En bref : en cas de sinistre, trois choses comptent surtout avec la cyberassurance : informer tôt l'assureur, sauvegarder les preuves plutôt que de réinstaller précipitamment et coordonner au préalable les étapes importantes. Ce qui s'applique exactement figure dans vos conditions d'assurance. Cette page donne des indications générales, ne constitue pas un conseil juridique et ne remplace pas la concertation avec l'assureur, le courtier ou un avocat.
Pas de conseil juridique ou en assurance : seuls votre contrat et les informations de votre assureur font foi. Le mieux est de lire les conditions maintenant, et non seulement en situation de crise.
Pourquoi le sinistre est particulier avec les cyberrisques
Lors d'un dégât des eaux, on voit clairement ce qui s'est passé. Lors d'une attaque contre un serveur web, c'est différent : au début, il n'y a souvent qu'un soupçon, par exemple un fichier étrange, un processus inhabituel ou un avertissement de l'hébergeur. Qu'un dommage soit réellement survenu ne ressort que de l'enquête.
PHP2Shell en est un bon exemple. Les deux failles CVE-2026-109618 et CVE-2026-109619 permettent l'exécution de code sans authentification. Qui n'a corrigé que plusieurs jours après le 21 octobre 2026 ne peut pas exclure avec certitude que quelque chose s'est produit auparavant. Un correctif ne supprime pas les logiciels malveillants déjà introduits et ne prouve pas que rien ne s'est produit. La question de savoir si et quand un sinistre existe n'est donc souvent pas tranchée.
Cyberassurance en cas de sinistre : les obligations typiques
Les obligations sont des devoirs du preneur d'assurance dont la violation peut compromettre la prise en charge. De nombreuses polices contiennent des points similaires, mais ils diffèrent nettement dans le détail :
- Déclaration : informer l'assureur sans délai dès qu'un sinistre est survenu ou menace.
- Limitation du dommage : prendre les mesures raisonnables pour limiter le dommage, par exemple déconnecter du réseau les systèmes concernés.
- Concertation : clarifier au préalable avec l'assureur les étapes importantes, les mandats et les paiements.
- Renseignements et justificatifs : fournir les informations et mettre à disposition les documents nécessaires pour établir le dommage.
- Préservation des preuves : ne pas détruire inutilement les traces, afin que la cause et l'ampleur restent déterminables.
Certains contrats contiennent en outre des exigences de sécurité avant le sinistre, par exemple des mises à jour régulières, des sauvegardes ou l'authentification multifacteur. Les déclarations du questionnaire de risque lors de la souscription peuvent aussi jouer un rôle.
Le premier appel à l'assureur
De nombreuses cyberassurances proposent une ligne d'urgence. Tenez prêts votre numéro de contrat et une brève description de la situation. Lors du premier contact, clarifiez ces questions et notez les réponses avec la date, l'heure et le nom de l'interlocuteur :
- Le sinistre doit-il être déclaré officiellement, et sous quelle forme ?
- L'assureur met-il à disposition ses propres prestataires pour la forensique et la remise en état, ou pouvons-nous en mandater nous-mêmes ?
- Quels coûts sont validés d'avance, lesquels nécessitent un accord ?
- Quels documents sont nécessaires ?
- Existe-t-il des consignes pour la communication vers l'extérieur ou pour l'intervention d'avocats ?
Sauvegarder les preuves avant de réinstaller
Le réflexe compréhensible après une attaque est de réinstaller immédiatement le serveur. Pour l'assurance, la protection des données et un éventuel dépôt de plainte, c'est souvent défavorable, car des traces disparaissent. Mieux vaut : isoler les systèmes concernés, sauvegarder les journaux et les images mémoire, établir des listes de fichiers avec horodatages, et seulement ensuite nettoyer ou reconstruire.
Pour PHP2Shell, la presse spécialisée recommande de conserver les journaux du serveur à partir du 20 octobre 2026. Il n'existe pour l'instant aucun indicateur de compromission (IoC) publié et confirmé ; la détection repose sur l'analyse comportementale. Il est d'autant plus important que les données brutes soient conservées. Une sauvegarde professionnelle est assurée par la forensique informatique.
Articulation avec la protection des données et le dépôt de plainte
Un sinistre est rarement isolé. Si des données personnelles peuvent être concernées, l'obligation de notification de l'art. 33 du RGPD s'applique, si possible dans les 72 heures suivant la prise de connaissance. Plus de détails sous Obligation de notification RGPD. De nombreux assureurs aident en mettant en relation avec des avocats.
Un dépôt de plainte auprès de la police peut aussi être judicieux ou souhaité par l'assureur. Les Zentrale Ansprechstellen Cybercrime (points de contact centraux cybercriminalité) des Landeskriminalämter (offices de police criminelle des Länder allemands) sont pour cela la bonne adresse, voir Porter plainte. Coordonnez l'ordre des démarches avec l'assureur.
Prévention : confronter le contrat et le plan d'urgence
Profitez de la situation actuelle pour lire votre contrat et reprendre les obligations dans votre plan d'urgence. Inscrivez le numéro de la ligne d'urgence et le numéro de contrat à un endroit accessible même sans informatique fonctionnelle. Vérifiez si vos déclarations sur le niveau de sécurité sont toujours exactes. Un plan d'urgence informatique structuré y aide.
Un court échange avec le courtier ou l'assureur en dehors d'un sinistre est en outre utile. Demandez comment l'assureur traite des mesures préventives comme la mise hors ligne d'un site web, quels justificatifs il attend au sujet des mises à jour et s'il existe des recommandations sur la conservation des journaux. Les réponses doivent figurer par écrit dans le plan d'urgence.
Comment PHP SOS aide-t-il concrètement ?
- Nous sauvegardons les journaux et les états du système de façon traçable avant le nettoyage et documentons chaque mesure avec l'heure.
- Nous établissons un rapport technique sur la cause, l'ampleur et les mesures prises, que vous pouvez présenter à l'assureur.
- Sur votre demande, nous nous coordonnons avec les prestataires de l'assureur.
- Par la réponse à incident, nous accompagnons l'incident jusqu'à la remise en état documentée.
Questions fréquentes
Quand dois-je informer la cyberassurance ?
Votre contrat le règle. De nombreuses conditions exigent une déclaration sans délai dès qu'un sinistre est survenu ou menace sérieusement. En cas de doute, déclarez tôt, même si l'ampleur n'est pas encore claire.
Puis-je mandater moi-même un prestataire informatique ?
Certaines polices prévoient une ligne d'urgence et des prestataires propres à l'assureur, ou exigent une concertation avant le mandat de tiers. Clarifiez-le dès le premier appel, afin que les coûts ne soient pas contestés. Vous devriez consigner la réponse par écrit.
L'assurance paie-t-elle si une mise à jour a manqué ?
Cela dépend des conditions, des déclarations faites lors de la souscription et du cas particulier. Certains contrats contiennent des exigences sur l'état de l'art ou sur les mises à jour. Faites apprécier cette question par votre courtier en assurance ou par un avocat.
Le simple fait de corriger est-il déjà un sinistre ?
Une mise à jour préventive n'est en règle générale pas encore un dommage. Mais s'il existe des indices d'une intrusion, cela peut changer. Demandez à votre assureur à partir de quand il souhaite être informé.