Assurance cyber au Maroc : gérer le sinistre et défendre la garantie

Un rançongiciel, une fuite de données ou une fraude au virement ne se règle pas comme un sinistre ordinaire : au moment de la déclaration, l’attaque est souvent encore en cours, et les décisions prises dans les premières heures peuvent compromettre la garantie. Le cabinet assiste les entreprises assurées, les assureurs et les réassureurs dans la gestion juridique de ces sinistres au Maroc et à l’international.

Maître Abdelatif Laamrani a longtemps représenté le réassureur national marocain ainsi que plusieurs réassureurs internationaux en matière de règlement de sinistres et d’arbitrage. Il est l’auteur de l’étude Le risque cyber à l’épreuve de l’assurance et de la réassurance mondiales.

Votre entreprise vient de subir une cyberattaque ? Relisez sans attendre la clause de déclaration de votre police et prévenez votre assureur. Conservez les preuves, n’engagez pas de prestataire et ne payez aucune rançon avant d’avoir vérifié les conditions de votre contrat. Contactez le cabinet dès les premières heures.

Le cadre juridique au Maroc

Le droit marocain ne comporte pas de texte unique sur le sinistre cyber. Plusieurs régimes s’y appliquent :

• Loi n° 09-08 : obligation de sécurité du responsable de traitement, sous le contrôle de la CNDP. Elle ne prévoit pas d’obligation générale de notifier les violations de données, à la différence du RGPD ; sa refonte est annoncée.
• Loi n° 05-20 relative à la cybersécurité : obligations de sécurité et de déclaration des incidents auprès de la DGSSI, pour les administrations, les établissements publics et les infrastructures d’importance vitale.
• Code pénal (loi n° 07-03) : répression des atteintes aux systèmes de traitement automatisé des données. Le Maroc est aussi partie à la Convention du Conseil de l’Europe sur la cybercriminalité.
• Loi n° 17-99 portant Code des assurances : souscription des risques situés au Maroc auprès d’entreprises agréées.
• Loi n° 43-05 et réglementation des changes : elles encadrent la question d’un éventuel paiement de rançon, avec les régimes de sanctions internationaux.
• Loi n° 95-17 : arbitrage et médiation conventionnelle, utiles pour les différends d’assurance et de réassurance.

Les premières heures : une discipline à tenir

L’assurance cyber est autant une assurance de service qu’une assurance d’indemnité : l’assureur organise et finance la réponse à l’incident, par ses prestataires agréés. Deux conséquences en découlent. La déclaration doit être immédiate, car un retard peut entraîner une déchéance ou une réduction de garantie selon le droit applicable. Et les frais engagés avant la déclaration, ou sans l’accord de l’assureur, risquent de ne pas être pris en charge.

L’enquête technique commande ensuite tout le dossier : le périmètre des données touchées détermine les notifications, la date de la première intrusion joue sur l’application de la garantie, et le vecteur d’attaque sur la responsabilité d’un prestataire. Nous organisons cette réponse sur le plan juridique et assurons la cohérence entre l’assureur, les autorités et les tiers.

Selon la nature de l’attaque

• Rançongiciel : arbitrage entre restauration et paiement, accord préalable de l’assureur, vérification des sanctions, traçabilité complète.
• Violation de données : identification des données et des personnes touchées, pays par pays, notifications, gestion des réclamations.
• Fraude au virement et ingénierie sociale : demande rapide de rappel des fonds auprès des banques, gel judiciaire des comptes, plainte. La garantie est souvent limitée par une sous-limite et des conditions de vérification.
• Interruption d’activité : quantification des pertes d’exploitation, période d’indemnisation, garantie dépendante lorsque l’incident naît chez un prestataire.

Faut-il déposer plainte ?

Le droit marocain ne fait pas de la plainte une condition légale de l’indemnisation, mais la police peut l’exiger. La plainte, adressée au procureur du Roi, permet de dater l’incident, de solliciter la coopération internationale et de préparer les recours ; elle présente aussi des inconvénients, comme la communication de pièces techniques sensibles. La décision se prend au cas par cas.

En France, en revanche, l’article L. 12-10-1 du Code des assurances subordonne l’indemnisation à une plainte déposée dans les 72 heures. Un groupe présent dans les deux pays doit donc raisonner sur chaque droit applicable.

Défendre la garantie

Pendant la crise, l’assureur instruit sa garantie et adresse souvent une lettre de réserves. Les contestations portent le plus souvent sur la connaissance antérieure de l’incident, l’inexactitude des déclarations de sécurité, les sous-limites, le calcul des pertes d’exploitation, les frais engagés hors des prestataires agréés et l’exclusion de guerre.

Cette dernière exclusion a pris une importance particulière depuis les affaires NotPetya (Merck, Mondelez) et les exigences du Lloyd’s sur les cyberattaques étatiques, en vigueur depuis mars 2023 (bulletin Y5381). En droit marocain, la clause en base réclamation n’est pas expressément consacrée, ce qui crée un risque d’interprétation lorsque la police locale est soumise à ce droit. Nous intervenons devant les juridictions et en arbitrage.

Programmes internationaux, réassurance et Lloyd’s

Les programmes internationaux couvrant le Maroc reposent souvent sur une police locale émise par un assureur marocain et réassurée auprès de l’apériteur du programme ou du marché de Londres (technique de la façade, ou fronting). Nous assistons les assureurs, les réassureurs et les cabinets coordinateurs étrangers sur trois questions décisives pour le Maroc : faut-il notifier, peut-on transférer les données pour les besoins de l’enquête, et peut-on payer.

Défense et recours

En défense, nous intervenons devant les autorités, face aux réclamations des personnes concernées et dans les relations avec les clients et partenaires. En recours, l’assureur subrogé ou la victime peut agir contre le prestataire défaillant, sous réserve des clauses limitatives de responsabilité, se constituer partie civile et demander la saisie des avoirs identifiés. L’assuré peut parfois agir contre son courtier en cas de manquement au devoir de conseil.

Pour aller plus loin : notre étude complète.

Questions fréquentes

Que faire juste après une cyberattaque au Maroc ?

Relire la clause de déclaration de la police et prévenir l’assureur sans attendre, conserver les preuves, et n’engager ni prestataire ni paiement avant d’avoir vérifié les conditions du contrat. Les frais engagés sans l’accord de l’assureur peuvent ne pas être pris en charge.

Faut-il notifier une fuite de données à la CNDP ?

La loi n° 09-08 impose une obligation de sécurité, mais ne prévoit pas d’obligation générale de notification des violations comparable à celle du RGPD. D’autres règles peuvent s’appliquer : la loi n° 05-20 pour les entités qu’elle vise, le RGPD ou un autre droit étranger selon les personnes concernées, et les clauses de vos contrats.

Une plainte est-elle obligatoire pour être indemnisé ?

Pas en droit marocain, qui ne connaît pas d’équivalent de l’article L. 12-10-1 du Code des assurances français. La police peut toutefois l’exiger, notamment pour les garanties de fraude et d’extorsion.

L’assurance cyber couvre-t-elle la rançon ?

Cela dépend de la police et du droit applicable. Au Maroc, un paiement se heurte à la réglementation des changes, au dispositif de la loi n° 43-05 et aux régimes de sanctions internationaux auxquels sont exposés les réassureurs étrangers. Rien ne doit être payé sans analyse juridique préalable et sans l’accord de l’assureur.

Mon assureur refuse sa garantie : quels recours ?

Il faut d’abord analyser le motif invoqué : déclarations de sécurité, exclusion, sous-limite, délai de déclaration ou frais non autorisés. Le différend se règle ensuite, selon la police, en justice, par médiation ou par arbitrage.

Qu’est-ce qu’un breach coach ?

C’est l’avocat coordinateur de crise, désigné dès les premières heures pour diriger juridiquement la réponse à l’incident : mandat des enquêteurs, qualification de l’incident, notifications, plainte, relations avec l’assureur. Il se distingue du conseil en couverture, qui traite de l’étendue de la garantie.

Intervenez-vous pour des assureurs ou réassureurs étrangers ?

Oui. Inscrit aux barreaux de Casablanca, Paris et Montréal, le cabinet peut intervenir sur le volet marocain d’un sinistre international, aux côtés de l’assureur, du réassureur ou du cabinet coordinateur.