Amendement n° 61 — APRÈS L'ARTICLE 58 BIS, insérer l'article suivant:

Le code des assurances est ainsi modifié :

1° A la fin du premier alinéa de l’article L. 12‑10‑1, les mots : « connaissance de l’atteinte par la victime » sont remplacés par les mots : « déclaration de l’atteinte par la victime à son assureur ». 

2° Au quatorzième et au dernier alinéas l’article L. 194‑1, les mots : « loi n° 2023‑22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’intérieur » sont remplacés par les mots : « loi n° du relative à la résilience des infrastructures critiques et au renforcement de la cybersécurité » 

Le code des assurances introduit une particularité française pour les atteintes cyber avec l’obligation de déposer plainte dans les 72h suivants la connaissance d’une atteinte pour pouvoir être indemnisé par son assurance. 

Cette mesure, unique en Europe, vise à une meilleure visibilité du nombre d’entreprises impactées mais aussi à ce que l’alerte soit donnée le plus vite possible pour éviter l’extension de la menace. 

Cette obligation a cependant des effets de bords importants : les délais sont extrêmement courts pour les grandes entreprises, le texte s’applique pour des filiales à l’étranger dans le cadre d’une police de groupe en France et risque d’entraîner un engorgement des tribunaux, parfois pour des attaques sans importance. 

Cette particularité française incite parfois à s’assurer hors de France pour ne pas avoir cette contrainte. 

Aussi, tout en respectant l’esprit de la loi et ses objectifs, il est proposé de modifier légèrement la rédaction pour remplacer la notion de délai de connaissance de l’atteinte par celle de délai de notification de cette atteinte à l’assureur. 

Cet amendement relatif à la notification à son assureur couvre donc exactement le même panel d’entreprises. 

Puisque les conséquences sont limitées à l’indemnisation par l’assureur, il est plus efficace de limiter ce dépôt de plainte par les entreprises assurées aux attaques qui vont potentiellement entrainer une indemnisation et non pas les alertes ou petites attaques qui n’ont pas de conséquence et où la loi actuelle peut amener à saturer les parquets avec des plaintes sans importance qui ne seront pas instruites. 

Aussi, cet amendement apporte de la simplification des procédures, plus d’efficacité pour le système judiciaire et assurantielle, sans changer le fondement ni les objectifs de la mesure.

Cet amendement a été travaillé en collaboration avec l'Amarre, l'association pour le management des risques et des assurances de l'entreprise.