Une cyberassurance takaful mutualise entre entreprises participantes le coût des incidents informatiques, comme une fuite de données, une interruption d’activité ou une fraude, via un fonds de tabarru’ géré par un opérateur rémunéré en wakala et investi hors riba.
Pourquoi le risque cyber entre dans le champ du takaful
Une attaque informatique provoque une perte réelle et mesurable : restauration des serveurs, notification des clients, chiffre d’affaires perdu. Selon la FAQ takaful de State Life, seul ce risque pur, sans possibilité de gain, peut être couvert, ce qui écarte l’objection du maysir.
Le fonds commun alimenté par les entreprises adhérentes
Chaque société verse une contribution dans un fonds de risque des participants, le PRF décrit par la norme IFSB-14. Ce fonds indemnise celle qui subit un rançongiciel ou une intrusion, et l’opérateur ne fait que l’administrer pour le compte du groupe.
Rémunération de l’opérateur : commission ou part de profit
Dans le modèle décrit sur la page commission de wakala et rôle d’agent, l’opérateur prélève des frais fixés d’avance. En mudaraba, il partage le rendement des placements et, selon State Life, une partie du surplus avec les actionnaires.
Garanties habituelles d’un contrat cyber
Un contrat cyber regroupe des frais de première partie, comme l’expertise informatique et la reconstitution des données, et une responsabilité envers les tiers dont les informations ont fuité. Le document takaful doit lister chaque garantie, car les notes vérifiées ne citent aucune formule cyber standard.
La question délicate du paiement d’une rançon
Rembourser une rançon versée à des criminels soulève une difficulté éthique que le comité charia de l’opérateur doit trancher par écrit. Aucune position de l’AAOIFI sur ce point n’a été vérifiée ; demandez la fatwa du produit plutôt qu’une simple mention commerciale.
Gharar et définition précise des sinistres
Le gharar, ou incertitude excessive, menace un contrat cyber aux contours flous. Le contrat de don réduit cette incertitude à un niveau tolérable, à condition que l’événement déclencheur, la date de découverte et les plafonds soient définis sans ambiguïté dans les conditions générales.
Placement des contributions avant tout sinistre
Entre deux sinistres, les sommes du fonds sont placées dans des sukuk, des actions conformes ou l’immobilier. Les fonds takaful excluent aussi les émetteurs tirant leurs revenus de l’alcool, du tabac, de la pornographie ou de l’armement, selon le magazine COVER.
Retakaful : absorber une attaque massive
Une vague d’attaques simultanées peut vider un petit fonds. L’opérateur se protège alors par le retakaful, alternative islamique à la réassurance, encadré depuis avril 2016 par l’IFSB-18, où le risque est partagé entre opérateurs cotisants plutôt que transféré.
Prêt sans intérêt en cas de déficit du fonds
Si les indemnités dépassent les contributions, l’opérateur injecte un qard, prêt sans intérêt prévu par l’IFSB-14. Ce prêt n’est remboursé que sur les surplus futurs, ce qui étale le coût d’une année noire sur plusieurs exercices.
Que devient l’excédent après une année calme
Lorsque peu d’incidents surviennent, le surplus technique du fonds peut être reversé aux entreprises, déduit des contributions futures ou accordé en remise au renouvellement. En Malaisie, l’opérateur ne peut en prélever plus de 50 %.
Disponibilité réelle de l’offre selon les marchés
Les notes de recherche n’identifient aucun produit cyber takaful commercialisé en France, en Belgique ou en Suisse. Une entreprise européenne devra donc interroger des opérateurs du Golfe ou d’Asie, ou négocier une adaptation avec un assureur soumis à Solvabilité II.
Cadres prudentiels et comptables applicables
Au-delà de l’IFSB-14 sur la gestion des risques, la norme AAOIFI FAS 43, en vigueur depuis le 1er janvier 2025, fixe la comptabilisation des contrats takaful. Pour une PME, consultez aussi notre page protection takaful des petites entreprises.
Mettre en place une couverture cyber conforme
- Cartographier vos systèmes critiques, les données personnelles détenues et le coût d’une journée d’arrêt avant de solliciter une offre.
- Vérifier que l’opérateur détient une licence du régulateur local et un comité charia nommément identifié.
- Obtenir la fatwa du produit, notamment sur le remboursement éventuel d’une rançon et sur les amendes réglementaires.
- Comparer la contribution au fonds, la commission de wakala et la règle écrite de partage du surplus.
- Lire les exclusions : guerre informatique, défaut de mise à jour, attaques antérieures à la souscription.
- En cas d’incident, notifier immédiatement l’opérateur, conserver les journaux techniques et suivre la procédure de gestion de crise prévue.
Ce qui compose le prix d’une cyberprotection takaful
| Composante | Rôle | Facteurs de variation |
|---|---|---|
| Contribution tabarru’ | Alimente le fonds qui indemnise les incidents | Chiffre d’affaires, secteur, volume de données sensibles |
| Commission de wakala | Rémunère la gestion par l’opérateur | Pourcentage fixé au contrat, variable selon l’opérateur |
| Part de mudaraba | Partage du rendement des placements | Uniquement si le modèle mudaraba ou hybride est retenu |
| Franchise | Montant restant à la charge de l’entreprise | Niveau de sécurité informatique et sinistralité passée |
| Surplus redistribué | Retour éventuel en fin d’exercice | Sinistralité du fonds, part prélevée par l’opérateur |
Pièces demandées pour souscrire
- Extrait d’immatriculation de la société et pièce d’identité du dirigeant
- Questionnaire de sécurité informatique rempli et signé
- Description des sauvegardes, pare-feux et authentification multifacteur
- Historique des incidents cyber des trois à cinq dernières années
- Derniers comptes annuels ou chiffre d’affaires déclaré
- Liste des prestataires informatiques et contrats d’hébergement
Écueils à éviter avec une cyberassurance islamique
- Accepter un contrat cyber vendu comme halal sans comité charia identifié ni fatwa écrite portant sur ce produit précis.
- Supposer que la rançon est remboursée alors que le comité charia ou les conditions générales l’excluent expressément.
- Confondre une fenêtre takaful d’un assureur conventionnel avec un opérateur takaful dédié, sans vérifier la séparation des fonds.
- Sous-estimer les exclusions liées aux correctifs non installés, qui annulent souvent l’indemnisation d’une intrusion pourtant couverte.
- Se fier à une promesse orale de surplus annuel qui ne figure ni dans le contrat ni dans le rapport de l’opérateur.
Vos questions sur la cyberassurance takaful
Une cyberassurance takaful rembourse-t-elle une rançon ?
Cela dépend du produit et de l’avis de son comité charia. Aucune règle générale de l’AAOIFI sur ce point ne figure dans nos sources vérifiées. Exigez une réponse écrite avant de signer, car certains comités peuvent refuser une indemnité qui finance une activité criminelle.
Existe-t-il une offre cyber takaful en France ?
Aucune n’a été identifiée. L’ACPR supervise 660 organismes d’assurance mais n’a publié aucun cadre takaful spécifique. Une entreprise française doit donc chercher auprès d’opérateurs étrangers autorisés ou demander une solution sur mesure à un assureur européen.
Les amendes liées aux données personnelles sont-elles couvertes ?
Les notes vérifiées ne permettent pas de l’affirmer pour un produit takaful. En pratique, couvrir une sanction administrative pose une question juridique et charia distincte ; vérifiez la clause correspondante et l’avis du comité avant de compter sur cette garantie.
Pourquoi le retakaful compte-t-il autant pour le risque cyber ?
Une même faille logicielle peut toucher des centaines d’entreprises le même jour. Le retakaful, défini par l’IFSB-18, répartit ce choc entre plusieurs opérateurs cotisants, ce qui protège la solvabilité du fonds local et la capacité d’indemniser.