Le marché français est-il mûr pour un déploiement de la cyber-assurance ? L’Europe est à la traîne sur un marché ultra dominé par les Etats-Unis. Dans un rapport de mai dernier, l’OCDE estime ainsi le marché des polices spécifiques de cyber-assurance à 3,5 Md$ en 2016, dont 3 Md$ pour les seules entreprises américaines… et 300 M$ pour l’Europe. « C’est sur le marché américain que ce type de couverture s’est créé, souligne Timothée Crespe, expert cyber chez Aon. Les premières offres apparues sur le marché européen en sont des transpositions. »

Alors que le marché américain est né au tournant du siècle, les premières offres sont arrivées en France une dizaine d’années plus tard. « En 2016-2017, on assiste à un éveil du marché », constate Timothée Crespe. La répercussion médiatique des « rançongiciels » Wannacry et Petya au printemps dernier, mais aussi l’entrée en vigueur du règlement sur la protection des données personnelles (RGPD) en mai 2018, sont des facteurs d’accélération. Avec le RGPD, qui oblige les entreprises à élaborer des systèmes de sécurisation des données personnelles et à notifier toute faille de sécurité ou violation de données personnelles à la CNIL, le conseil et l’accompagnement en cybersécurité deviendront d’autant plus cruciaux. Et c’est justement sur l’accompagnement que misent nombre des assureurs qui affluent sur ce marché, même si les offres restent très hétérogènes : conseil dans la sécurisation des systèmes, accompagnement plus ou moins complet en cas de sinistre (aux niveaux informatique, juridique, de gestion de crise…). Pour cela, les acteurs de l’assurance s’adjoignent des compétences externes, à l’instar du courtier Aon qui a acquis l’année dernière Stroz Friedberg, société spécialisée dans la gestion du risque cyber.

Les PME, une cible de choix

Si Aon se positionne en France plutôt sur les ETI et grandes entreprises, les offres se multiplient par ailleurs à destination des PME, de plus en plus conscientes de leur vulnérabilité et plus enclines à se protéger que précédemment. Les polices spécifiques pour les PME se multiplient : AIG vient de lancer sa nouvelle offre le « Pack cyber » à leur attention ; Generali (avec sa filiale Europ assistance et l’expert technique Engie Ineo) propose depuis avril une offre « Protection numérique »… Des contrats affinitaires aussi : SCB a ainsi négocié avec MMA un contrat adapté aux cabinets de moins de vingt avocats.

Ce 27 septembre, c’est Allianz Global Corporate & Specialty (AGCS), la filiale grands risques du groupe Allianz, qui annonce un nouveau partenariat avec Cyence, société spécialisée dans la modélisation et l’analyse des cyber-risques. Parmi les enjeux de ce partenariat : proposer aux PME de bénéficier « de services d’évaluation du risque, de devis et de déploiement automatisés pour leurs cyber-politiques ». Mais aussi développer un nouvel outil de modélisation pour quantifier l’impact de l’interruption des activités, l’une des conséquences les plus redoutées en cas de cyber-attaque.

De fait, sur ce marché récent, les données et statistiques de sinistralité sont encore peu nombreuses – d’autant que les entreprises victimes de cyber-attaques sont peu enclines à le faire savoir, et encore moins à communiquer sur ce que cela leur a coûté. « La modélisation du risque cyber est encore très compliquée, il n’y a pas suffisamment de données à analyser, elle se fait donc sur la base de scénarios. La quantification des risques s’étalera encore sur des années », précise Timothée Crespe. En dépit de cette absence de recul historique sur le risque cyber, l’heure n’en est pas moins à la souscription.