mêmes obligations fiscales et réglementaires que les autres. Une TVA sur les services numériques est, de ce point de vue, plus cohérente qu’une énième “taxe GAFAM” symbolique.

• Services et plateformes: hiérarchiser

Pour les services et plateformes, il ne s’agit pas de bannir par principe les acteurs extra‑européens, mais de hiérarchiser: certains usages peuvent leur être confiés; d’autres doivent être sanctuarisés sur des solutions européennes, parce qu’ils touchent à des fonctions régaliennes, à des données critiques ou à des secteurs stratégiques. Tout n’a pas besoin d’être souverain, mais tout ce qui est critique doit pouvoir l’être, sur la base d’une politique publique explicite.

Le cœur du projet européen est de bâtir un espace numérique intégré, avec les mêmes règles pour les 27.

Cinq textes en sont les piliers : RGPD / DGA pour les données, DSA pour les services, DMA pour les gatekeepers, Data Act pour le partage et l’usage secondaire, AI Act pour l’IA.

Pris séparément, ils sont souvent perçus comme des contraintes. Pris ensemble, ils créent un véritable marché intérieur numérique, qui manquait dans la première phase de la révolution de l’information (2000–2025), centrée sur les données personnelles.

La fragmentation régulatoire a empêché l’émergence d’acteurs de taille critique. Il s’agit désormais de préparer la phase 2025–2050: celle des données industrielles (machines, production, mobilité, santé, énergie). Or l’Europe est nettement plus industrielle que les États‑Unis, avec une densité exceptionnelle d’usines et de systèmes techniques interconnectés. C’est ce gisement que les acteurs extra‑européens veulent capter. C’est celui que nous devons protéger, valoriser et monétiser selon nos règles.

On présente souvent l’Europe comme nue dans le bain technologique. C’est faux. Si elle ne dispose pas d’un géant du numérique, les GAFAM (Google, Apple, Facebook, Amazon, Microsoft), elle compte avec une constellation d’acteurs qui, ensemble, forment une base considérable.

Au premier rang, ASML, champion néerlandais, fournit les machines de lithographie les plus avancées au monde; IMEC, près de Bruxelles, est l’un des principaux centres mondiaux de recherche en micro‑ et nano‑électronique, où se forment les ingénieurs de tous les grands fondeurs.

Autour de ce noyau: OVHcloud, T‑Systems, Orange, Scaleway pour le cloud; Thales, Atos, Stormshield, Rohde & Schwarz Cybersecurity, Kudelski Security pour la cyber; Nokia, Ericsson pour les réseaux; Siemens, Dassault Systèmes, SAP, Hexagon pour les logiciels industriels ; CEA‑Leti, Fraunhofer, IMEC et les grands laboratoires pour la recherche.

Ces capacités ne permettent pas de tout faire, mais elles suffisent à sanctuariser nos fonctions vitales, à proposer des alternatives crédibles et à peser dans les rapports de force. Dans certains segments, l’Europe est même irremplaçable. C’est ce capital‑là qu’il faut organiser politiquement et mettre dans la balance, plutôt que répéter que nous aurions “raté” le train.

La puissance européenne tient aussi à son marché intérieur, l’un des plus vastes et solvables du monde, qui représente une part majeure des revenus des grandes plateformes non européennes.

Il doit être assumé comme une arme de souveraineté en imposant nos règles (données, concurrence, transparence algorithmique, fiscalité) à tous ceux qui y opèrent et en acceptant la possibilité de restrictions ciblées en cas de coercition ou de violations répétées, avec impact immédiat sur la valorisation des entreprises concernées.

Mais pour transformer l’essai, il manque une infrastructure financière à la hauteur. C’est l’objet de l’Union des marchés de capitaux, au cœur des rapports Letta et Draghi: tant que nos entreprises devront se financer à l’extérieur ou sur des marchés fragmentés, elles resteront fragiles ou victimes de prédateurs.

Une véritable Union des marchés de capitaux est une condition de souveraineté, pour orienter l’épargne vers le long terme, financer des champions technologiques et protéger nos filières critiques (cloud, semi‑conducteurs, IA, cyber, quantique).

En réalité, l’Europe a tout ce qu’il faut – compétences, infrastructures, base industrielle, marché, normes – pour réussir la révolution numérique.

Ce qui manque, ce n’est pas une confession supplémentaire sur un prétendu retard, mais une volonté assumée de gérer les rapports de force, surtout dans l’espace informationnel. Il faut changer de logiciel au sommet, sortir de la rhétorique confortable des “like‑minded partners” et des œillades en quête d’une clémence qui ne vient plus.

Il faut lire stratégiquement nos dépendances et nos atouts ; accepter que la défense de l’intérêt général européen passe parfois par des gestes de fermeté, de réciprocité et de restriction.

*

Le temps n’est plus à l’Europe qui s’excuse d’être une puissance. Il est venu le temps pour ceux qui sauront exercer leur mandat d’intérêt général avec rigueur, loyauté européenne et détermination, dans un monde où la confiance ne suffit plus et où la souveraineté numérique est devenue l’un des terrains centraux de la politique de puissance.

Thierry Breton

Ancien ministre des finances et ancien commissaire européen

P.S. 1 Eurolaw France Cyber reproduit ce texte avec l’aimable autorisation de La Matinale Européenne.  Abonnez-vous pour soutenir La Matinale

P.S. 2 Image Thierry Breton 2024 -neadhmokratia – CC BY-NC 2.0

CE QUI A CHANGÉ : Les contenus des courriels professionnels peuvent désormais être considérés comme des données personnelles. Tout salarié peut exiger l’intégralité de sa messagerie (contenu + métadonnées). Délai de réponse : 1 mois.

CE QUE VOUS RISQUEZ : Sanctions CNIL jusqu’à 4% du CA mondial. Divulgation du secret des affaires. Coût de traitement par demande : 20 000 à 100 000 €.

CE QUE VOUS DEVEZ FAIRE MAINTENANT : Réduire les durées d’archivage. Actualiser les chartes. Préparer une procédure de réponse aux demandes d’accès. Ne jamais refuser sans justification documentée.

Un arrêt de la Cour de cassation du 18 juin 2025 qualifie les courriels professionnels de données à caractère personnel au sens du RGPD, ouvrant aux salariés un droit d’accès à l’intégralité de leur messagerie électronique : contenu, métadonnées, pièces jointes. Le délai légal de réponse est d’un mois.

L’impact est double : une charge administrative massive (potentiellement 10 à 15 ans d’historique à traiter) et un risque de divulgation involontaire d’informations sensibles. La seule limite posée par l’arrêt est la protection des droits des tiers, ce qui impose un filtrage et une anonymisation courriel par courriel.

La jurisprudence n’est pas stabilisée : dès le lendemain, la cour d’appel d’Amiens adoptait une position opposée, refusant de transformer le droit d’accès en instrument probatoire. Le contentieux est ouvert et nécessite une vigilance accrue.

-En 2020, dans le cadre d’une enquête pour position dominante relative au service Facebook Marketplace (C496/23P) et à l’utilisation des données Facebook (C497/23P), la Commission a demandé à Meta Platforms Ireland Ltd de fournir des documents internes.

-A la suite d’un pourvoi de Meta Platforms Ireland Ltd, le Tribunal de l’Union européenne a confirmé par ses deux arrêts du 24 mai 2023 (T 451/20 et T 452/20), la légalité des décisions de la Commission . Le Tribunal dit pour droit que les demandes de renseignements de la Commission étaient suffisamment motivées, nécessaires et proportionnées et respectaient le droit au respect de la vie privée.

-La société Meta Platforms Ireland Ltd a formé un pourvoi devant la Cour de Justice de l’Union Européenne contre ces deux arrêts.

-Le 26 février 2026, l’avocat général de la Cour de Justice de l’Union Européenne a proposé de rejeter les deux pourvois et de confirmer les arrêts du Tribunal. Il précise que le Tribunal n’a commis aucune erreur de droit dans l’appréciation du caractère nécessaire des renseignements demandés par la Commission. Celle-ci pouvait raisonnablement estimer que les documents identifiés étaient susceptibles de contribuer à la vérification des infractions présumées dans le cadre de ses pouvoirs pour enquêter efficacement auprès d’entreprises comme Meta.

Les conclusions d’un Avocat général ne lient pas la Cour mais indiquent la direction juridique proposée à la Cour ; en l’espèce, confirmation des arrêts du Tribunal et rejet des pourvois de Meta.

Cette affaire nous donne l’occasion de rappeler les régimes clés du droit numérique Européen dont les deux principaux acteurs ont été Margarethe VESTAGER, Vice-Présidente de la Commission Européenne chargée de l’Europe adaptée à l’âge numérique et Thierry BRETON, Commissaire Européen en charge du marché intérieur et du numérique.

Règlement (UE) 2022/1925 du 14 septembre 2022 (entré en vigueur complète au 6 mars 2024) adopté en vue d’améliorer le marché intérieur européen.

• Il vise à réguler les grands acteurs des marchés numériques afin de garantir des marchés contestables et équitables.

• Il s’applique à certaines grandes plateformes identifiées par l’UE comme Google, Apple ou Meta.

• Il implique des obligations spécifiques : interdictions de certaines pratiques, accès aux données, transparence, etc. Il prévoit des sanctions sévères en cas de non-respect.

Règlement (UE) 2022/2065 du 19 octobre 2022 relatif au marché unique européen des services numériques (entré en vigueur complète le 17 février 2024).

• Il structure la responsabilité et les obligations de gestion de contenu des services numériques.

• Il s’applique à toute plateforme offrant des services à des utilisateurs basés dans l’UE, même si l’entreprise est non-européenne.

• Il prévoit notamment des obligations étendues pour les très grandes plateformes en ligne, notamment en matière de transparence, modération, données exploitables pour la recherche, etc.

Les conclusions de l’Avocat Général dans Meta Platforms Ireland ont une portée qui dépasse le strict cadre du droit de la concurrence : elles s’inscrivent dans une tendance réglementaire et jurisprudentielle européenne visant à affirmer que les grandes plateformes n’échappent pas aux exigences européennes simplement parce qu’elles sont établies hors de l’UE ou que leurs activités sont globales.

Elles nous rappellent les règles classiques du droit européen :

La CJUE, à travers l’opinion de l’Avocat Général:

• reconnaît pleinement la compétence de l’Union européenne pour imposer des obligations juridiques aux grandes plateformes opérant dans l’UE

• rejette l’argument selon lequel une entreprise pourrait contester la portée de ces obligations au motif que des documents, des données se trouvent hors de l’UE ou sont protégés par des normes étrangères.

Ce raisonnement est parfaitement cohérent avec les régimes issus du DMA et du DSA et lesquels, par leur nature de règlements, s’appliquent directement à toutes les plateformes offrant des services dans l’UE, qu’elles soient européennes ou non.

Ainsi, une entreprise américaine comme Meta est tenue de se conformer pleinement aux obligations de la DSA et de la DMA dès lors que ses services numériques touchent des utilisateurs dans l’Union.

Les conclusions renforcent un principe juridique clé : l’UE ne se limite pas à réguler les comportements anticoncurrentiels, elle impose des obligations indépendantes de concurrence notamment en matière de régulation numérique qui s’imposent directement aux acteurs du marché.

Cela signifie notamment :

• une obligation de transparence, de coopération et de fourniture d’informations;

• une obligation de traiter des données et des pratiques commerciales conformément aux normes européennes, même lorsque ces dernières entrent en concurrence avec des législations étrangères ou des stratégies internes à l’entreprise.

• Les entreprises, quelles que soient leur taille et leur nationalité, doivent intégrer le droit de l’Union européenne comme un cadre contraignant et autonome.

• Le respect du DMA et du DSA devient une condition de leur conformité globale en Europe, y compris dans des situations où interviennent d’autres domaines : protection des données, concurrence, accès à l’information.

Les conclusions de l’Avocat général confirment la compétence de l’Union européenne à imposer des obligations d’enquête et de coopération contraignantes à des plateformes globales comme META.

Cette dynamique jurisprudentielle reflète l’exigence selon laquelle les entreprises offrant des services dans l’UE doivent se conformer aux régimes européens, y compris le DSA et le DMA, indépendamment de leur lieu d’établissement.

L’Union européenne affirme une extraterritorialité normative : pour opérer durablement dans le marché unique, les entreprises quelles que soient leur origine ou leur structure doivent intégrer pleinement les obligations européennes en matière de concurrence, de données, de marchés numériques et de services.

Une fois l’arrêt rendu par la Cour de justice de l’Union européenne, une référence à celui-ci et un commentaire en seront assurés dans le cadre d’un autre article d’EUROLAW FRANCE CYBER.

Les marques et institutions qui traversent les tempêtes ont un avantage rare : elles ont investi avant que tout bascule. Plans de crise vivants, audits rigoureux, simulations réalistes, cellules d’astreinte entraînées.

Le luxe ultime n’est pas d’éviter la crise ; c’est de ne jamais être surpris par elle.
Ce travail en amont est souvent discret, confidentiel, mais c’est lui qui fait la différence entre une gestion sereine et un naufrage public.

Quand la crise éclate, la première heure est décisive.

Les équipes cherchent des repères. Les dirigeants doivent trancher. Les informations affluent, parfois contradictoires. C’est l’instant où l’expérience compte plus que les procédures.

Stabiliser. Prioriser. Protéger. Structurer le récit.

Une cellule de crise professionnelle sait rétablir l’ordre au milieu du tumulte et éviter qu’un incident ne devienne une catastrophe stratégique.

Dans un monde où chaque silence est interprété et chaque mot disséqué, la communication de crise devient un exercice d’orfèvre.

Un porte-parole non préparé peut provoquer un emballement médiatique.
Un message trop tardif ouvre la porte aux fantasmes.
Un excès de transparence peut exposer l’entreprise juridiquement.

La maîtrise consiste à dire ce qui rassure sans affaiblir, ce qui informe sans accuser, ce qui protège sans mentir. C’est un équilibre rare, exigeant, que seules les équipes rompues aux situations sensibles savent tenir.

Une crise ne s’arrête pas quand l’événement disparaît. Les collaborateurs restent marqués, les clients doutent, les partenaires observent.

La gestion d’après-crise, soutien psychologique, sécurisation, retour d’expérience, reconstruction du récit, fait partie intégrante du succès.

Les organisations qui ressortent plus fortes sont celles qui prennent soin de leurs équipes… et de leur réputation.

Parce qu’elles savent s’entourer.
Parce qu’elles n’attendent pas l’impact pour structurer leur défense.
Parce qu’elles confient leurs situations sensibles à des professionnels capables d’intervenir vite, discrètement, efficacement.

Dans un univers où chaque crise peut devenir mondiale en quelques heures, la vraie question n’est plus “Aurons-nous une crise ?”, mais “Serons-nous prêts quand elle viendra ?”

Et lorsque ce moment arrive toujours trop tôt, toujours trop vite, la différence entre un incident maîtrisé et une crise dévastatrice tient souvent à un seul réflexe : savoir appeler ceux qui ont l’habitude de marcher dans l’oeil du cyclone.

Voir l’article dans la Revue des Directions Juridiques et Conformité.

Un contrat d’assurance cyber se structure généralement autour de deux volets principaux : la couverture des dommages propres et la couverture de la responsabilité civile envers les tiers . Cette double protection constitue le socle de la plupart des polices disponibles sur le marché.

L’un des apports majeurs d’une assurance cyber réside dans l’accompagnement immédiat en cas d’incident. Dès la détection d’une attaque, l’assuré peut soliciter une équipe d’experts disponible 24 heures sur 24 et 7 jours sur 7. Cette assistance comprend en général plusieurs volets : l’intervention d’experts en sécurité informatique pour identifier l’origine et l’étendue de l’attaque, mais aussi l’accompagnement juridique par un avocat spécialisé et l’accès à des consultants en communication de crise pour préserver la réputation de l’entreprise.

Les frais d’investigation numérique (forensique), de restauration des systèmes d’information et de récupération des données sont généralement pris en charge. Cette garantie permet de réagir rapidement et de limiter l’impact opérationnel de l’incident.

Une cyberattaque peut paralyser l’activité d’une entreprise pendant plusieurs jours, voire plusieurs semaines. L’assurance cyber couvre les pertes d’exploitation consécutives à cette interruption ou au ralentissement de l’activité. Cette garantie compense la perte de marge brute subie pendant la période d’indisponibilité des systèmes.

Les frais supplémentaires d’exploitation sont également indemnisés : il s’agit des dépenses engagées pour maintenir un niveau minimal d’activité, comme le recours à des solutions de contournement ou à des prestataires externes. Selon une étude Groupama de 2025, une attaque réussie coûte en moyenne 466 000 euros aux TPE et PME, dont 50 % correspondent à des pertes d’exploitation.

Lorsqu’une cyberattaque entraîne la fuite de données personnelles de clients, de partenaires ou de salariés, l’entreprise peut voir sa responsabilité civile engagée. L’assurance couvre alors les conséquences financières des réclamations de tiers : frais de défense juridique, dommages et intérêts, frais de notification aux personnes concernées conformément aux exigences du RGPD.

Certains contrats incluent également la prise en charge des amendes administratives prononcées par la CNIL en cas de violation de la confidentialité des données, dans la limite de leur assurabilité en droit français. Cette garantie vis-à-vis de possibles sanctions réglementaires devient particulièrement pertinente dans le contexte de renforcement des obligations liées à la directive NIS2 et au règlement DORA.

Aucun contrat d’assurance ne couvre l’intégralité des risques. Il est essentiel pour tout dirigeant de connaître les exclusions standard afin d’éviter de mauvaises surprises lors d’un sinistre. Ces exclusions répondent à des logiques de viabilité économique ou à des impossibilités juridiques.

Les cyberattaques attribuées à des États ou à des groupes affiliés à des gouvernements sont généralement exclues des garanties. Cette exclusion de « guerre cyber » s’explique par l’impossibilité pour le marché privé de l’assurance d’absorber les conséquences d’un conflit numérique de grande ampleur. Si un rapport d’expert ou une déclaration officielle attribue une attaque à un acteur étatique, l’assureur peut invoquer cette clause pour refuser l’indemnisation.

Dans un contexte géopolitique tendu, cette exclusion mérite une attention particulière. Certains États réfléchissent à des mécanismes de garantie publique pour couvrir ces risques systémiques.

L’assurance cyber protège contre les conséquences immatérielles et numériques d’une attaque. Les dommages physiques sont exclus : si une cyberattaque provoque la panne d’un serveur, l’incendie d’un équipement ou un accident corporel, ces sinistres relèvent d’autres polices (multirisque professionnelle, responsabilité civile exploitation, assurance accidents du travail).

Cette distinction est fondamentale pour les entreprises industrielles dont les systèmes informatiques pilotent des équipements de production. Une coordination entre les différentes polices d’assurance s’impose pour éviter les lacunes de couverture.

Les assureurs imposent des prérequis techniques comme condition de la garantie. L’absence de sensibilisation des utilisateurs du Système d’Information ; de mises à jour régulières des systèmes, le défaut d’antivirus ou d’outils de detection d’intrusion modernes (EDR) et de pare-feu, l’absence d’authentification multifacteur (MFA) ou de sauvegardes régulières et sécurisées peuvent constituer des motifs de refus de couverture.

De même, les actes intentionnels ou frauduleux commis par des dirigeants ou des salariés sont parfois exclus. Un manquement grave aux mesures de sécurité raisonnables peut être assimilé à une négligence et entraîner une déchéance de garantie.

La cyberassurance répare les dommages mais ne finance pas les investissements de prévention. Si l’entreprise profite d’un incident pour acquérir un équipement plus performant ou renforcer son infrastructure de sécurité, la différence de coût peut rester à sa charge. Le principe indemnitaire interdit tout enrichissement de l’assuré.

La perte de propriété intellectuelle, de secrets commerciaux ou de brevets est également généralement exclue, sauf mention contraire dans le contrat. Ces actifs immatériels sont difficiles à évaluer et leur couverture nécessite des extensions de garantie spécifiques.

Souscrire une assurance cyber ne suffit pas à garantir une indemnisation. Le législateur et les assureurs ont instauré des conditions strictes que l’entreprise doit respecter pour bénéficier effectivement de sa couverture.

Depuis le 24 avril 2023, la loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) conditionne l’indemnisation assurantielle au dépôt d’une plainte dans un délai de 72 heures à compter de la connaissance de l’atteinte. Cette obligation s’applique à toutes les personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle.

Le délai court à partir de la découverte des dommages, non de la date de l’attaque elle-même. Le dépôt de plainte s’effectue auprès d’une brigade de gendarmerie, d’un commissariat de police ou directement auprès du procureur de la République. Cette disposition d’ordre public s’applique à tous les contrats d’assurance en cours, même si elle n’y figure pas explicitement.

Attention : le non-respect de ce délai entraîne la déchéance du droit à indemnisation. Il est donc impératif d’intégrer cette obligation dans les procédures internes de gestion de crise.

Avant de souscrire une police cyber, l’entreprise doit généralement attester d’un niveau minimal de sécurité. Les assureurs exigent couramment la sensibilisation des collaborateurs, la mise en place d’un antivirus ou EDR selon le niveau d’exposition et d’un pare-feu à jour, de sauvegardes régulières sécurisée (déconnectées ou immuables) des données, d’une authentification multifacteur pour les accès sensibles et distants, et d’une politique de mise à jour des systèmes d’exploitation et des applications.

Ces prérequis font l’objet d’un questionnaire de souscription détaillé. Toute déclaration inexacte peut être invoquée par l’assureur pour réduire ou refuser l’indemnisation. Il est essentiel de décrire fidèlement la situation de l’entreprise et de s’engager dans une démarche d’amélioration continue.

Le cadre réglementaire européen impose des obligations croissantes aux entreprises en matière de cybersécurité. La directive NIS2, en cours de transposition en droit français, élargit considérablement le périmètre des entités concernées : santé, énergie, transport, services numériques, administrations publiques. Elle impose des mesures de gestion des risques, des obligations de notification d’incidents et prévoit des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

Le règlement européen DORA, applicable depuis janvier 2025, cible spécifiquement le secteur financier : banques, assurances, fintechs, gestionnaires d’actifs. Il impose des tests de résilience réguliers et un encadrement strict des prestataires informatiques de tout acteur économique soumis à DORA.

La conformité à ces réglementations constitue un atout dans la négociation avec les assureurs. À l’inverse, un manquement grave peut justifier une exclusion de garantie. Pour approfondir ces obligations, consultez notre article sur la directive NIS2 et ses implications pour les PME et ETI.

Face à la diversité des offres et à la complexité des garanties, le choix d’un contrat d’assurance cyber ne s’improvise pas. Une approche méthodique permet d’obtenir une couverture adaptée aux besoins réels de l’entreprise.

Le recours à un courtier proposant des assurances cyber présente plusieurs avantages décisifs.

En premier lieu, cela permet de comparer les offres de plusieurs assureurs via un interlocuteur unique. Le courtier connaît les spécificités de chaque police, les clauses favorables à négocier et les exclusions à surveiller. Il va pouvoir solliciter différentes compagnies d’assurance en fonction de leur appétence sur l’activité exercée par l’entreprise et son niveau d’exposition. Le gain de temps est donc considérable : plutôt que de solliciter individuellement chaque compagnie d’assurance, l’entreprise bénéficie d’une mise en concurrence structurée.

La comparaison des coûts permet d’optimiser le rapport qualité-prix de la couverture. Les écarts de tarification entre assureurs peuvent être significatifs pour des garanties équivalentes.

Le courtier accompagne également l’entreprise dans la constitution du dossier de souscription, et notamment dans la complétion des questionnaires des assureurs, en explicitant leurs attendus. Ceux-ci diffèrent souvent des approches des DSI et sont plus orientés sur la prévention des sinistres cyber rencontrés.

Véritable conseiller, le courtier peut intervenir en cas de sinistre pour faciliter les démarches d’indemnisation. Il participera également chaque année à la mise à niveau de la posture cyber rencontrée et renégociera au mieux les couvertures, sous-limites, exclusions ; voire sera en capacité de proposer un changement d’assureur afin d’optimiser le programme d’assurance.

Plusieurs éléments doivent guider l’analyse des offres. Le plafond de garantie doit être cohérent avec l’exposition réelle de l’entreprise : une couverture de 500 000 euros peut s’avérer insuffisante pour une ETI dont l’arrêt d’activité coûterait plusieurs millions d’euros. Le montant de la franchise, qui reste à la charge de l’assuré, impacte directement le coût de la prime.

L’étendue des garanties mérite un examen attentif : la fraude au président (cyber-extorsion par ingénierie sociale) est-elle couverte ? Les pertes d’exploitation liées à une défaillance d’un prestataire cloud sont-elles incluses ? La territorialité correspond-elle au périmètre d’activité de l’entreprise ?

La qualité du dispositif d’assistance est déterminante : disponibilité 24h/24, réseau d’experts reconnus, délais d’intervention garantis. En cas de crise, la réactivité de l’assureur fait la différence.

Chaque entreprise présente un profil de risque spécifique. Les secteurs comme la santé, la finance ou les services numériques sont particulièrement exposés et nécessitent des couvertures renforcées. Le volume et la sensibilité des données traitées, la dépendance aux systèmes d’information, l’exposition internationale sont autant de facteurs à prendre en compte.

L’étude LUCY 2025 indique qu’une grande entreprise souscrit en moyenne une couverture de 42,5 millions d’euros avec une franchise de 6,5 millions d’euros pour une prime de 800 000 euros. Une ETI se positionne typiquement sur une couverture de 4,5 millions d’euros avec une franchise de 100 000 euros pour une prime de 47 000 euros. Ces ordres de grandeur permettent de situer son propre besoin.

Disposer d’un contrat d’assurance cyber ne garantit pas une protection optimale. Un audit régulier de la couverture s’impose pour vérifier son adéquation avec l’évolution des risques et de l’activité.

La première étape consiste à recenser l’ensemble des polices d’assurance souscrites par l’entreprise. Certains risques cyber peuvent être partiellement couverts par la responsabilité civile professionnelle ou la multirisque professionnelle. Il convient d’identifier les éventuelles lacunes et les doublons de garanties.

L’examen des exclusions mérite une attention particulière. La tendance des assureurs est à l’exclusion du risque cyber des polices traditionnelles, au profit de contrats dédiés. Une lecture croisée des différentes polices permet de vérifier la cohérence globale de la protection.

Pour approfondir cette démarche, découvrez notre article sur la gouvernance du risque cyber en entreprise.

Le marché de l’assurance cyber s’est assoupli en 2024, offrant des marges de négociation aux entreprises. Plusieurs points méritent une discussion avec votre assureur ou votre courtier : le rachat de certaines exclusions (fraude, ingénierie sociale), l’extension de la couverture aux filiales ou aux sous-traitants critiques, la réduction de la franchise en échange d’un engagement sur des mesures de prévention.

La valorisation de votre niveau de sécurité constitue un argument de poids. Si votre entreprise dispose de certifications (ISO 27001), de solutions de protection avancées (SOC managé ou interne, EDR, MFA) ou d’un plan de continuité d’activité documenté, faites-le valoir pour obtenir de meilleures conditions.

La question de la responsabilité personnelle du dirigeant en cas de manquement aux obligations de cybersécurité doit également être prise en compte dans la stratégie assurantielle globale.

L’assurance cyber constitue un pilier essentiel de la stratégie de résilience des entreprises face aux menaces numériques. Trois enseignements clés se dégagent de cette analyse.

Premièrement, les garanties réellement couvertes sont plus étendues qu’on ne le pense souvent : gestion de crise, perte d’exploitation, responsabilité civile, frais de notification. Mais les exclusions sont tout aussi significatives et méritent un examen attentif avant la souscription.

Deuxièmement, l’indemnisation n’est pas automatique. Le respect de l’obligation de plainte dans les 72 heures instaurée par la loi LOPMI, le maintien d’un niveau de sécurité conforme aux exigences contractuelles et la conformité aux réglementations (NIS2, DORA, RGPD) conditionnent la prise en charge des sinistres.

Troisièmement, le choix du contrat ne doit pas être laissé au hasard. Le recours à un courtier spécialisé permet de comparer les offres, d’optimiser les coûts et d’adapter la couverture au profil de risque spécifique de l’entreprise.

Il n’est pas trop tard pour agir.

Eurolaw France Cyber réunit avocats, experts en gestion du risque cyber ainsi qu’un courtier d’assurances pour accompagner les dirigeants dans l’évaluation de leur exposition au risque cyber et l’optimisation de leur couverture assurantielle. Contactez-nous pour un diagnostic complet de votre assurabilité cyber.

Sources : Étude LUCY 2025 (AMRAE), Panorama de la cybermenace 2024 (ANSSI), Loi LOPMI n°2023-22 du 24 janvier 2023, Service-public.fr