Formation DDA 15 heures en ligne pour courtiers spécialisés en assurance cyber-risques et risques numériques : programme, conformité ACPR et attestation

Le marché de la cyber-assurance connaît une croissance soutenue en France : la multiplication des rançongiciels, des violations de données et des fraudes au virement porte la demande de couvertures spécialisées à des niveaux inédits. Pour les courtiers en assurance positionnés sur ce segment porteur, la formation DDA 15 heures cyber-risques assurance numérique courtier ACPR constitue bien plus qu’une obligation légale : c’est un levier de différenciation compétitive et une garantie de conseil conforme. Cet article détaille le programme spécifique applicable, les exigences réglementaires de l’Autorité de Contrôle Prudentiel et de Résolution, et les conditions d’obtention d’une attestation valide pour tout intermédiaire actif sur les risques numériques.

Quel cadre réglementaire impose les 15 heures DDA aux courtiers en cyber-assurance ?

La Directive sur la Distribution d’Assurance (DDA) 2016/97/UE, transposée en droit français dans le Code des assurances, impose à tout intermédiaire en assurance immatriculé à l’ORIAS de justifier d’un minimum de 15 heures de formation continue par an, dont le programme est précisé par l’arrêté du 26 septembre 2018 relatif à la formation continue des distributeurs. Cette obligation s’applique sans exception aux courtiers, agents généraux, mandataires d’intermédiaires d’assurance (MIA) et mandataires d’assurance, quel que soit leur domaine de spécialité. Notre panorama de l’obligation DDA annuelle détaille son application à chaque statut. Le non-respect de cette obligation expose l’intermédiaire à des sanctions disciplinaires prononcées par l’ACPR, pouvant aller du blâme à la radiation du registre ORIAS. Pour un courtier spécialisé en risques numériques, cette formation annuelle doit impérativement intégrer des modules adaptés à l’évolution rapide du marché cyber, sous peine de délivrer un conseil inadapté aux besoins réels de ses clients professionnels et de s’exposer à une mise en cause pour défaut de conseil.

Il est important de distinguer les niveaux d’habilitation IAS concernés par cette obligation. Le courtier (IAS 1) intervenant en assurance cyber pour le compte de ses clients personnes morales ou particuliers est soumis à la même règle des 15 heures annuelles que ses homologues spécialisés en assurance vie ou en prévoyance collective. Pour approfondir les spécificités du statut de courtier et de ses obligations propres, vous pouvez consulter notre article sur la formation DDA 15 heures pour courtier grossiste et gestionnaire délégué, qui présente des problématiques proches en matière de spécialisation sectorielle. Le mandataire IAS 2 ou IAS 3 incapable de produire son attestation expose d’ailleurs son mandant à une mise en cause directe auprès de l’ACPR. À l’inverse, un professionnel formé sur les garanties cyber, les exclusions contractuelles et les mécanismes d’indemnisation construit des préconisations documentées conformes à son devoir de conseil DDA : la spécialisation est à la fois une protection professionnelle et un levier de développement commercial. Notons enfin que les intermédiaires exerçant en multi-activité doivent ventiler leurs 15 heures selon les branches effectivement distribuées : l’article consacré aux heures DDA par branche assurance IARD, vie et santé détaille les règles d’imputation applicables.

Que contient le programme spécifique d’une formation DDA 15 heures orientée cyber-risques et risques numériques ?

Une formation DDA adaptée aux courtiers spécialisés en assurance cyber ne peut pas se limiter à un programme généraliste. Elle doit conjuguer les fondamentaux réglementaires exigés par l’ACPR avec des contenus techniques directement opérationnels pour un professionnel intervenant sur la garantie des risques numériques. Le programme type s’organise en plusieurs blocs thématiques complémentaires, couvrant à la fois la conformité distributive et la maîtrise technique des produits cyber.

Bloc 1 — Fondamentaux réglementaires DDA (4 heures)

• Rappel des obligations issues de la Directive DDA 2016/97/UE et du Code des assurances
• Devoir de conseil adapté : analyse des besoins du client, recueil d’informations, document d’analyse des besoins (DAB)
• Obligations d’information précontractuelle : DIC (Document d’Information sur le Produit d’Assurance), IPID pour les risques non-vie
• Gestion des conflits d’intérêts et politique de rémunération du courtier
• Règles de gouvernance produit : distribution en conformité avec le marché cible défini par l’assureur
• Cas particulier des contrats cyber proposés conjointement à un service numérique ou à un équipement informatique : notre article sur l’assurance embarquée et les obligations DDA de l’intermédiaire en détaille les règles spécifiques

Bloc 2 — Environnement juridique et technique de la cyber-assurance (5 heures)

• Cartographie des risques cyber couverts : ransomwares, violations de données, fraude au virement, atteinte aux systèmes d’information
• Cadre légal applicable aux sinistres cyber : RGPD, obligation de notification à la CNIL, responsabilité civile numérique
• Structure des contrats d’assurance cyber : garanties first-party (frais de gestion de crise, restauration des données) et third-party (responsabilité envers les tiers)
• Exclusions courantes dans les polices cyber — actes de guerre et de cyberguerre, infrastructures critiques, défaut de mesures de sécurité préalables — et vigilance lors de la délivrance du conseil
• Interaction entre assurance cyber et réglementation NIS 2 : nouvelles obligations de sécurité pour les entreprises clientes
• Analyse des besoins cyber d’une PME ou d’un ETI : questionnaire de risque, évaluation de la maturité numérique et recensement des mesures de sécurité existantes (MFA, sauvegardes hors ligne, plan de reprise d’activité)
• Chaîne de sous-traitance numérique et systèmes industriels (OT/IT) : des expositions systémiques souvent sous-estimées par les dirigeants de PME
• Prévention des déclarations inexactes ou incomplètes au questionnaire de souscription, susceptibles de fonder une nullité du contrat pour fausse déclaration (article L113-8 du Code des assurances)

Bloc 3 — Pratique commerciale et conformité distributive (4 heures)

• Rédaction du document d’analyse des besoins (DAB) spécifique aux risques numériques
• Traçabilité du conseil et conservation des documents : durées légales applicables
• Gestion des réclamations clients en contexte de sinistre cyber : délais, interlocuteurs, obligations du courtier
• Évolutions tarifaires du marché cyber et argumentation auprès des clients
• Chronologie d’un sinistre cyber : déclaration à l’assureur dans les délais contractuels, activation de la cellule de crise, coordination avec les prestataires de remédiation (forensics, communication de crise) et notification à la CNIL dans les 72 heures en cas de violation de données personnelles
• Étude de sinistres réels survenus en France — rançongiciel paralysant une PME industrielle, fuite de données chez un prestataire comptable, attaque contre un établissement de santé — pour apprendre à qualifier le risque dès l’entretien préalable
• Rédaction d’une note de conseil documentée répondant à l’obligation de recommandation prévue à l’article L521-4 du Code des assurances

Bloc 4 — Actualité réglementaire et éthique professionnelle (2 heures)

• Dernières positions et recommandations de l’ACPR sur la distribution des produits d’assurance complexes
• Lutte contre le blanchiment et le financement du terrorisme (LCB-FT) : vigilance spécifique dans le secteur cyber
• Panorama des sanctions disciplinaires récentes dans le secteur de la distribution d’assurance

Ce programme de 15 heures peut être suivi intégralement en ligne, en mode asynchrone ou synchrone, selon les organismes de formation. L’essentiel est que l’organisme dispensateur soit un organisme de formation déclaré et que le contenu soit conforme aux exigences de l’arrêté du 26 septembre 2018 relatif au programme de formation continue des distributeurs d’assurance. Pour vérifier pas à pas que votre parcours remplit ces conditions, notre guide explique comment valider ses 15 heures DDA, et la page de la formation DDA 15 heures présente les modalités communes d’inscription et de suivi.

Tableau comparatif des niveaux IAS concernés par la formation DDA cyber-risques

Les courtiers employant des mandataires IAS 2 salariés doivent tout particulièrement veiller à la traçabilité des formations de leurs collaborateurs : les obligations détaillées en matière de supervision et de formation des mandataires IAS 2 salariés par le courtier mandant sont précisées dans notre analyse dédiée.

Que doit contenir votre attestation de formation DDA cyber pour être conforme ACPR ?

L’attestation de formation DDA délivrée à l’issue de votre parcours est le document central lors d’un contrôle de l’ACPR. Elle doit comporter un ensemble de mentions obligatoires pour être considérée comme probante. L’absence d’un seul élément peut conduire l’autorité de contrôle à invalider les heures déclarées, exposant l’intermédiaire aux conséquences d’un défaut de formation. Pour mesurer concrètement les risques liés à un dossier incomplet, il est utile de consulter notre article détaillant les conséquences du non-respect de l’obligation de formation DDA lors d’un contrôle ACPR.

Une attestation valide doit impérativement mentionner: l’identité complète du stagiaire (nom, prénom, numéro ORIAS si applicable), la dénomination et le numéro de déclaration d’activité de l’organisme de formation, le titre exact du programme suivi, le nombre d’heures réalisées (avec ventilation si plurimodal), les dates de formation, la signature ou le cachet de l’organisme, ainsi qu’une référence explicite à la Directive DDA 2016/97/UE ou au Code des assurances. Pour une formation orientée cyber-risques, il est également recommandé que l’attestation précise les thématiques abordées, afin de démontrer la cohérence entre le contenu de la formation et le domaine d’activité déclaré auprès de l’ORIAS.

Les formations 100 % en ligne sont pleinement éligibles depuis l’ordonnance n°2018-361 du 16 mai 2018 transposant la Directive DDA, à condition que l’organisme dispose d’une déclaration d’activité auprès de la DREETS et que la présence soit effective et traçable : connexions horodatées, quiz de validation des acquis, suivi individualisé. Attention également à ne pas confondre une simple participation à un webinaire d’une heure organisé par un assureur partenaire avec une formation certifiante : elle ne saurait valider les 15 heures annuelles réglementaires. Le renouvellement de l’immatriculation à l’ORIAS est d’ailleurs conditionné chaque année au respect de cette obligation de formation continue.

En cas de contrôle de l’ACPR, sur place ou sur pièces, ces attestations constituent la première ligne de défense de l’intermédiaire : il est donc conseillé de les conserver plusieurs années, en cohérence avec les règles générales de conservation des documents professionnels. Pour compléter votre expertise sur le segment entreprises, une formation en RC professionnelle pour les TPE, PME et artisans peut par ailleurs utilement prolonger cette spécialisation cyber.

Pour les courtiers souhaitant également approfondir leurs obligations en matière de durabilité et de reporting extra-financier, souvent combinées avec les politiques de gestion des risques numériques chez leurs clients, notre article sur les obligations ESG et durabilité des intermédiaires en assurance constitue une ressource complémentaire utile.

Questions fréquentes

Un courtier spécialisé en cyber-assurance peut-il utiliser une formation DDA généraliste pour valider ses 15 heures ?

Oui, une formation DDA généraliste permet techniquement de satisfaire à l’obligation légale des 15 heures annuelles imposée par le Code des assurances. Cependant, l’ACPR attend de tout intermédiaire qu’il maintienne un niveau de compétence adapté aux produits qu’il distribue. Un courtier actif sur le marché de la cyber-assurance qui ne disposerait d’aucune formation technique sur les risques numériques s’expose à un défaut de conseil caractérisé, susceptible d’engager sa responsabilité civile professionnelle. Il est donc fortement recommandé d’opter pour un programme incluant au minimum un module spécifique aux cyber-risques, comme ceux proposés par Académie Conformité.

Peut-on valider l’intégralité de ses 15 heures DDA avec la seule spécialisation cyber-risques ?

Oui, sous réserve que l’assurance cyber fasse partie des produits que vous distribuez effectivement. La réglementation n’impose pas de répartir les 15 heures entre plusieurs thématiques : un courtier spécialisé en cyber-assurance pour les entreprises peut valider l’intégralité de son obligation annuelle sur cette seule spécialité, dès lors que la formation reste en lien direct avec son activité de distribution. Il reste néanmoins recommandé d’inclure chaque année au moins un module portant sur les évolutions réglementaires et déontologiques, afin de couvrir l’ensemble des thématiques prévues par la réglementation.

La formation DDA 15 heures cyber-risques est-elle reconnue par l’ACPR si elle est suivie entièrement en ligne ?

Oui, la formation en ligne est pleinement reconnue par l’ACPR dès lors qu’elle est dispensée par un organisme de formation déclaré et que les heures réalisées sont traçables (connexions horodatées, évaluations validées, attestation nominative). Le format distanciel — e-learning asynchrone ou classe virtuelle synchrone — n’est pas moins valable qu’une formation présentielle. L’essentiel est la conformité de l’attestation délivrée, qui doit mentionner l’ensemble des informations requises par la réglementation DDA.

Quelles sont les sanctions encourues par un courtier en cyber-assurance qui ne justifie pas de ses 15 heures DDA lors d’un contrôle ?

Un courtier incapable de produire ses attestations de formation lors d’un contrôle ACPR s’expose à des sanctions disciplinaires pouvant inclure un avertissement, un blâme, une interdiction temporaire d’exercice ou, dans les cas les plus graves, une radiation du registre ORIAS. Ces sanctions sont publiques et publiées sur le site de l’ACPR, ce qui constitue un risque réputationnel majeur pour un cabinet spécialisé. À cela s’ajoute le risque de mise en cause de la responsabilité civile professionnelle en cas de sinistre, si l’assureur démontre que le courtier n’était pas à jour de ses obligations de formation au moment du conseil.

Comment obtenir une attestation DDA conforme ACPR après une formation cyber-risques chez Académie Conformité ?

À l’issue du parcours de formation disponible chez Académie Conformité, le stagiaire se voit délivrer une attestation nominative conforme aux exigences de l’ACPR et de la Directive DDA 2016/97/UE. Ce document mentionne l’identité du stagiaire, le numéro de déclaration d’activité de l’organisme, le programme suivi, le nombre d’heures validées et les dates de réalisation. Cette attestation est utilisable pour constituer votre dossier de conformité annuelle et répondre à toute demande de justificatif de l’autorité de contrôle.