التأمين السيبراني بالمغرب: تدبير الحادث والدفاع عن الضمان

لا يُدبَّر برنامج الفدية أو تسرب البيانات أو الاحتيال في التحويلات كما يُدبَّر الحادث العادي: فعند التصريح، غالبا ما يكون الهجوم ما يزال جاريا، وقد تعرض القرارات المتخذة في الساعات الأولى الضمان للخطر. ويؤازر المكتب المقاولات المؤمَّن لها والمؤمِّنين ومعيدي التأمين في التدبير القانوني لهذه الحوادث بالمغرب وعلى الصعيد الدولي.

وقد مثّل الأستاذ عبد اللطيف العمراني لمدة طويلة معيد التأمين الوطني المغربي وعدة معيدي تأمين دوليين في مجال تسوية الحوادث والتحكيم. وهو مؤلف دراسة الخطر السيبراني في محك التأمين وإعادة التأمين العالميين.

تعرضت مقاولتكم لتوها لهجوم سيبراني؟ أعيدوا دون تأخير قراءة شرط التصريح في وثيقة التأمين وأخبروا مؤمِّنكم. احتفظوا بالأدلة، ولا تتعاقدوا مع أي مقدم خدمة ولا تؤدوا أي فدية قبل التحقق من شروط عقدكم. اتصلوا بالمكتب منذ الساعات الأولى.

الإطار القانوني بالمغرب

لا يتضمن القانون المغربي نصا موحدا بشأن الحادث السيبراني، بل تسري عليه عدة أنظمة:

• القانون رقم 09.08: التزام المسؤول عن المعالجة بالأمن، تحت مراقبة اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي. وهو لا ينص، خلافا للنظام الأوروبي العام لحماية البيانات (RGPD)، على التزام عام بالإخطار بانتهاكات البيانات؛ وقد أُعلن عن مراجعته.
• القانون رقم 05.20 المتعلق بالأمن السيبراني: التزامات الأمن والتصريح بالحوادث لدى المديرية العامة لأمن نظم المعلومات، بالنسبة للإدارات والمؤسسات العمومية والبنيات التحتية ذات الأهمية الحيوية.
• مجموعة القانون الجنائي (القانون رقم 07.03): زجر المس بنظم المعالجة الآلية للمعطيات. والمغرب طرف أيضا في اتفاقية مجلس أوروبا بشأن الجريمة السيبرانية.
• القانون رقم 17.99 المتعلق بمدونة التأمينات: اكتتاب الأخطار الموجودة بالمغرب لدى المقاولات المعتمدة.
• القانون رقم 43.05 وتنظيم الصرف: يؤطران مسألة أداء محتمل للفدية، إلى جانب أنظمة العقوبات الدولية.
• القانون رقم 95.17: التحكيم والوساطة الاتفاقية، وهما مفيدان في منازعات التأمين وإعادة التأمين.

الساعات الأولى: انضباط لا بد منه

التأمين السيبراني تأمين خدمة بقدر ما هو تأمين تعويض: فالمؤمِّن ينظم ويمول الاستجابة للحادث عبر مقدمي الخدمات المعتمدين لديه. ويترتب عن ذلك أمران: يجب أن يكون التصريح فوريا، لأن التأخير قد يؤدي إلى سقوط الضمان أو تخفيضه بحسب القانون المطبق؛ كما أن المصاريف المؤداة قبل التصريح أو دون موافقة المؤمِّن قد لا يتم التكفل بها.

ويتحكم البحث التقني بعد ذلك في الملف كله: فنطاق البيانات المتضررة يحدد الإخطارات، وتاريخ الاختراق الأول يؤثر في الضمان، ومنفذ الهجوم يؤثر في مسؤولية مقدم الخدمة. وننظم هذه الاستجابة من الناحية القانونية ونضمن الانسجام بين المؤمِّن والسلطات والأغيار.

بحسب طبيعة الهجوم

• برنامج الفدية: الاختيار بين الاسترجاع والأداء، موافقة المؤمِّن المسبقة، التحقق من العقوبات، التتبع الكامل.
• انتهاك البيانات: تحديد البيانات والأشخاص المتضررين، بلدا ببلد، الإخطارات، تدبير المطالبات.
• الاحتيال في التحويلات والهندسة الاجتماعية: طلب سريع لاسترجاع الأموال لدى الأبناك، التجميد القضائي للحسابات، الشكاية. وغالبا ما يكون الضمان مقيدا بسقف فرعي وبشروط تحقق.
• توقف النشاط: تقدير خسائر الاستغلال، فترة التعويض، الضمان التبعي عندما ينشأ الحادث لدى مقدم خدمة.

هل يجب تقديم شكاية؟

لا يجعل القانون المغربي من الشكاية شرطا قانونيا للتعويض، لكن وثيقة التأمين قد تشترطها. وتتيح الشكاية، الموجهة إلى وكيل الملك، تأريخ الحادث وطلب التعاون الدولي وتهيئة دعاوى الرجوع؛ غير أن لها أيضا سلبيات، مثل الكشف عن وثائق تقنية حساسة. ويُتخذ القرار حسب كل حالة.

أما في فرنسا، فإن الفصل L. 12-10-1 من مدونة التأمينات يعلق التعويض على شكاية تقدم داخل أجل 72 ساعة. لذا يتعين على المجموعة الحاضرة في البلدين أن تراعي كل قانون مطبق.

الدفاع عن الضمان

أثناء الأزمة، يدرس المؤمِّن ضمانه وغالبا ما يوجه رسالة تحفظات. وتنصب المنازعات في الغالب على العلم المسبق بالحادث، وعدم صحة التصريحات المتعلقة بالأمن، والأسقف الفرعية، وحساب خسائر الاستغلال، والمصاريف المؤداة خارج مقدمي الخدمات المعتمدين، واستثناء الحرب.

وقد اكتسب هذا الاستثناء أهمية خاصة منذ قضايا NotPetya (Merck, Mondelez) ومتطلبات اللويدز بشأن الهجمات السيبرانية المنسوبة إلى الدول، السارية منذ مارس 2023 (المنشور Y5381). ولا يكرس القانون المغربي صراحة شرط الأساس على المطالبة، مما يخلق خطرا في التأويل عندما تخضع الوثيقة المحلية لهذا القانون. ونتدخل أمام المحاكم وفي التحكيم.

البرامج الدولية وإعادة التأمين واللويدز

تقوم البرامج الدولية التي تغطي المغرب في الغالب على وثيقة محلية يصدرها مؤمِّن مغربي ويعاد تأمينها لدى المؤمِّن الرئيسي للبرنامج أو في سوق لندن (fronting). ونؤازر المؤمِّنين ومعيدي التأمين ومكاتب التنسيق الأجنبية في ثلاثة أسئلة حاسمة بالنسبة للمغرب: هل يجب الإخطار، وهل يمكن نقل البيانات لأغراض البحث، وهل يمكن الأداء.

الدفاع ودعاوى الرجوع

في الدفاع، نتدخل أمام السلطات، وفي مواجهة مطالبات الأشخاص المعنيين، وفي العلاقات مع الزبناء والشركاء. وفي الرجوع، يمكن للمؤمِّن الحالّ محل المؤمَّن له أو للضحية مقاضاة مقدم الخدمة المخل، مع مراعاة الشروط المحددة للمسؤولية، والانتصاب كطرف مدني وطلب حجز الأصول المحددة. وقد يرجع المؤمَّن له أحيانا على وسيطه في حالة الإخلال بواجب النصح.

للتعمق: دراستنا الكاملة.

أسئلة شائعة

ماذا أفعل مباشرة بعد هجوم سيبراني بالمغرب؟

أعيدوا قراءة شرط التصريح في الوثيقة وأخبروا المؤمِّن دون تأخير، واحتفظوا بالأدلة، ولا تتعاقدوا مع مقدم خدمة ولا تؤدوا أي مبلغ قبل التحقق من شروط العقد. فالمصاريف المؤداة دون موافقة المؤمِّن قد لا يتم التكفل بها.

هل يجب إخطار اللجنة الوطنية لمراقبة حماية المعطيات بتسرب البيانات؟

يفرض القانون رقم 09.08 التزاما بالأمن، لكنه لا ينص على التزام عام بالإخطار بالانتهاكات مماثل لما في RGPD. وقد تسري قواعد أخرى: القانون رقم 05.20 بالنسبة للجهات التي يشملها، أو RGPD أو قانون أجنبي آخر بحسب الأشخاص المعنيين، وبنود عقودكم.

هل الشكاية إلزامية للحصول على التعويض؟

ليس في القانون المغربي، الذي لا يعرف مقابلا للفصل L. 12-10-1 من مدونة التأمينات الفرنسية. غير أن الوثيقة قد تشترطها، خاصة في ضمانات الاحتيال والابتزاز.

هل يغطي التأمين السيبراني الفدية؟

يتوقف ذلك على الوثيقة والقانون المطبق. وبالمغرب، يصطدم الأداء بتنظيم الصرف وبالقانون رقم 43.05 وبأنظمة العقوبات الدولية التي يتعرض لها معيدو التأمين الأجانب. ولا ينبغي أداء أي مبلغ دون تحليل قانوني مسبق وموافقة المؤمِّن.

رفض مؤمِّني الضمان: ما هي سبل الطعن؟

ينبغي أولا تحليل السبب المستند إليه: التصريحات المتعلقة بالأمن، أو استثناء، أو سقف فرعي، أو أجل التصريح، أو مصاريف غير مرخص بها. ثم يُحل النزاع، بحسب الوثيقة، أمام القضاء أو بالوساطة أو بالتحكيم.

ما هو منسق الأزمة (breach coach)؟

هو المحامي الذي يعيَّن منذ الساعات الأولى لقيادة الاستجابة القانونية للحادث: تكليف المحققين، وتكييف الحادث، والإخطارات، والشكاية، والعلاقة مع المؤمِّن. وهو يختلف عن مستشار الضمان الذي يتناول مدى التغطية.

هل تتدخلون لفائدة مؤمِّنين أو معيدي تأمين أجانب؟

نعم. فالمكتب، المسجل بهيئات الدار البيضاء وباريس ومونتريال، يمكنه التدخل في الشق المغربي من حادث دولي، إلى جانب المؤمِّن أو معيد التأمين أو مكتب التنسيق.