Assurance cyber pour fintechs et institutions financières
Réponse courte
Le règlement DORA, entré en application en janvier 2025, n'impose aucune assurance mais élargit considérablement le coût d'un incident : notification aux autorités, tests de résilience, encadrement des prestataires informatiques critiques. Un contrat cyber adapté à une fintech doit donc financer la gestion de crise, les frais de notification réglementaire et les frais de défense devant l'autorité, bien au-delà de la reconstitution des données.
À partir de quand une entité financière doit-elle souscrire une assurance cyber ?
Le calendrier suit l'agrément et la mise en production du service, pas les volumes traités.
-
Dès l'obtention de l'agrément
L'entité entre dans le champ du contrôle et des obligations de résilience opérationnelle. Un incident devient dès lors un événement susceptible d'être notifié à l'autorité, avec les frais que cela suppose.
-
À l'ouverture du service aux premiers clients
Pour une fintech, la disponibilité de la plateforme est le service vendu. L'interruption n'est pas une gêne mais un défaut d'exécution, immédiatement visible et immédiatement réclamé.
-
À la mise en place du registre des prestataires informatiques
DORA impose de cartographier les dépendances et d'encadrer contractuellement les prestataires critiques. Cet exercice révèle les points où l'interruption viendra d'un tiers — précisément ce que les contrats cyber excluent par défaut.
-
À la première exigence d'un partenaire bancaire
L'ouverture d'un compte de cantonnement ou la signature d'un accord de distribution est fréquemment conditionnée à une attestation cyber, avec des plafonds élevés au regard de la taille de la structure.
Ce que DORA change concrètement dans un contrat cyber
Conformité
DORA structure la résilience opérationnelle numérique des entités financières : gestion du risque informatique, notification des incidents majeurs aux autorités, tests de résilience et encadrement des prestataires critiques. Le règlement n'oblige pas à s'assurer, mais il rend le coût d'un incident bien plus large que la seule remise en service.
Le premier poste nouveau est la notification. Un incident majeur doit être déclaré à l'autorité selon un calendrier et un format définis, ce qui suppose de mobiliser rapidement des ressources juridiques et techniques pour qualifier l'incident, en mesurer l'impact et rédiger la déclaration. Ces frais doivent figurer dans le contrat sous une garantie explicite de frais de notification réglementaire, distincte des frais d'investigation technique.
Le deuxième poste est la défense. Un incident notifié attire l'attention de l'autorité sur le dispositif de gestion du risque informatique de l'entité. Une procédure ouverte à cette occasion génère des frais de conseil sur plusieurs mois, indépendamment de toute sanction. Ces frais relèvent en partie du contrat cyber, en partie de la RCMS lorsque la procédure vise personnellement les dirigeants — l'articulation entre les deux mérite d'être vérifiée avant l'incident.
Le troisième effet est indirect mais utile : l'exercice de cartographie imposé par DORA produit exactement l'information dont l'assureur a besoin. Registre des prestataires, criticité des dépendances, résultats des tests de résilience : ces éléments servent à négocier des conditions meilleures, et à identifier les extensions nécessaires. La page fintech et institutions financières reprend l'ensemble du sujet sectoriel.
Pourquoi la dépendance aux prestataires est le point critique d'une fintech
Point de vigilance
Une fintech s'appuie presque toujours sur des tiers : hébergeur, éditeur de core banking, prestataire de services de paiement, fournisseur de vérification d'identité. Or les contrats cyber excluent généralement les interruptions imputables à un fournisseur externe. Une part croissante des incidents n'a donc pas son origine dans le système de l'entité assurée.
L'extension à demander s'appelle carence de fournisseur, ou dépendance opérationnelle. Elle étend la garantie pertes d'exploitation aux interruptions provenant d'un prestataire désigné, généralement à partir d'une liste nommée et avec une franchise temporelle propre. Elle se souscrit explicitement et se paie, mais sans elle, la couverture d'une fintech porte sur une fraction seulement de son risque réel d'indisponibilité.
Le second volet est la responsabilité. Lorsque l'interruption vient d'un prestataire, l'entité reste responsable devant ses propres clients de l'exécution du service qu'elle leur vend. Elle est donc exposée aux réclamations tout en n'étant pas à l'origine de l'incident, avec pour seul recours les conditions contractuelles de son fournisseur — presque toujours limitées à une fraction des sommes versées.
Le troisième point est réglementaire et rejoint l'assurance : DORA impose un encadrement contractuel des prestataires informatiques critiques, incluant des droits d'audit et des obligations de notification. Aligner ces clauses sur le périmètre du contrat d'assurance évite la situation la plus inconfortable — un prestataire tenu de notifier dans un délai qui ne permet pas de respecter celui de l'assureur.
Ce qui reste à la charge de l'entité, même bien assurée
Limites
Les sanctions pécuniaires prononcées par une autorité administrative ne sont pas assurables en droit français : garantir une sanction en neutraliserait l'effet. S'y ajoutent la faute intentionnelle, les faits connus avant la souscription, et la fraude au faux ordre de virement, qui relève d'une garantie distincte et non du contrat cyber standard.
La question des sanctions est particulièrement sensible en finance régulée, où l'issue d'une procédure est précisément une sanction pécuniaire. Le raisonnement se fait en deux temps : le contrat finance le parcours — investigation, conseil, notification, défense —, mais l'amende reste à la charge de son destinataire. Le même principe s'applique aux sanctions de la CNIL, dont l'assurabilité est juridiquement contestée.
Le second point est souvent découvert au moment du sinistre : la fraude au président et le faux ordre de virement ne sont pas couverts par un contrat cyber standard. Ces attaques reposent sur la manipulation d'une personne, non sur la compromission d'un système, et relèvent d'une garantie fraude distincte. Pour une entité qui exécute des flux, c'est une extension à examiner séparément.
Enfin, l'assurabilité elle-même reste conditionnée à un socle de sécurité : sauvegardes testées et isolées, authentification multifacteur sur les accès distants et les comptes à privilèges, systèmes à jour. Une entité financière dont le dispositif ne satisfait pas ce socle est refusée ou acceptée avec des exclusions, comme le détaille le guide de l'assurance cyber.
Questions fréquentes : assurance cyber et fintech & finance
DORA oblige-t-il à souscrire une assurance cyber ?
Non. Le règlement impose une gestion formalisée du risque informatique, la notification des incidents majeurs, des tests de résilience et l'encadrement des prestataires critiques, mais il ne comporte aucune obligation d'assurance. Son effet est indirect : il élargit considérablement le coût d'un incident en y ajoutant des obligations réglementaires dont la mise en œuvre mobilise des conseils externes. C'est ce coût nouveau qui rend le contrat cyber pertinent, pas une contrainte légale de souscription.
Les frais de notification à l'autorité sont-ils pris en charge ?
Seulement si le contrat les prévoit explicitement, sous une garantie de frais de notification réglementaire. Il faut distinguer trois postes qui sont parfois confondus : l'investigation technique pour comprendre l'incident, la notification réglementaire aux autorités, et l'information des personnes concernées lorsque des données personnelles sont en jeu. Un contrat qui ne couvre que le premier laisse à la charge de l'entité les deux autres, qui sont pourtant les plus contraints en délai.
Une panne de l'hébergeur ou du core banking est-elle couverte ?
Pas par défaut. La garantie pertes d'exploitation d'un contrat cyber exclut généralement les interruptions imputables à un fournisseur externe. Pour une fintech dont l'infrastructure et les briques métier sont largement externalisées, c'est l'angle mort principal. L'extension à souscrire s'appelle carence de fournisseur ou dépendance opérationnelle : elle nomme les prestataires concernés et comporte sa propre franchise temporelle. Sans elle, la couverture ne porte que sur une fraction du risque d'indisponibilité réel.
Une fraude au faux ordre de virement relève-t-elle du contrat cyber ?
Non, dans la grande majorité des contrats. Ces attaques reposent sur la manipulation d'une personne — usurpation d'identité d'un dirigeant ou d'un fournisseur — et non sur la compromission technique d'un système. Elles relèvent d'une garantie fraude, distincte et à souscrire séparément, avec ses propres plafonds et conditions de procédure interne. Pour une entité qui exécute des flux de paiement, cette distinction mérite d'être vérifiée explicitement plutôt que supposée.
Le plafond doit-il être plus élevé pour une fintech que pour une entreprise classique ?
Généralement oui, pour deux raisons cumulatives. La disponibilité de la plateforme est le service vendu : une interruption produit immédiatement un préjudice chez tous les clients simultanément, ce qui pèse sur le plafond annuel autant que sur le plafond par sinistre. Et le coût du parcours réglementaire — qualification de l'incident, notification, procédure éventuelle — s'ajoute aux postes techniques habituels. Le calibrage se raisonne sur le scénario d'indisponibilité totale, pas sur le coût d'une restauration de données.
Faut-il déclarer à l'assureur les résultats des tests de résilience DORA ?
Ils ne sont pas exigés en tant que tels, mais ils servent l'entité. Les éléments produits pour DORA — cartographie des dépendances, registre des prestataires, résultats des tests — constituent exactement le dossier technique qu'un assureur examine pour tarifer et pour définir les extensions nécessaires. Les présenter permet de négocier de meilleures conditions. En revanche, une mesure annoncée à l'assureur mais non déployée constitue une déclaration inexacte, opposable au moment du sinistre.
Pour aller plus loin
Assurance Cyber
Garanties, exclusions courantes et cadre réglementaire applicable, tous secteurs confondus.
Fintech & finance
Fintechs, établissements de paiement et sociétés de gestion.
Les autres assurances du secteur fintech & finance
Assurance Cyber dans les autres secteurs
