Cyber Insurance Policy Discovered Mid-Incident

Les conditions opérationnelles de la police d’assurance cyber — délais de notification, obligation de recourir à des intervenants agréés, actions soumises au consentement préalable de l’assureur — sont découvertes pendant l’incident, en lisant la police pour la première fois sous stress. Dans la forme sévère du pattern, c’est l’existence même de la couverture que les équipes qui répondent ignorent.

C’est structurel : la police est achetée comme un produit financier, par la fonction finance ou achats, dans un cycle annuel de renouvellement. L’incident est géré par la fonction technique, dans un cycle d’urgence. Rien ne connecte les deux avant le sinistre : le document existe, il est à jour, il est même parfois exigeant — et personne côté opérationnel ne sait ce qu’il contient, ni où il se trouve, ni qui appeler.

Quatre mécanismes concrets, tous datés des premières heures :

• les délais de notification : notifier tardivement peut compromettre la prise en charge ; or les premières heures sont entièrement consommées par la technique, précisément parce que personne ne sait qu’un délai court ;
• les intervenants agréés : engager un prestataire de réponse ou un conseil hors de la liste de l’assureur peut rendre les honoraires non couverts, ou imposer un changement d’équipe en cours d’incident — avec perte de contexte au pire moment ;
• le consentement préalable : des engagements pris de bonne foi (frais, communication, négociation) peuvent sortir de la couverture s’ils devaient être approuvés ;
• les ressources ignorées : la ligne de déclaration de sinistre donne accès à des moyens — conseil spécialisé, forensique, communication de crise — qu’on n’active pas quand on ignore qu’ils existent.

Le pattern ne rend pas l’incident plus grave techniquement ; il rend sa prise en charge financière et juridique incertaine, au moment où ces certitudes conditionnent les décisions.

La vérification tient en une heure :

• qui, dans l’organisation, peut produire la police d’assurance cyber maintenant ? Le fichier, pas le souvenir de sa signature ;
• l’équipe de garde connaît-elle le numéro de déclaration de sinistre et le délai de notification ?
• le plan de réponse mentionne-t-il l’appel à l’assureur parmi les actions des premières heures, avec le seuil de déclenchement ?
• les prestataires de réponse pressentis figurent-ils sur la liste agréée de l’assureur — ou une dérogation a-t-elle été négociée à froid ?
• si l’exploitation est infogérée : le prestataire sait-il que l’organisation est assurée, et ce que la police impose à ses propres actions ?

Si la police ne peut pas être produite en dix minutes par les personnes qui géreraient l’incident, le pattern est présent.

Extraire de la police une fiche réflexe d’une page :

• numéro de déclaration de sinistre joignable 24/7, et délai de notification ;
• liste des intervenants agréés (réponse à incident, conseil, communication) ;
• actions soumises à consentement préalable ;
• exclusions majeures et franchises, pour cadrer les décisions financières.

Ranger cette fiche dans le plan de réponse, et hors ligne. Faire valider à froid les prestataires pressentis, ou négocier leur ajout à la liste. Intégrer la déclaration de sinistre aux exercices : l’appel à l’assureur fait partie du scénario, pas de l’après-coup. Revoir la fiche à chaque renouvellement — les conditions changent d’une année à l’autre, souvent dans le sens du durcissement.

Notifier l’assureur maintenant, même avec des informations incomplètes : une notification précoce et imprécise vaut mieux qu’une notification tardive et documentée. La plupart des polices attendent une déclaration rapide, pas un rapport d’investigation.

Lors du premier appel, demander explicitement :

• la liste des intervenants agréés et l’accès au conseil spécialisé du panel ;
• ce qui requiert un consentement préalable à partir de maintenant ;
• ce que l’assureur attend comme documentation au fil de l’eau.

Documenter les heures : moment de découverte de l’incident, moment de qualification, moment de notification — ces horodatages comptent. Si des prestataires hors liste sont déjà engagés, poser la question de la régularisation immédiatement plutôt qu’en fin d’incident : la marge de négociation diminue avec le temps.