obligations d’assurance
Vérification documentaire effectuée le 29 août 2026.
Non, une RC professionnelle ne finance pas automatiquement les conséquences d’une cyberattaque. Elle peut indemniser un tiers lorsque votre faute professionnelle est garantie, mais les frais de restauration, l’arrêt d’activité, l’investigation informatique et la gestion de crise relèvent souvent d’une extension cyber ou d’une assurance cyber distincte.
En bref
- La RC professionnelle traite d’abord la responsabilité civile née de votre prestation, et non vos pertes internes après une intrusion informatique.
- Une extension cyber peut couvrir des frais techniques, des réclamations de tiers, la protection des données et certains coûts de crise, dans les limites écrites au contrat d’assurance.
- La mention « cyber » dans une attestation ne suffit pas : le plafond, la franchise, les exclusions et les activités déclarées déterminent l’étendue réelle de la garantie.
- Une violation de données personnelles impose une analyse rapide et peut entraîner une notification à la CNIL dans les soixante-douze heures selon l’article 33 du RGPD.
Cette page s’adresse aux indépendants, libéraux et petites entreprises qui cherchent à lire une extension cyber associée à leur RC Pro. Elle ne permet pas de déterminer la prise en charge d’un incident déjà déclaré, qui relève de l’assureur, puis du Médiateur de l’Assurance ou du juge en cas de désaccord.
Une extension cyber de RC Pro couvre-t-elle une cyberattaque complète ?
Une RC professionnelle a pour fonction première d’indemniser les conséquences pécuniaires d’un dommage causé à un tiers dans l’exercice de l’activité déclarée. Une erreur de conseil, une omission dans une mission, une livraison non conforme ou une atteinte involontaire aux droits d’un client peuvent entrer dans son champ, sous réserve du contrat d’assurance.
Une cyberattaque produit pourtant plusieurs catégories de dommages à la fois. L’entreprise peut perdre l’accès à ses fichiers, interrompre sa facturation, subir une fuite de données, devoir informer ses clients, restaurer ses systèmes et répondre à des réclamations. Une garantie de responsabilité civile classique n’absorbe pas nécessairement cet ensemble.
Le point de départ est la cause du dommage. Si une entreprise efface des données confiées par un client à la suite d’une erreur dans sa prestation, certaines RC Pro peuvent couvrir la responsabilité mise en cause par ce client. Si un logiciel malveillant chiffre les postes de travail de l’entreprise assurée, le dommage résulte d’une atteinte à son propre système d’information. Les frais de remise en état peuvent alors rester à sa charge sans extension cyber expressément souscrite.
Les conditions générales ne se lisent donc pas à partir du seul mot « informatique ». Une clause peut garantir les dommages immatériels causés à un tiers tout en excluant les dommages numériques provenant d’un acte malveillant, d’un accès non autorisé, d’un virus, d’une indisponibilité de réseau ou d’un rançongiciel. Le mot « extension cyber » désigne précisément une modification contractuelle qui ajoute certaines garanties à cette exclusion initiale ou réduit son champ.
La protection des données constitue un autre sujet distinct. Le règlement général sur la protection des données, applicable dans l’Union européenne, impose au responsable du traitement de notifier à l’autorité compétente certaines violations de données à caractère personnel. L’article 33 fixe un délai de soixante-douze heures lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes.
Cette obligation réglementaire ne crée pas, à elle seule, une garantie d’assurance. Une extension cyber peut prévoir l’intervention d’avocats, d’experts en cybersécurité ou de spécialistes de la communication de crise. Elle peut aussi exclure certains frais, notamment lorsqu’ils résultent d’un défaut de sécurité identifié avant le sinistre ou d’une violation délibérée des procédures prévues au contrat.
La formule « cyber inclus » doit donc être lue comme le début d’une vérification, non comme une réponse complète. Le lecteur doit identifier si le contrat couvre les dommages subis par l’entreprise, les dommages causés aux tiers, ou les deux. Cette distinction explique pourquoi deux contrats portant un intitulé voisin peuvent produire des résultats très différents lors du même incident.
Une extension peut également se limiter à une assistance téléphonique et à un plafond faible de frais d’expertise. Elle n’équivaut pas automatiquement à une assurance cyber autonome. Lorsque le contrat écrit une sous-limite distincte pour les risques informatiques, c’est ce montant particulier qui s’applique, même si le plafond général de responsabilité civile est supérieur.
La réponse utile est donc contractuelle. Sans la clause d’objet de garantie, les exclusions, les plafonds et les franchises, personne ne peut affirmer que votre activité est protégée contre une cyberattaque précise. L’attestation seule reste souvent trop synthétique pour trancher cette question.
Quels dommages numériques une RC professionnelle laisse-t-elle souvent hors garantie ?
Les dommages numériques ne se limitent pas au piratage d’un site internet. Ils comprennent l’altération, la perte, le chiffrement, la divulgation, la copie ou l’indisponibilité de données et de systèmes. Un incident peut affecter un serveur interne, une messagerie, un logiciel métier, un espace de stockage en ligne, un outil de paiement ou un prestataire d’hébergement.
Les contrats de responsabilité civile distinguent habituellement les dommages corporels, matériels et immatériels. Or une cyberattaque provoque fréquemment un préjudice immatériel sans dommage matériel préalable. Cette qualification contractuelle compte. Certaines RC Pro couvrent les conséquences d’un préjudice immatériel consécutif à un dommage matériel garanti, mais excluent un préjudice immatériel non consécutif ou lui appliquent un régime différent.
Les frais propres à l’entreprise constituent le premier angle mort fréquent. Il peut s’agir du diagnostic réalisé par une société spécialisée, de la recherche de la faille, de la restauration des sauvegardes, de la reconfiguration des postes, du remplacement de clés d’accès ou de la remise en service d’un environnement cloud. Ces dépenses ne correspondent pas forcément à une dette de responsabilité civile envers un tiers.
La perte d’exploitation forme le second angle mort. Une activité de conseil qui ne peut plus accéder à ses dossiers, à son logiciel de comptabilité ou à son outil de planification peut perdre des journées facturables. Une RC professionnelle indemnise en principe les conséquences de votre responsabilité envers autrui. Elle ne compense pas automatiquement votre propre baisse de chiffre d’affaires, vos frais fixes ou votre surcoût d’exploitation.
Les demandes formulées par des clients doivent être séparées de ces frais internes. Si des données confiées dans le cadre d’une mission sont divulguées ou supprimées, le client peut rechercher la responsabilité civile du prestataire. Une extension cyber peut alors associer une garantie de responsabilité envers les tiers à la prise en charge des frais de crise. Il faut lire si la garantie vise les données « détenues », « confiées », « traitées » ou seulement celles qui appartiennent à l’assuré.
Le phishing, le harponnage et la fraude au virement demandent une lecture encore plus précise. Un salarié qui exécute un faux ordre de paiement ne subit pas forcément une atteinte technique au sens retenu par le contrat. Certaines polices cyber prévoient une garantie fraude, d’autres la traitent comme une exclusion ou une option. Une garantie contre la perte de données n’est donc pas une garantie automatique contre tout détournement financier.
Les conséquences réglementaires appellent le même niveau de prudence. L’article 34 du RGPD prévoit, dans certaines situations, une communication de la violation aux personnes concernées. Le texte est accessible dans le règlement 2016/679 publié au Journal officiel de l’Union européenne, version consultée le 29 août 2026. Les coûts de notification, de centre d’appels, de conseil juridique ou de surveillance peuvent être couverts par une assurance cyber, mais seulement si le libellé les vise.
Les amendes administratives ne doivent jamais être présumées assurables. L’article 83 du RGPD fixe des plafonds de sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour certaines obligations, et 20 millions d’euros ou 4 % pour les manquements les plus graves. La possibilité de garantir une sanction dépend de sa nature, du droit applicable et de la clause souscrite. Cette appréciation dépasse la simple lecture d’une attestation.
Un litige portant sur la responsabilité d’un professionnel du droit, du chiffre ou de la santé peut aussi appeler des règles sectorielles. La lecture d’une RC professionnelle d’avocat doit ainsi rester distincte de la vérification de ses garanties liées aux risques informatiques. Le titre du contrat ne remplace jamais son objet exact.
Une cyberattaque ne produit pas un seul dommage. Elle déclenche des frais, des obligations, des pertes et parfois des réclamations qui ne relèvent pas du même mécanisme de garantie. C’est la raison pour laquelle le contrat doit être lu garantie par garantie.
Comment lire les exclusions et plafonds d’une extension cyber ?
La lecture doit commencer par les conditions particulières. Elles identifient l’assuré, l’activité déclarée, la période de garantie, les plafonds, les franchises et les extensions effectivement choisies. Les conditions générales expliquent ensuite les définitions, les garanties et les exclusions applicables. Un mot présent dans une brochure commerciale ne produit aucun effet si les conditions particulières ne renvoient pas à la garantie correspondante.
La page intitulée « objet de la garantie » permet d’abord de savoir ce que l’assureur promet de prendre en charge. Les formulations utiles visent parfois l’incident de sécurité, la violation de données, l’atteinte aux systèmes d’information, les frais de réponse à incident ou les pertes d’exploitation résultant d’une indisponibilité. L’absence de ces termes ne prouve pas seule l’absence de garantie, mais elle impose de chercher une annexe ou une extension dédiée.
La définition de l’événement garanti mérite une attention particulière. Un contrat peut couvrir l’acte malveillant d’un tiers, mais exclure la panne matérielle, l’erreur de paramétrage, l’interruption d’un fournisseur cloud ou l’acte d’un dirigeant. Un autre peut viser les atteintes accidentelles et les actes malveillants, mais imposer une condition de sauvegardes régulières.
| Élément lu dans le contrat d’assurance | Question à poser | Effet possible sur la garantie |
|---|---|---|
| Objet de l’extension cyber | Le texte vise-t-il les frais propres, les tiers, ou les deux ? | Une garantie limitée à la responsabilité civile peut laisser les frais de restauration hors champ. |
| Plafond et sous-limite | Existe-t-il un montant distinct pour les dommages numériques ? | La sous-limite cyber peut s’appliquer avant le plafond général de RC professionnelle. |
| Franchise | Est-elle exprimée par sinistre, par garantie ou par période ? | Une franchise élevée peut laisser une part importante des frais à la charge de l’entreprise. |
| Exclusions | Le contrat exclut-il le défaut de sauvegarde, les prestataires ou les actes de guerre ? | La cause de l’incident peut suffire à écarter la garantie. |
| Obligations après incident | Quel délai de déclaration et quelles mesures immédiates sont exigés ? | Une déclaration tardive ou une initiative non autorisée peut compliquer l’indemnisation. |
Le plafond ne doit pas être lu isolément. Une garantie affichée à 100 000 euros peut comporter 20 000 euros pour la reconstitution de données, 10 000 euros pour la communication de crise et une franchise de 2 000 euros. Le montant disponible dépend alors de la catégorie de dépense. Le contrat peut aussi prévoir un plafond par sinistre et un plafond annuel agrégé.
Les exclusions demandent une lecture ligne à ligne. Les exclusions visant la guerre, le sabotage, la faute intentionnelle, la défaillance d’infrastructure, l’absence de mise à jour ou les données non sauvegardées n’ont pas toutes la même portée. Une exclusion n’est opposable que dans le cadre prévu par le contrat et par le droit applicable. Une clause ambiguë ou un refus de garantie sur un dossier précis doit être examiné avec un avocat ou, après réclamation auprès de l’assureur, avec le Médiateur de l’Assurance.
La temporalité mérite également un contrôle. Certaines garanties fonctionnent sur une base « réclamation », ce qui signifie que la date à laquelle la demande est formulée peut compter autant que la date de l’incident. La garantie subséquente, lorsqu’elle est prévue, définit les conditions dans lesquelles des réclamations postérieures à la résiliation peuvent encore être examinées.
L’attestation de RC Pro a une utilité administrative, mais ne reproduit généralement ni les exclusions ni les sous-limites. La méthode de contrôle détaillée dans cette page sur la vérification d’une attestation RC Pro permet de comparer l’activité déclarée avec la prestation réellement vendue. Pour le cyber, cette comparaison doit ensuite être complétée par la lecture des conditions contractuelles.
Un plafond élevé sans définition large de l’événement garanti peut produire une protection réduite. La valeur de l’extension cyber résulte du croisement entre la cause couverte, les dépenses admises, les exclusions et le montant réellement mobilisable.
Quelles garanties une assurance cyber peut ajouter à la RC professionnelle ?
Une assurance cyber dédiée ou une extension cyber bien rédigée peut compléter la RC professionnelle sur deux plans. Le premier concerne les dépenses directement supportées par l’entreprise victime. Le second concerne les réclamations de tiers dont les données, l’activité ou les droits ont été affectés par l’incident.
La réponse à incident est souvent le premier poste de garantie. Elle peut financer, selon les clauses, l’intervention d’experts en cybersécurité chargés d’isoler l’attaque, d’identifier le vecteur d’intrusion et de préserver des éléments techniques. Cette assistance ne remplace pas la gestion interne de crise, mais elle peut organiser les premières mesures prévues par le contrat.
La restauration des données et des logiciels constitue une garantie distincte dans de nombreux contrats. Le libellé compte ici davantage que l’intitulé commercial. Certains textes ne couvrent que la reconstitution d’informations détruites ou chiffrées. D’autres incluent les coûts de reprogrammation, sous réserve d’exclusions concernant les améliorations de système, le remplacement d’un matériel obsolète ou les données qui n’étaient pas sauvegardées.
La perte d’exploitation cyber vise l’interruption ou la dégradation d’activité causée par un incident garanti. La période d’indemnisation, le délai de carence et la méthode de calcul sont déterminants. Un contrat peut indemniser la marge brute perdue après plusieurs heures ou plusieurs jours d’arrêt, sans prendre en charge chaque dépense engagée durant la crise. Cette garantie ne doit pas être confondue avec une multirisque professionnelle classique.
La comparaison entre les deux familles de contrats reste utile. Une multirisque professionnelle et une RC Pro ne répondent pas aux mêmes risques : la première peut viser les locaux, le matériel ou certains dommages matériels, tandis que la seconde traite surtout de la responsabilité envers les tiers. L’assurance cyber intervient sur l’incident numérique selon sa propre définition contractuelle.
La gestion de crise peut comprendre les frais de conseil juridique, de communication, de notification aux personnes concernées et de relation avec les autorités. L’article 33 du RGPD, version applicable consultée le 29 août 2026, impose au responsable de traitement de documenter toute violation de données personnelles et d’en notifier certaines à l’autorité de contrôle. En France, la CNIL précise ces démarches sur sa page consacrée à la notification d’une violation de données personnelles.
La garantie de responsabilité envers les tiers peut couvrir les conséquences financières d’une réclamation liée à une fuite de données, une indisponibilité de service ou une transmission de logiciel malveillant, si l’événement entre dans les définitions du contrat. Elle ne transforme pas l’assureur en juge de votre responsabilité. La qualification du préjudice, l’existence d’une faute et l’application des exclusions restent propres à chaque dossier.
Les demandes d’extorsion doivent être traitées avec prudence. Certains contrats prévoient un accompagnement en cas de rançongiciel et des frais de négociation encadrés. Le paiement d’une rançon, son éventuelle garantie et les vérifications légales associées ne peuvent pas être présumés à partir d’un intitulé. L’entreprise doit respecter les procédures de l’assureur et solliciter les autorités compétentes lorsque la situation l’exige.
La bonne articulation n’est donc pas « RC Pro ou cyber ». Une responsabilité civile peut répondre à une faute professionnelle envers un client, tandis que l’assurance cyber traite certains effets d’une atteinte informatique. Les zones de recouvrement existent, mais elles ne dispensent pas de vérifier les clauses qui déterminent laquelle des garanties peut être mobilisée.
Que faire avant et après un incident relevant des risques informatiques ?
Avant tout incident, le document à ouvrir est celui qui matérialise le contrat d’assurance en vigueur. Il faut conserver les conditions particulières, les conditions générales, les annexes de l’extension cyber, les éventuels avenants et l’attestation. Une version envoyée lors de la souscription peut avoir été remplacée par une nouvelle édition ; seule la documentation applicable à la période concernée permet une lecture fiable.
La première vérification porte sur l’activité déclarée. Une entreprise qui développe des logiciels, héberge des données, administre des réseaux ou traite des informations sensibles peut exercer un risque plus large que celui décrit sur ses conditions particulières. Une extension cyber ne corrige pas automatiquement une activité inexacte ou omise. Il faut demander un écrit à l’assureur avant de proposer une prestation nouvelle qui modifie réellement l’exposition.
La seconde vérification porte sur les mesures de sécurité imposées par le contrat. Certaines polices conditionnent la garantie à l’activation d’une authentification multifacteur, à la tenue de sauvegardes séparées, à la mise à jour des logiciels ou à la limitation des droits d’administration. Il ne s’agit pas de recommandations abstraites : si le contrat les présente comme des conditions de garantie, leur non-respect peut devenir central lors de l’analyse d’un sinistre.
Lorsqu’un incident survient, l’entreprise doit préserver les éléments utiles. Déconnecter un poste atteint du réseau peut limiter la propagation, mais supprimer des journaux, réinstaller dans l’urgence ou négocier sans prévenir l’assureur peut compromettre l’expertise. La procédure de déclaration indiquée au contrat doit être appliquée immédiatement, avec les coordonnées de l’assistance cyber si elle existe.
La notification à la CNIL ne doit pas attendre la fin de l’investigation technique. L’article 33 du RGPD prévoit une notification « dans les meilleurs délais » et, si possible, au plus tard soixante-douze heures après la prise de connaissance de la violation. Lorsque ce délai n’est pas respecté, les motifs du retard doivent accompagner la notification. Le texte légal a été vérifié dans sa version consultée le 29 août 2026.
La déclaration d’assurance et la notification à l’autorité de contrôle poursuivent des finalités différentes. Déclarer à l’assureur vise l’application du contrat. Informer la CNIL répond à une obligation de protection des données. L’une ne remplace pas l’autre. Une extension cyber peut financer une assistance pour coordonner ces démarches, sans se substituer au responsable de traitement.
Le délai de déclaration figurant dans le contrat mérite une attention autonome. Il peut imposer une information rapide après découverte de l’incident ou après réception d’une réclamation. Une déclaration doit décrire les faits connus sans tirer de conclusion définitive sur l’origine de l’attaque ou la responsabilité des personnes concernées. L’analyse technique et juridique doit rester documentée.
Une vérification annuelle évite de découvrir trop tard une extension insuffisante. Elle doit être renouvelée après un changement d’outil cloud, l’ouverture d’un accès à distance, l’acquisition d’une activité, la mise en place d’un portail client ou la collecte de nouvelles catégories de données. Ces modifications peuvent modifier l’exposition aux risques informatiques sans changer l’intitulé apparent de l’activité.
Le document utile à transmettre à un donneur d’ordre dépend enfin de sa demande. Une attestation de responsabilité civile peut prouver l’existence d’un contrat, mais elle ne démontre pas nécessairement la prise en charge de tous les dommages numériques. Si une clause contractuelle avec votre client exige une assurance cyber, il faut demander à l’assureur une confirmation écrite de la garantie et de son plafond avant de vous engager.
Ouvrez vos conditions particulières et comparez l’intitulé exact de l’extension cyber avec les données, outils et prestations réellement utilisés. Si un terme manque ou si une exclusion vise votre exposition principale, demandez une réponse écrite à l’assureur avant qu’un incident ne transforme cette omission en différend.
Une RC Pro couvre-t-elle automatiquement un rançongiciel ?
Non. Une RC professionnelle peut couvrir une responsabilité envers un tiers dans certaines circonstances, mais les frais de restauration, d’investigation, d’arrêt d’activité ou de gestion de crise nécessitent souvent une extension cyber ou une assurance cyber distincte. Les conditions particulières et générales permettent de le vérifier.
Une attestation RC Pro prouve-t-elle que les risques cyber sont garantis ?
Pas nécessairement. L’attestation mentionne souvent le contrat, l’assuré et l’activité, mais elle reproduit rarement les exclusions, franchises, sous-limites et définitions applicables aux dommages numériques. La clause d’extension doit être lue dans le contrat.
Quels frais une extension cyber peut-elle prendre en charge ?
Selon le contrat, elle peut viser l’expertise informatique, la restauration de données, la perte d’exploitation, les notifications liées à une violation de données, la communication de crise et la responsabilité envers les tiers. Chaque poste peut avoir son propre plafond et ses exclusions.
Que faire si des données personnelles ont été compromises ?
Préservez les éléments techniques, appliquez la procédure de déclaration prévue par le contrat et analysez sans délai l’obligation de notification. L’article 33 du RGPD prévoit, dans certains cas, une notification à l’autorité de contrôle dans les soixante-douze heures après la prise de connaissance de la violation.
