le client demande si nous sommes assurés contre les risques informatiques

L'assurance cybernétique en soi n'est pas une mesure NIS2

Une assurance cybernétique ne figure pas dans la liste de l'article 21, paragraphe 2, de la directive NIS2. Les dix mesures de cet article concernent l'analyse des risques, la gestion des incidents, la continuité d'activité, la sécurité de la chaîne d'approvisionnement, la politique d'accès et autres — une police d'assurance n'est pas une mesure de sécurité mais un moyen de couvrir les dommages financiers résiduels. Néanmoins, la question revient souvent dans les questionnaires des clients et des assureurs eux-mêmes, car une police en dit quelque chose sur la maturité avec laquelle une entreprise gère les risques. Avec ISO/IEC 27001, on observe la même chose : l'Annexe A ne contient pas de mesure de contrôle « assurance », mais la gestion des risques — dont l'assurance est une forme reconnue aux côtés de la réduction, de l'évitement et de l'acceptation — fait bien partie du système de management.

La question de savoir si vous devez être assuré ne dépend donc pas des dix mesures elles-mêmes mais de ce que votre client veut en savoir en pratique : disposez-vous d'une couverture financière en cas de problème, ou avez-vous surtout les bases en ordre ? Ces deux questions sont généralement posées indépendamment l'une de l'autre dans la plupart des listes. Reconnaissez le schéma : si la question figure dans un bloc sur la gestion des risques, on demande souvent la justification de la politique d'analyse des risques et de sécurité des systèmes d'information. Si la question est posée séparément, comme une ligne distincte sur la résilience financière, une réponse factuelle sur la police elle-même suffit — si vous n'en avez pas, « non » est la bonne réponse, même si cela semble être une lacune.

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2, de la directive NIS2 énumère les dix mesures obligatoires de manière limitative ; une assurance n'en fait pas partie, pas même implicitement en vertu de la continuité — qui concerne les sauvegardes et les mesures d'urgence pour restaurer la prestation de services, et non la compensation financière après coup. Dans l'Annexe A d'ISO/IEC 27001, la gestion des risques est bien une partie explicite du système de management, et l'assurance en est une option de traitement reconnue aux côtés des mesures techniques et organisationnelles. La Loi sur la cybersécurité, qui transpose NIS2 aux Pays-Bas et entrera en vigueur le 15 août 2026, répète les dix mesures de la directive sans ajouter d'obligation d'assurance.