La Lopmi et l’indemnisation des pertes et dommages liés à une attaque cyber

Le nouvel article L.12-10-1 du code des assurances entré en vigueur le 24 avril 2023 prévoit que : « Le versement d’une somme en application de la clause d’un contrat d’assurance visant à indemniser un assuré des pertes et dommages causés par une atteinte à un système de traitement automatisé de données mentionnée aux articles 323-1 à 323-3-1 du code pénal est subordonné au dépôt d’une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime. »

Cette disposition ne concerne que les personnes physiques et morales victimes d’une atteinte à un système de traitement automatisé de données dans le cadre de leur activité professionnelle.

Le texte a évolué très sensiblement depuis l’article 5 du projet de loi initial qui conditionnait uniquement le remboursement des cyber-rançons au dépôt d’une plainte dans un délai de 48 heures après le paiement de cette rançon.

Désormais, le texte ne vise plus explicitement la rançon, mais l’ensemble « des pertes et dommages » visés dans le contrat d’assurance et pouvant être indemnisés à la suite d’une cyberattaque, et a étendu le délai pour le dépôt de plainte à 72 heures après