la liste de questions demande si nous sommes assurés contre les incidents de cybersécurité

L'assurance cyber n'est pas un substitut aux mesures, mais une question distincte

Une assurance cyber est indépendante des dix mesures de l'article 21 paragraphe 2 de NIS2 et indépendante de l'Annexe A de l'ISO/IEC 27001. La question de savoir si vous êtes assuré contre les incidents de cybersécurité porte sur la couverture financière après un incident, non sur la qualité de votre sécurité au préalable. Certains clients posent cette question de manière isolée, d'autres l'utilisent comme test indirect : un assureur n'accepte généralement pas une police sans mesures de base minimales, donc « oui, assuré » est parfois interprété comme une preuve implicite d'une certaine maturité. C'est une hypothèse de la partie qui pose la question, non une norme issue des sources citées.

Si vous avez une police, la réponse « oui » peut être justifiée dès que vous disposez de la police ou du certificat d'assurance comme preuve. Si vous n'avez pas de police, « non » est la réponse factuellement correcte — une question de suivi sur les mesures compensatoires est généralement posée séparément, par exemple sur la procédure de traitement des incidents de cybersécurité ou sur les sauvegardes et les mesures de secours pour la récupération. Si vous doutez que la question porte sur la police elle-même ou sur la couverture sous-jacente (par exemple couverture en cas de ransomware par rapport à l'interruption d'activité), lisez le texte de la question littéralement : « assuré contre les incidents de cybersécurité » est plus large que « assurance cyber souscrite », et le dossier de chaîne doit couvrir la réponse à la question posée, non à une question connexe.

Aucune des trois sources ne rend obligatoire une assurance cyber

Ni l'article 21 paragraphe 2 de NIS2, ni l'Annexe A de l'ISO/IEC 27001, ni la Loi sur la cybersécurité ne mentionne une obligation d'assurance. Les dix mesures de NIS2 portent sur la gestion des risques, le traitement des incidents, la continuité d'activité et similaires — une assurance n'y figure pas. L'Annexe A ne connaît pas non plus une mesure de contrôle qui exige spécifiquement une assurance. Un client qui demande une assurance le fait donc de sa propre initiative, indépendamment de cette réglementation ; la réponse reste donc une question factuelle oui/non avec une police comme preuve, non une question de conformité avec un seuil légal.