La loi d’orientation et de programmation du ministère de l’Intérieur (Lopmi) du 24 janvier 2023 a formalisé, dans le Code des assurances ⁽¹⁾, les conditions d’indemnisation des entreprises victimes de cyberattaques. L’article L.12-10-1 du Code des assurances, d’ordre public, impose ainsi aux entreprises assurées de procéder au dépôt d’une plainte pénale devant les autorités compétentes dans les soixante-douze heures suivant la connaissance de l’atteinte afin de pouvoir bénéficier d’une couverture assurantielle ⁽²⁾.

Comme nous avons pu l’écrire dans ces mêmes colonnes, la rédaction de l’article L.12-10-1 du Code des assurances est des plus hasardeuses ⁽³⁾ et n’a pas manqué de soulever de nombreuses problématiques concrètes pour les entreprises et les assureurs ⁽⁴⁾ sans pour autant remplir les objectifs initialement fixés.

C’est dans ce contexte que, à l’occasion de l’examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité ⁽⁵⁾, destiné à transposer en droit interne une série de directives européennes ⁽⁶⁾, l’Association pour le management des risques et des assurances de l’entreprise (Amrae) ⁽⁷⁾ a annoncé le dépôt d’un amendement visant à assouplir le point de départ du délai de soixante-douze heures. Celui-ci ne commencerait donc plus à courir à compter de « la connaissance de l’atteinte par la victime », mais à partir de la « notification de l’atteinte par la victime à son assureur » ⁽⁸⁾.

Le nouvel article L.12-10-1 du...