Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Un éditeur de logiciels est attaqué, son service s'arrête, et ses clients réclament au titre d'une prestation mal exécutée. Sa police de responsabilité professionnelle ne nomme le cyber nulle part. Que se passe-t-il ?
Elle est susceptible de répondre : elle couvre la faute professionnelle sans distinguer sa cause, et l'incident informatique n'est que la cause. C'est du cyber silencieux au sens plein
La réclamation est contractuelle et porte sur une prestation, non sur un incident : c'est le fait générateur de cette police, quelle que soit la cause. La proposition qui fait du silence une absence de garantie inverse la notion même de cyber silencieux, qui désigne une couverture non voulue et non une exclusion implicite. Celle qui renvoie tout à la police cyber confond la cause et le fait générateur, et conduirait à vider toute police de responsabilité dès qu'un ordinateur est en jeu. Celle sur l'exclusion de guerre importe un raisonnement des polices dommages, où la clause héritée est effectivement le point de bascule, dans une branche où la question ne se pose pas ainsi.
Fiche du glossaire · rc-pro2. Une police de dirigeants porte une exclusion cyber rédigée en termes généraux. Qu'exclut-elle en pratique, et pourquoi est-ce rarement l'intention rédigée ?
Elle exclut une faute de gestion parce que son sujet était informatique : dans cette branche le fait générateur n'est pas l'intrusion mais sa gestion, sous-investissement, notification tardive, information inexacte du marché
La particularité de cette ligne est que la réclamation porte sur une décision et non sur un incident, si bien qu'une clause écrite sur le sujet attrape le mauvais objet. La proposition qui la dit sans effet part d'une observation exacte, cette police ne répond pas d'un dommage technique, et en tire que la clause ne coûte rien, alors qu'elle coûte précisément ce qui reste. Celle sur l'absence de trou suppose un raccord entre deux contrats rédigés par deux assureurs différents, ce que rien n'assure : une police cyber ne reprend pas une faute de gestion. Celle sur les tiers désigne des réclamations réelles mais qui ne sont pas l'objet de cette police, dont l'assuré est le dirigeant.
Fiche du glossaire · do-responsabilite-dirigeants3. Un virement de 480 000 euros part sur un courriel convaincant, sans qu'aucune intrusion n'ait eu lieu. Pourquoi la police de fraude et la police cyber se renvoient-elles le dossier ?
Parce que chacune invoque ce qui lui manque : la police cyber, qu'aucune atteinte au système n'a eu lieu ; la police de fraude, que le virement a été volontairement ordonné par un salarié
Le fait qui produit le renvoi est qu'il ne s'est rien passé de technique : personne n'est entré, quelqu'un a écrit. La proposition sur les sous-limites imagine un désaccord de montant là où le désaccord porte sur la qualification, et un montant ne fait jamais qu'une garantie cesse d'être concernée. Celle sur la fraude interne énonce une restriction que ces polices ne portent pas toutes et manque la vraie objection, qui est le caractère volontaire de l'ordre. Celle sur l'attribution transpose une question des polices dommages, où elle décide d'une exclusion de guerre, dans un dossier où aucun État n'est en cause.
Fiche du glossaire · bec-fraude-virement4. Hors des polices dommages, sous quelle forme le cyber silencieux se manifeste-t-il presque toujours, et qu'est-ce que cela coûte à l'assuré ?
Rarement en refus franc et presque toujours en discussion entre deux assureurs du même assuré, chacun désignant l'autre : le coût est le délai, et un délai de dix-huit mois sur une trésorerie fragile produit un dommage propre que personne n'indemnise
Le préjudice réel de ces situations est temporel avant d'être financier, et c'est ce que la leçon ajoute à la liste des quatre lignes. La proposition sur le refus franc décrit ce qui arriverait si les clauses étaient nettes, ce qu'elles ne sont pas sur ces lignes, et manque donc le cas ordinaire. Celle sur la réduction proportionnelle invente un partage que personne n'a convenu : deux assureurs en désaccord sur la qualification ne s'accordent pas sur des parts. Celle qui tient l'assuré à l'écart se trompe sur qui attend : c'est lui qui attend, et il attend sans savoir combien de temps.
Fiche du glossaire · silent-cyber5. Un tiers dont les données personnelles ont fui réclame à l'assuré. La police de responsabilité civile générale ne dit rien du cyber. Sur quelles notions la discussion se déplace-t-elle ?
Sur des notions écrites pour autre chose : y a-t-il un dommage, est-il matériel, immatériel, consécutif ou non consécutif, et la donnée d'un tiers est-elle un bien
Une police muette ne cesse pas de fonctionner, elle fonctionne avec son vocabulaire d'origine, et c'est ce vocabulaire qui décide. La proposition sur la faute retient une condition nécessaire et l'érige en question unique : établie, elle laisse entière celle de savoir de quel dommage on répond. Celle sur la base réclamation désigne un mécanisme réel de cette branche, qui décide du contrat saisi et non de ce qu'il couvre. Celle qui renvoie à la police dommages suppose une position de programme là où chaque contrat porte la sienne, ce qui est précisément le défaut que l'inventaire des polices existe pour rendre visible.
Fiche du glossaire · exfiltration-donnees