En matière de cyber-assurance, l’objectif de l’administration est clair : « faire de Paris un pôle d’expertise », selon les mots d’Emmanuel Moulin, directeur général du Trésor. Ses équipes ont rendu, début septembre, un rapport sur le développement de l’assurance du risque cyber, dont les recommandations doivent permettre de faire sauter les verrous qui bloquent encore l’essor des assurances cyber. Malgré l’explosion des cyber-menaces, la couverture assurantielle de ces risques reste minime. En 2021, si 84% des grandes entreprises disposent d’une assurance incluant le risque cyber, ce taux chute à 9% pour les ETI et à 0,3% pour les PME… qui représentent pourtant plus de 99% des entreprises tricolores. Le pôle d’expertise semble encore bien loin. « Le marché de la cyber-assurance ne peut pas survivre s’il ne se développe pas auprès des PME », a ainsi rappelé, lors des Rendez-vous de la cyber-assurance, mercredi 5 octobre, Philippe Cotelle, administrateur de l’Association pour le management des risques et des assurances de l’entreprise (Amrae).
« Si les assureurs pouvaient n’assurer que les PME et pas les grandes entreprises, ils seraient les plus heureux »
Un assureur participant aux Rendez-Vous de la cyber-assurance, le 5 octobre 2022
Et pour cause : la sinistralité des entreprises explose et les grandes entreprises coûtent cher aux assureurs. Entre 2019 et 2020, alors que le volume des primes a bondi de 49%, celui des indemnisations versées a, lui, été augmenté par 3, faisant passer le ratio sinistres/primes bien au-delà des 100%. Le rapport Lumière sur la cyber-assurance, dit « LuCy », rédigé l’année dernière par l’Amrae, précise que « cette inflation n’est due qu’à 4 sinistres de très haute intensité (entre 10 et 40 millions d’euros d’indemnisation chacun) déclarés par des grandes entreprises ».
Convaincre les PME
Le rapport résume amèrement la problématique que connaît le marché de la cyber-assurance : « les grandes entreprises ont besoin que l’offre d’assurance se développe pour augmenter leurs capacités. Mais les assureurs resteront réticents tant que le volume global de primes ne leur permettra pas de faire face aux sinistres de haute intensité ». Bref, « il faut que la demande augmente pour que l’offre soit suffisante. Ou que l’offre soit suffisante pour susciter la demande ». Alors, l’œuf ou la poule, par où faut-il commencer ?
Côté demande, les entreprises se saisissent progressivement du sujet. « La sensibilité vient par capillarité et nous constatons une hausse des souscriptions des ETI », s’est réjoui Philippe Cotelle lors des Rendez-vous de la cyber-assurance. Les plus en pointe sur le sujet, qui ne trouvent pas d’offre adaptée à leurs besoins sur le marché, créent des captives de réassurance. Ces dispositifs permettent aux entreprises de s’auto-assurer pour certains risques, avec l’aide d’un assureur professionnel, qui reverse une partie des primes à la captive afin de couvrir des sinistres exceptionnels. Mais le phénomène reste marginal : selon le rapport du Trésor, la France ne compte actuellement que… 7 captives de réassurance.
Mesurer le risque de façon plus pertinente
Reste donc le développement de l’offre. « Cela nécessite un cadre juridique clair et une bonne connaissance du risque », a listé Quentin Guérineau, chef de bureau Entreprises et intermédiaires d’assurance à la Direction générale du Trésor le 5 octobre. L’administration suggère donc de clarifier les contrats pour inclure ou exclure explicitement le risque cyber et éviter les « couvertures silencieuses », c’est-à-dire la couverture possible d’un risque par des dispositions qui ne sont au départ par prévues pour cela.
Le principal écueil reste néanmoins la mesure du risque, particulièrement complexe pour le risque cyber. « Il est volatil, changeant », souligne Jules Veyrat, fondateur de la cyber-assurance Stoïk. Comment parvenir à mesurer efficacement un risque qui évolue constamment ? Le Trésor esquisse dans son rapport plusieurs pistes : la constitution d’un Observatoire de la menace cyber, regroupant l’Anssi, France Assureurs et le Trésor mais aussi la création d’une plateforme qui permettrait aux assureurs de partager leurs données.
« On ne peut pas estimer un risque technologique via un questionnaire »
Jules Veyrat, fondateur du cyber-assureur Stoïk
Pour obtenir les données les plus précises possibles, « des méthodes innovantes » pourront être utilisées, précise le Trésor. « Nous avons la conviction que le risque cyber n’est pas assurable si les assureurs ne recourent pas à une approche technologique pour le modéliser », martèle de son côté Jules Veyrat. « Un risque technologique se teste via la technologie. » Aux assureurs de se doter des outils adéquats pour pouvoir couvrir efficacement toutes les entreprises. En conclusion de son rapport, le Trésor rappelle les enjeux considérables que représente la cyber-assurance pour les PME. « Les cyberattaques sont aujourd’hui susceptibles de menacer la survie d’une entreprise. La résilience face au risque cyber constitue donc un enjeu majeur de souveraineté. »
