Cyberattaque contre Arkéa : jusqu’où l’assurance peut-elle suivre ?
La cyberattaque confirmée le 4 novembre 2026 par le Crédit Mutuel Arkéa, au préjudice provisoirement estimé à une centaine de millions d'euros, rappelle que le risque cyber peut atteindre les établissements financiers par l'intermédiaire de leurs prestataires informatiques. Quelles pertes l'assurance couvre-t-elle, à quelles conditions et jusqu'où ?
Publié le | Modifié le
Par Sabine Abravanel-Jolly, Professeure à l’Université Jean Moulin Lyon 3, Avocate au Barreau de Lyon
Selon la banque, les attaquants sont passés par la plateforme d’un prestataire pour réaliser, depuis un compte propre au groupe, des virements vers d’autres établissements, les fonds ayant ensuite pu être convertis en cryptomonnaies. Une partie des fonds aurait été bloquée et les avoirs des clients n’auraient pas été atteints. Saisi d’une plainte le 4 novembre, le parquet de Paris a ouvert une enquête pour atteinte à un système de traitement automatisé de données en bande organisée. L’attaque n’a pas été revendiquée.
Quels dommages l’assurance cyber peut-elle couvrir ?
La police cyber combine garanties de dommages et de responsabilité. Elle prend en charge les frais de gestion de crise, la reconstitution des données et des systèmes, la perte d’exploitation et, le cas échéant, les pertes nées d’une cyber-extorsion. Elle couvre aussi la responsabilité de l’assuré envers les tiers. Les amendes administratives, dont l’assurabilité est très discutée, sont généralement exclues.
Les préjudices les plus lourds sont les plus difficiles à couvrir. Le détournement de fonds est en principe exclu des polices cyber, sauf extension expresse. Il relève, pour les banques, de polices « globale de banque » ou « fraude ». De même, la perte d’exploitation due à la défaillance d’un prestataire n’est garantie que si le contrat l’étend aux systèmes de tiers. L’entreprise doit donc rechercher une garantie explicite, étendue à la carence de ses prestataires, des plafonds proportionnés à son exposition et une prise en charge des frais de crise dès les premières heures. Elle doit aussi s’assurer que ses différentes polices (cyber, fraude, dommages, responsabilité civile) s’articulent sans laisser de vide entre elles. Un jugement du tribunal judiciaire de Lyon du 20 août 2026, susceptible d’appel, en donne l’illustration. Une entreprise victime d’un rançongiciel n’a pu obtenir la garantie de sa police de responsabilité civile, qui excluait les « fraudes y compris informatiques ».
Quelles limites les assureurs peuvent-ils opposer ?
Les exclusions doivent être formelles et limitées. Les polices écartent classiquement les pannes d’infrastructures externes, les amendes et la guerre. Sauf convention contraire, l’assureur ne répond pas de la guerre étrangère et c’est à l’assuré de prouver que le sinistre résulte d’un autre fait. Transposée au cyber, la règle bute sur l’attribution de l’attaque. Un amendement sénatorial au projet de loi « Résilience », toujours en discussion, mettrait d’ailleurs à la charge de l’assureur la preuve que le sinistre résulte d’attaques informatiques. En pratique, les polices cyber stipulent leur propre exclusion, qui doit alors être formelle et limitée et dont l’assureur doit établir les conditions. Aux États-Unis, l’exclusion des actions « hostiles ou guerrières » d’une police dommages a ainsi été écartée pour l’attaque NotPetya, faute d’action militaire (affaire Merck). De son côté, le Lloyd’s impose depuis mars 2023 à ses syndicats d’exclure de leurs polices cyber certaines attaques soutenues par un État.
L’indemnisation est en outre subordonnée à une condition légale. Lorsqu’un professionnel est victime d’une cyberattaque, l’assureur ne peut l’indemniser que s’il a porté plainte dans les soixante-douze heures suivant le moment où il en a eu connaissance. Issue de la loi du 24 janvier 2023, cette exigence ne vise pas la seule rançon. Elle s’applique à toutes les pertes causées par l’attaque, y compris lorsqu’elles relèvent d’une police fraude.
La prévention constitue un autre levier. L’assureur tarifie le risque à partir d’un questionnaire sur les mesures de sécurité (authentification forte, sauvegardes, mises à jour). Il ne peut toutefois se prévaloir que des réponses à des questions précises. Les polices imposent ensuite le maintien de ces mesures, et la qualification de la clause devient décisive. Si elle prive l’assuré de la garantie en raison des circonstances de réalisation du sinistre, c’est une exclusion, dont l’assureur doit prouver les conditions. Si elle exige en permanence une mesure de prévention, c’est une condition de garantie, dont l’assuré doit établir le respect. Ainsi, l’obligation de maintenir une authentification forte devrait relever de la condition de garantie, alors que la clause refusant la garantie lorsque l’attaque a exploité une faille non corrigée devrait s’analyser en exclusion. Pour les banques, le règlement DORA fixe désormais un standard de résilience, qui s’étend à la gestion de leurs prestataires et au contenu des contrats conclus avec eux. Au-delà du secteur financier, la directive NIS 2 étend des exigences comparables à de nombreuses entreprises européennes, sa transposition en France restant attendue.
Le risque cyber systémique est-il encore assurable ?
L’assurance repose sur la mutualisation de risques indépendants. Or un même logiciel ou un même prestataire peut atteindre simultanément des milliers d’entreprises, comme l’a montré, sans malveillance, la panne mondiale de juillet 2024. Selon l’ACPR, un tiers est impliqué dans plus de la moitié des incidents qui lui ont été notifiés au cours des huit premiers mois d’application de DORA. Dans l’affaire Arkéa, des spécialistes se demandent déjà si le prestataire en cause sert d’autres banques et si le mode opératoire peut y être reproduit. Les assureurs répondent par des exclusions, des sous-limites et des plafonds agrégés. La réassurance impose elle-même ses limites. L’ACPR demande d’ailleurs aux assureurs de clarifier leurs garanties implicites et d’évaluer leur exposition à un événement systémique. Le marché reste étroit, avec 306 millions d’euros de primes cyber en France en 2025 selon l’AMRAE.
Au-delà d’un certain seuil, les impératifs techniques de l’assurabilité, que font respecter réassureurs et superviseur, ne permettent pas au marché privé d’absorber seul un événement systémique. L’attaque étatique visant des infrastructures essentielles est d’ailleurs déjà largement exclue des polices. Les entreprises non financières peuvent certes recourir à une captive de réassurance, dotée depuis 2023 d’une provision fiscale couvrant le risque cyber. Cette auto-assurance reste toutefois réservée aux grands groupes. Une réponse pourrait alors résider dans un partenariat public-privé, sur le modèle du régime des catastrophes naturelles, du GAREAT pour le terrorisme ou de Pool Re au Royaume-Uni, qui couvre depuis 2018 les dommages matériels du cyberterrorisme. L’assurance cyber demeure ainsi le prolongement de la prévention, et non son substitut.
