Après avoir atteint des niveaux exorbitants pendant la pandémie, alors que tout le monde a soudainement dû travailler à distance, les primes d'assurance cyber ont considérablement baissé. Vous avez bien lu : a chuté de manière significative.
Alors, qu'est-ce qui a changé, et où est le piège ?
Un rapport récent intitulé « » ( ), publié par Howden, un courtier et assureur basé au Royaume-Uni, a montré que les primes d’assurance cyber ont chuté de 15 % à l’échelle mondiale depuis leur pic atteint mi-2022, malgré un paysage des menaces de plus en plus complexe. Outre ces baisses, qui varient selon les régions, Howden indique que les capacités ont augmenté et que les assureurs sont désormais plus disposés à relever les plafonds de garantie, à lever les restrictions de couverture liées aux ransom s et à réduire les niveaux de rétention. Par ailleurs, les tarifs américains ont baissé de 5 % au deuxième trimestre de cette année, ce qui marque le cinquième trimestre consécutif de baisse, selon Marsh, un assureur basé à New York.
Selon Howden et les experts du secteur, la maturation du secteur et l'intensification de la concurrence sont les principaux facteurs à l'origine de la baisse des prix. En effet, selon S&P Global, la couverture des risques cyber serait désormais l'un des produits d'assurance connaissant la plus forte croissance et devrait dépasser les 20 milliards de dollars d'ici 2025, contre environ 15 milliards de dollars en 2023.
Ce n'était pas le cas il y a encore quelques années, lorsque les taux atteignaient leur niveau maximal. À l'époque, l'assurance cyber était encore un produit relativement nouveau par rapport à l'assurance habitation, à l'assurance vie et à l'assurance automobile. Les assureurs n'avaient pas encore déterminé quel tarif appliquer pour réaliser un bénéfice.
La situation s'est considérablement aggravée pendant la pandémie, lorsque des millions de salariés ont soudainement dû travailler à distance, ce qui a renforcé les inquiétudes concernant la confidentialité des données et entraîné une forte augmentation de la cybercriminalité. Certains assureurs ont réagi en restreignant leur couverture, en ajoutant des exclusions (notamment pour les attaques par ransomware), et en augmentant leurs tarifs. D'autres transporteurs ont complètement abandonné cette activité.
La donne a complètement changé. Pour l'instant, cependant, les entreprises ne mordent pas à l'hameçon – du moins, pas tout à fait. Et il y a une bonne raison (même si elle n'est pas tout à fait valable) à cela.
Un marché de l'assurance cyber stabilisé
Les assureurs ont désormais largement mis au point leurs modèles, savent comment générer des bénéfices et se livrent concurrence pour attirer de nouveaux clients, alors même que des incidents de sécurité majeurs continuent de se produire.
«Le coût de l’assurance cyber continue de baisser, malgré la persistance des cyberattaques, l’instabilité géopolitique accrue et la prolifération de l’IA générative. »Sarah Heild, responsable du commerce en ligne chez Howden
« Une dynamique favorable (sic) s’est maintenue en 2024, le coût de l’assurance cyber continuant de baisser, malgré la persistance des attaques, l’instabilité géopolitique accrue et la prolifération de l’ des IA de génération générale (Gen AI) », a déclaré Sarah Heild, responsable du secteur cyber-retail chez Howden, dans un communiqué. « Les fondements d'un marché du cyberespace arrivé à maturité, dont la croissance repose essentiellement sur l'innovation et la visibilité, sont désormais en place. »
Traduction : Le secteur de l'assurance cyber a enfin mis au point ses modèles de souscription, ce qui a permis une stabilisation de la situation. Les bénéfices issus de l' , dans le domaine de la souscription, sont solides et devraient le rester. Et les assureurs cherchent à attirer les clients en mettant l'accent sur les risques cybernétiques croissants tout en proposant des offres alléchantes pour s'en prémunir.
[À lire également : 5 mythes – et réalités – sur la cyberassurance]
On dirait bien un marché favorable aux acheteurs. Et pourtant, rares sont les acheteurs qui en tirent parti. Bien que les données montrent que la plupart des décideurs en matière de technologies de sécurité dans les entreprises disposent d'une forme ou d'une autre de couverture d'assurance contre les cyberrisques, seul un sur quatre avait souscrit une police autonome sur 2023, selon Forrester.
Pourquoi l'assurance cyber suscite-t-elle le scepticisme ?
Ilia Kolochenko, associé au sein du cabinet Platt Law LLP, spécialisé dans la cybersécurité et implanté à Washington et à New York, et PDG d’ImmuniWeb, une entreprise internationale spécialisée dans la sécurité des applications, explique qu’une des principales raisons tient au fait que de nombreuses entreprises ne comprennent pas ce produit. Certains considèrent qu'il s'agit d'un choix entre deux options : soit vous souscrivez une cyberassurance pour vous prémunir contre un incident, soit vous investissez dans des technologies de cybersécurité pour prévenir les incidents. Mais vous ne faites pas les deux. M. Kolochenko affirme que d'autres entreprises se montrent tout simplement sceptiques quant aux motivations des assureurs. Ils craignent que, s'ils sont victimes d'un incident informatique, les assureurs invoquent toutes sortes de clauses cachées, de plafonds, de limites et d'exclusions pour éviter de verser des indemnités, les laissant ainsi livrés à eux-mêmes.
«» Pour des produits complexes comme l'assurance cyber, lorsque les prix baissent, cela signifie probablement que quelque chose a changé. Si une situation s'est améliorée, il y a fort à parier que ce soit au profit de l'assureur plutôt que de l'assuré. »Ilia Kolochenko, associé chez Platt Law LLP
Et il y a du vrai là-dedans. Le nombre de sinistres est bel et bien en hausse : par exemple, Marsh a annoncé que ses clients américains et canadiens avaient déposé 1 800 déclarations de sinistre liées à la cyberassurance en 2023, ce qui constitue un record pour la société. Pourtant, selon Security Boulevard , , 99 % des entreprises ayant déposé une demande d'indemnisation cette année-là n'ont pas été intégralement remboursées, car leurs dépenses dépassaient les plafonds prévus par leur police d'assurance. Selon Embroker, une société spécialisée dans l'assurance des entreprises, les limites de couverture varient entre 500 000 et 5 millions de dollars par sinistre. IBM, quant à elle, a indiqué que le coût moyen mondial d'une fuite de données en 2024 s'élevait à 4,88 millions de dollars, soit une hausse de 10 % par rapport à l'année précédente.
M. Kolochenko raconte l'histoire d' , responsable de la sécurité des systèmes d'information (RSSI) d' , au sein d'une organisation qui a été victime d'une violation de données. Ce dernier a déposé une demande d'indemnisation auprès de son assureur cyber et a eu l'agréable surprise de voir celui-ci prendre en charge l'intégralité des frais, sans poser aucune question.
« Il était ravi et a déclaré : “Nous devrions sans doute commencer à réduire notre budget consacré à la cybersécurité.” » « Nous n’avons plus besoin de ces mesures de sécurité ; nous avons une assurance cyber ! »
Puis, l'enthousiasme s'est estompé. Quelques mois plus tard, le client a appelé M. Kolochenko, pris de panique, pour lui dire que son entreprise avait été victime d'une nouvelle cyberattaque et qu'elle avait besoin d'aide.
« Il m’a dit : “Écoutez, Ilia, selon notre contrat, un seul sinistre est couvert par l’assurance par année civile.” C'est le deuxième incident de ce genre. Il s'agit d'une fuite de données catastrophique , et nous allons probablement subir des pertes se chiffrant en millions. Mais notre assureur nous envoie poliment au diable, en affirmant qu'il a déjà versé plusieurs milliers de dollars pour notre sinistre précédent. « Que devons-nous faire ? »
Gardez bien les yeux grands ouverts
M. Kolochenko estime que ces histoires effrayantes ne devraient pas dissuader les entreprises d'envisager de souscrire une cyberassurance, d'autant plus que les tarifs sont aujourd'hui plus bas. En fait, ils devraient. Il précise toutefois que les entreprises doivent évaluer les différentes options politiques en toute lucidité et prendre le temps de les comprendre, car celles-ci peuvent s'avérer complexes.
«Vous pouvez faire venir votre directeur informatique et avoir une conversation assez technique sur le contenu de cette application. »Peter Hedberg, vice-président chargé de la souscription des risques cybernétiques chez Corvus Insurance
Outre la participation de votre responsable des achats d’assurance et de votre directeur financier à la réunion avec votre assureur, « vous pouvez inviter votre directeur informatique à se joindre à vous et avoir une discussion assez technique sur le contenu de cette demande », explique Peter Hedberg, vice-président chargé de la souscription des risques cyber chez Corvus Insurance. « S’ils sont capables d’approfondir ces questions, c’est le signe qu’il s’agit d’un très bon agent. » « Parce que c'est devenu une question technique. »
C'est d'autant plus vrai lorsque les prix baissent.
« Lorsque les prix des produits de base baissent, comme une canette de Coca-Cola ou une voiture GM, c'est généralement une bonne chose pour les consommateurs », déclare M. Kolochenko. « Mais pour des produits complexes comme l’assurance cyber, lorsque les prix baissent, cela signifie probablement que quelque chose a changé. » Si une situation s'est améliorée, il y a fort à parier que ce soit au profit de l'assureur plutôt qu'à celui de l'assuré. Si une offre semble trop belle pour être vraie, c'est peut-être qu'elle l'est. « Mais je vous conseille toujours d’examiner attentivement les conditions générales, d’en discuter avec votre assureur et de vous assurer que vous êtes bien sur la même longueur d’onde, tout en conservant l’ensemble des échanges écrits avec lui concernant votre interprétation commune des clauses du contrat et de leur signification. »
Le contrôle ne consiste pas simplement à demander à un membre de l'entreprise d'examiner les documents ou d'appeler un courtier en assurance. Cela implique plutôt de faire appel à un groupe multidisciplinaire de personnes, à l'instar des compagnies d'assurance.
« L’assurance cyber est un mélange de science, d’art et de droit », déclare M. Kolochenko. « Il est indispensable que des experts techniques, des spécialistes de la gestion des risques et des juristes ayant une expérience en cybersécurité participent à l'évaluation des politiques. »
