Dans un système d'information ordinaire, une attaque détruit des données et arrête une activité, mais rien ne casse physiquement. Dans un système industriel, la même attaque commande des actionneurs, des vannes, des disjoncteurs, et elle peut donc casser quelque chose. Cette différence, qui semble d'abord technique, décide en réalité de quel contrat répond, de quel portefeuille porte la perte, et par conséquent de quel traité la reçoit. Elle est tranchée par un fait matériel qu'aucune clause ne contient et qu'une expertise établira des semaines plus tard, alors que la décision de branche, elle, se prend dans les premiers jours.
La raison tient à la construction des deux contrats. Une police dommages se déclenche sur une atteinte matérielle à un bien assuré, et sa garantie de perte d'exploitation est adossée à cette atteinte : elle indemnise l'arrêt qui découle du dommage. Une police cyber autonome se déclenche sur un évènement de sécurité et porte une perte d'exploitation qui n'a besoin d'aucun dommage matériel. Sur une attaque industrielle, l'arrêt est le même, la durée est la même, les salariés sont chômés de la même façon, et pourtant deux contrats différents peuvent le prendre en charge selon qu'un métal a cédé ou non.
La conséquence la plus contre-intuitive est qu'une attaque plus grave peut être mieux couverte qu'une attaque moins grave. Si une pompe est détruite, la police dommages s'ouvre, et avec elle une garantie de perte d'exploitation souvent large, calibrée sur des sinistres industriels classiques. Si la même attaque se contente d'arrêter la ligne sans rien détruire, il ne reste que la police cyber, dont les montants sont fréquemment d'un autre ordre. La sévérité physique et l'étendue de la garantie ne varient donc pas dans le même sens, ce qui heurte l'intuition de tout le monde, y compris celle du souscripteur qui a placé les deux contrats.
L'effet inverse existe et il est plus dangereux, parce qu'il produit un trou au lieu d'un surplus. Depuis le mouvement d'affirmation, beaucoup de polices dommages portent une exclusion cyber, et beaucoup de polices cyber excluent le dommage matériel aux biens. Entre ces deux exclusions il reste une couture, et le cyber industriel vit exactement dessus. Un assuré qui détient les deux contrats peut se trouver sans garantie précisément parce qu'il a acheté les deux, chacun renvoyant à l'autre le sinistre que l'autre exclut. La couture ne se voit qu'en lisant les deux textes côte à côte, ce que personne ne fait au moment du placement puisque les deux contrats sont négociés par des équipes différentes.
Vient alors la conséquence de cumul, et c'est elle qui intéresse un réassureur. Une attaque industrielle unique s'accumule simultanément dans le portefeuille dommages et dans le portefeuille cyber. Or l'étude de cumul du portefeuille cyber ne voit que sa moitié, et celle du portefeuille dommages ne voit que la sienne. Les deux portefeuilles ont des définitions d'évènement différentes, des clauses d'agrégation différentes, souvent des réassureurs différents, et personne ne calcule la somme parce qu'aucun outil n'est construit pour la calculer. Le silent cyber n'est pas seulement une exposition non tarifée : c'est un cumul invisible qui traverse les branches, et l'invisibilité est le vrai défaut, plus encore que l'absence de prime.
S'ajoute un problème de preuve qui aggrave tout le reste. Établir qu'un dommage matériel a bien pour cause l'attaque suppose une expertise sur des systèmes industriels dont les cycles de vie s'étalent sur quinze à trente ans, conçus pour des réseaux isolés et dépourvus de journalisation sérieuse. La preuve qui décide de la branche est donc précisément celle qui a le plus de chances de ne pas exister. Et le premier réflexe d'un exploitant, qui est de redémarrer la production, détruit ce qu'il en restait : on remplace la pompe, on réinitialise l'automate, et la trace part avec.
Il faut en tirer une conclusion qui déplace le sujet hors du droit des contrats. La branche qui portera un sinistre de cyber industriel est décidée par des éléments recueillis dans les premières heures, par des gens dont le métier est de faire repartir l'usine et non de conserver un dossier. Autrement dit, l'affectation entre la police dommages et la police cyber se joue dans le plan de réponse à incident, des mois avant qu'un expert n'ouvre le moindre contrat. C'est une phrase qui se vérifie dans les faits : un exploitant qui a prévu de photographier, d'horodater et d'isoler avant de redémarrer conserve le choix ; celui qui ne l'a pas prévu se le fait dicter par l'absence de preuve.
Un producteur de produits chimiques exploite une ligne pilotée par un système SCADA. Le 12 mars à 03h00, un attaquant parvient au SCADA depuis le réseau bureautique et modifie les consignes de plusieurs vannes. Une charge de réacteur est perdue et une pompe est détruite par cavitation. La production s'arrête dix-neuf jours. Le dommage matériel est chiffré à 0,4 million d'euros, la perte d'exploitation à 14 millions. Le groupe détient deux contrats : une police dommages de 2023, dont la perte d'exploitation découle d'un dommage matériel garanti, et qui porte une exclusion cyber assortie d'une reprise pour le dommage matériel consécutif ; et une police cyber autonome de 2025, qui couvre la perte d'exploitation après un évènement de sécurité mais exclut le dommage matériel aux biens. Le groupe présente l'intégralité du sinistre sous la police cyber, au motif qu'il s'agit d'une cyberattaque.
Présenter le sinistre sous la police cyber parce que la cause est cyber est l'erreur, et c'est celle que fait un professionnel compétent, parce qu'elle est logique. On n'aiguille pas par la cause, on aiguille par la conséquence, et les deux contrats ont été rédigés pour se rejoindre exactement à cet endroit. La reprise pour dommage matériel consécutif rouvre la police dommages sur la pompe et sur la charge perdue, et la perte d'exploitation qui découle de ce dommage suit la même police. La police cyber, elle, exclut le dommage matériel, donc les 0,4 million n'y sont pas, et sa garantie de perte d'exploitation répond à l'indisponibilité du système. Les mêmes 14 millions sont donc réclamables sous deux contrats, sur deux théories différentes, et le partage se joue sur une question qui n'a rien de juridique : l'usine serait-elle restée arrêtée dix-neuf jours du seul fait de l'indisponibilité du SCADA, ou le délai d'approvisionnement de la pompe a-t-il été le chemin critique ? Si l'usine pouvait redémarrer en trois jours et que la pompe en a imposé seize, alors trois jours relèvent du cyber et seize du dommage. Tout le dossier tient dans un délai de fabrication de pompe, et aucune clause ne le dit. Le piège de la démarche du groupe est ailleurs et il est durable : présenter d'abord sous la police cyber n'éteint rien du côté dommages, mais installe chez l'expert un récit de causalité centré sur l'indisponibilité, qu'il faudra ensuite défaire. Et pendant ce temps, les deux assureurs cèdent dans deux portefeuilles aux clauses d'agrégation différentes, de sorte que chaque réassureur ne voit qu'une fraction d'un évènement unique.
- 01On aiguille un sinistre de cyber industriel par la conséquence et non par la cause : la question est de savoir si un bien a été matériellement atteint.
- 02Une attaque qui casse quelque chose peut ouvrir une garantie plus large qu'une attaque qui se contente d'arrêter la ligne : sévérité et étendue de garantie ne varient pas dans le même sens.
- 03Entre l'exclusion cyber d'une police dommages et l'exclusion de dommage matériel d'une police cyber, il reste une couture, et le cyber industriel vit dessus.
- 04Une attaque industrielle unique s'accumule dans deux portefeuilles à la fois, et aucune des deux études de cumul ne voit l'autre moitié.
- 05La preuve qui décide de la branche est détruite par le redémarrage : l'affectation se joue dans le plan de réponse à incident, pas dans le contrat.