Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Après NotPetya en 2017, un industriel de l'agroalimentaire cherche à activer sa police dommages tous risques, qui ne mentionne pas le cyber. Son assureur oppose une exclusion d'acte de guerre. Qu'a cristallisé ce contentieux ?
Le fait qu'une police muette sur le cyber engage tout de même une discussion sur sa garantie
Le silent cyber est l'exposition au risque cyber contenue de façon implicite dans des polices traditionnelles, dommages, responsabilité ou pertes d'exploitation, conçues avant que le cyber ne soit traité comme un risque distinct, et dont les conditions ne le mentionnent ni ne l'excluent. Le contentieux qui a suivi NotPetya montre exactement ce que cela produit : ni l'assureur ni l'assuré ne pouvaient s'appuyer sur un texte qui traite la question, si bien que le débat s'est déplacé sur une clause écrite pour autre chose, l'exclusion d'acte de guerre. Le point à retenir tient moins à qui avait raison qu'au silence, qui ne protège personne : il ne vaut ni couverture ni exclusion, il vaut procès. Le problème est double pour l'assureur, qui porte une exposition non mesurée donc non provisionnée, et un risque d'accumulation puisqu'un même évènement peut déclencher des sinistres simultanés sur plusieurs branches. C'est ce constat qui a conduit le marché de Lloyd's, à partir de 2019, à exiger que chaque police se prononce.
Fiche du glossaire →2. Une garantie cyber affirmative se distingue d'une police muette par ce qu'elle écrit. Que gagne l'assureur, précisément, à ce que le contrat se prononce ?
La capacité de mesurer et de provisionner son exposition réelle
L'affirmation cyber désigne la couverture explicitement prévue, décrite et tarifée, par opposition au silent cyber où l'exposition n'est ni mentionnée ni exclue. Une garantie affirmative nomme les évènements couverts, atteintes aux systèmes, violations de données, extorsions, pertes d'exploitation d'origine numérique, et nomme aussi les exclusions, les sous-limites et les conditions de mise en jeu. Ce que l'assureur y gagne n'est pas une réduction du risque, et c'est le contresens qu'il faut écarter : le nombre d'attaques ne change pas parce qu'un contrat est mieux écrit. Ce qu'il gagne est la mesure. Une exposition nommée se compte, se provisionne, s'agrège au niveau du portefeuille et se cède en réassurance ; une exposition muette ne peut rien de tout cela, et se découvre au sinistre. Le mouvement vers l'affirmation, impulsé par les autorités prudentielles et par Lloyd's à partir de 2019, visait exactement cela, et l'assuré y gagne de son côté une sécurité juridique qu'aucun silence ne lui donnait.
Fiche du glossaire →3. Le 19 juillet 2024, une mise à jour défectueuse de CrowdStrike met 8,5 millions de systèmes Windows hors service, sans attaquant ni intention hostile. Des assureurs constatent que leurs clauses d'exclusion cyber, rédigées entre 2019 et 2023, ne leur permettent pas de refuser. Pourquoi ?
Ces clauses visaient la cyberattaque et l'acte hostile intentionnel, absents ici
La première vague de clarification, celle de 2019, a résolu le silence sur le cyber malveillant et l'a laissé entier sur le reste. Les rédactions de cette génération décrivent un déclencheur : cyberattaque, accès non autorisé, acte intentionnel hostile. Or CrowdStrike ne présente aucun de ces éléments, ce qui n'est pas un détail de qualification mais la nature même de l'événement : un fichier de configuration défectueux, poussé par l'éditeur lui-même à travers un canal parfaitement légitime, sur des machines dont personne n'avait forcé l'accès. Le déclencheur n'étant pas rencontré, l'exclusion ne mord pas, et la garantie répond. On tient là un enseignement qui dépasse le cas : une exclusion se lit sur son déclencheur et non sur son intitulé, et le mot cyber dans un titre de clause ne dit rien de ce qu'elle exclut vraiment. C'est cette constatation qui a nourri les révisions en cours depuis 2025, dont la LMA 9341, qui cherchent à couvrir l'ensemble du spectre plutôt que le seul versant malveillant. Les trois autres réponses inventent des règles qui n'existent pas : ni le nombre d'assurés touchés, ni l'existence d'un recours contre un tiers, ni un régime d'approbation ne neutralisent une clause d'exclusion.
Fiche du glossaire →4. Deux incendies identiques détruisent deux salles de serveurs. Le premier vient d'une surchauffe provoquée par un intrus qui a pris la main sur la régulation de température ; le second, d'une panne logicielle de cette même régulation. Les deux polices dommages portent la LMA 5400. Qu'est-ce qui décide de la couverture ?
L'établissement de l'intention malveillante, qui sépare l'acte cyber de l'incident cyber
La LMA 5400 exclut la perte liée à un acte cyber, c'est-à-dire à un acte malveillant passant par un système informatique, puis réintègre par write-back les dommages matériels de feu ou d'explosion résultant d'un incident cyber non malveillant. Deux sinistres physiquement identiques reçoivent donc deux sorts opposés, et le seul élément qui les sépare est l'intention. C'est une singularité qu'il faut avoir en tête, parce qu'elle déplace le centre de gravité du sinistre : la question n'est plus d'évaluer un dommage, elle est d'établir un fait sur lequel l'expertise technique se prononce mal. L'analyse forensique lit des journaux, des séquences de commandes, des traces d'accès, et elle sait souvent dire ce qui s'est passé sans pouvoir dire pourquoi ; l'intrusion peut être ancienne, la manipulation peut ressembler à une opération de maintenance, et la charge de la preuve devient la vraie question du dossier. La LMA 5401, qui exclut les deux cas sans exception, achète la sécurité juridique au prix de la couverture, et le choix entre les deux rédactions se fait les yeux ouverts. Les autres réponses introduisent des critères que le texte ne porte pas : le write-back de la LMA 5400 ne dépend ni d'un seuil, ni du secteur de la victime, ni d'une règle de survenance particulière.
Fiche du glossaire →5. En août 2018, une variante de WannaCry, introduite chez TSMC par un outil de fournisseur installé sans analyse, arrête plusieurs lignes de production et coûte environ 170 millions de dollars, presque entièrement en production perdue. La police dommages porte la LMA 5400 et son write-back feu et explosion. Que couvre ce write-back ici ?
Rien, faute de dommage matériel de feu ou d'explosion à réintégrer
Un write-back se lit deux fois : sur ce qu'il qualifie, et sur ce qu'il rend. La première lecture est déjà incertaine ici : personne ne visait TSMC, mais le code était malveillant, et la LMA 5400 retire son write-back à tout incident lié à un acte cyber malveillant. La seconde ferme la porte quoi qu'on décide sur la première : ce que la LMA 5400 réintègre, ce sont les dommages matériels causés par le feu ou l'explosion, et le sinistre de TSMC n'en comporte pas. Les 170 millions sont de la production non réalisée, un préjudice financier que la réintégration ne vise à aucun moment. Passer la première marche ne dit donc rien du résultat, et confondre les deux lectures est l'erreur classique sur cette clause. La leçon est utile bien au-delà : dans la plupart des sinistres cyber industriels, le poste dominant n'est pas un dommage matériel mais un arrêt, ce qui rend un write-back adossé au feu et à l'explosion nettement plus étroit qu'il n'en a l'air. Il faut aussi noter que la couverture de cette perte, si elle existe, viendra d'ailleurs, d'une garantie de perte d'exploitation dont le déclencheur ne suppose pas de dommage matériel, et l'articulation de ces deux contrats est exactement le sujet de la coordination de programme.
Fiche du glossaire →6. En 2018, après deux exercices déficitaires consécutifs, Lloyd's lance Decile 10 et impose un plan de redressement sur les dix pour cent de lignes les plus mauvaises de chaque syndicat. Un syndicat constate alors que ses polices dommages ne mentionnent le cyber ni pour l'inclure ni pour l'exclure. Pourquoi est-ce un problème de souscription, et pas seulement de rédaction ?
Parce que le syndicat porte une exposition qu'il n'a ni tarifée ni comptée dans ses accumulations
Le silent cyber est une exposition sans compteur, pas une imprécision de style. Une police qui ne dit rien du cyber ne cesse pas de couvrir : elle laisse au juge, et donc à l'issue d'un contentieux, le soin de dire si le dommage entre dans la définition générale des périls garantis. Du côté de l'assureur, cette exposition est invisible à tous les endroits où il regarde : elle n'est pas dans la prime, puisqu'aucun élément de tarif ne la vise ; elle n'est pas dans les états d'accumulation, puisque rien ne permet de la marquer ; elle n'est pas dans les cessions en réassurance, puisqu'on ne cède pas ce qu'on n'a pas identifié. Decile 10 n'a pas créé la règle sur le cyber, il a créé le contexte : quand la Corporation contraint un syndicat déficitaire à expliquer d'où viennent ses pertes, une exposition qu'aucun système ne mesure devient intenable à défendre. Le bulletin de marché de 2019, qui a exigé que chaque police se prononce sur le cyber dans un sens ou dans l'autre, sort de cette séquence. Les trois autres réponses supposent qu'un silence produit un effet juridique tranché, en faveur de l'un ou de l'autre : c'est précisément ce que le silence ne fait pas, et c'est là toute la difficulté.
Fiche du glossaire →