Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Le module énonce qu'on aiguille un sinistre de cyber industriel par la conséquence et non par la cause. Quelle est donc la première question à poser ?
Un bien a-t-il été matériellement atteint ?
L'atteinte matérielle est la ligne de partage entre les deux contrats, et elle se constate sur les biens, pas sur le réseau. Le chemin d'entrée intéresse la remédiation et la souscription future, il ne décide d'aucune garantie. L'origine étatique ou criminelle est une question d'exclusion, qui ne se pose qu'une fois la branche choisie, et la poser d'abord fait perdre le fil. C'est l'erreur naturelle du dossier : la cause est cyber, spectaculaire, et elle aspire l'attention, alors que ce sont les conséquences qui ont été rédigées pour se répartir entre les deux polices.
Fiche du glossaire →2. Dans le cas travaillé, le dommage matériel est de 0,4 million et la perte d'exploitation de 14 millions, sur dix-neuf jours d'arrêt. Sur quoi se joue réellement le partage entre les deux polices ?
Sur le fait de savoir si l'usine serait restée arrêtée dix-neuf jours du seul fait de l'indisponibilité du SCADA, ou si le délai d'approvisionnement de la pompe a été le chemin critique
Les mêmes 14 millions sont réclamables sous deux contrats, sur deux théories différentes, et ce qui départage n'a rien de juridique : c'est un fait industriel. Si l'usine pouvait redémarrer en trois jours et que la pompe en a imposé seize, alors trois jours relèvent du cyber et seize du dommage. Tout le dossier tient dans un délai de fabrication, et aucune clause ne le dit. La réponse qui s'en remet à un accord entre assureurs décrit ce qui finit parfois par arriver et confond le règlement avec la règle : l'accord se négociera sur cette question de fait, pas à sa place.
Fiche du glossaire →3. Le module parle d'une couture entre l'exclusion cyber d'une police dommages et l'exclusion de dommage matériel d'une police cyber. Que veut dire vivre dessus ?
Que le cyber industriel se loge exactement là où chacune des deux polices renvoie à l'autre, et qu'il faut une reprise expresse pour que l'une réponde
Chaque exclusion est raisonnable prise seule et renvoie le risque au contrat voisin, et le cyber industriel se trouve précisément à l'intersection des deux renvois. C'est la raison d'être de la reprise pour dommage matériel consécutif, qui rouvre expressément ce que l'exclusion cyber avait fermé. Sans elle, l'assuré est couvert par deux polices et indemnisé par aucune, ce qu'aucun tableau de garanties ne montre. Croire à un recouvrement intégral, c'est-à-dire à une double indemnisation, prend le problème à l'envers : le principe indemnitaire interdirait de toute façon d'être payé deux fois du même dommage, mais la difficulté ici est de l'être une fois.
Fiche du glossaire →4. Le module note qu'une attaque industrielle unique s'accumule dans deux portefeuilles à la fois. Quelle en est la conséquence pour les réassureurs ?
Chacun ne voit qu'une fraction d'un évènement unique, et aucune des deux études de cumul ne regarde l'autre moitié
Le dommage part dans le portefeuille dommages, la perte d'exploitation cyber dans le portefeuille cyber, et les deux traités appliquent des clauses d'agrégation différentes. Aucun réassureur ne voit donc l'évènement en entier, et l'exposition réelle est sous-estimée là où l'on croyait la mesurer. La réponse qui parle de double comptage désigne le défaut symétrique et rassurant : surestimer serait un problème de prudence, sous-estimer est un problème de solvabilité, et c'est le second qui se produit ici. Croire à une cession unique suppose qu'un seul contrat paie, ce que le module vient précisément de réfuter.
Fiche du glossaire →5. Le module conclut que l'affectation se joue dans le plan de réponse à incident et non dans le contrat. Pourquoi ?
Parce que la preuve de l'atteinte matérielle est détruite par le redémarrage, et qu'une clause ne peut trancher que ce que l'on est encore capable d'établir
La clause dit ce qui serait couvert si l'on savait ce qui s'est passé ; encore faut-il pouvoir l'établir, et une équipe qui redémarre une ligne efface en quelques heures l'état matériel des organes touchés. Photographier, relever, dater et conserver les pièces déposées coûte peu et se décide avant l'incident, parce que sur le moment personne n'aura ni le temps ni le réflexe. La réponse qui fait primer le plan sur les clauses inverse la hiérarchie : le plan ne change aucun contrat, il conserve simplement les faits sur lesquels les contrats s'appliqueront.
Fiche du glossaire →