L'exclusion de guerre ne dit rien du numérique, et c'est tout le problème. Elle a été écrite pour retirer de la garantie un risque jugé non mutualisable, celui de la belligérance entre États, à une époque où un acte de guerre se reconnaissait à ses moyens : des troupes, des frontières, une déclaration. Elle figure encore dans des polices dommages souscrites bien avant que le cyber ne soit traité comme un risque distinct. Appliquée à une attaque informatique conduite ou parrainée par un État, elle demande à un texte conçu pour des chars de qualifier un logiciel, et la question n'est pas de savoir si cela se plaide mais de savoir qui supporte l'incertitude.
Le marché a appris cette leçon sur un cas réel. L'attaque NotPetya de 2017 a été attribuée par les gouvernements américain et britannique au renseignement militaire russe, et plusieurs assurés ont cherché à mobiliser des polices dommages classiques qui ne mentionnaient pas le cyber, phénomène connu sous le nom de silent cyber. Les assureurs ont opposé l'exclusion de guerre héritée. Deux procès américains en sont sortis, et ils ne se sont pas terminés de la même façon. Mondelez contre Zurich a été transigé en 2022, en cours de procès, sans jugement au fond. Merck, lui, a été jugé : en 2023, la cour d'appel du New Jersey a retenu que l'exclusion héritée, rédigée pour la guerre traditionnelle, ne visait pas cette attaque et a donné raison à l'assuré, avant une transaction conclue devant la Cour suprême de l'État. La leçon n'est pas qu'une exclusion de guerre ne joue jamais en cyber. Elle est que sa rédaction héritée fait porter l'aléa juridique à l'assureur, puisqu'une exclusion est une défense et que la charge de la preuve suit celui qui l'invoque.
La réponse du marché a été de réécrire la clause plutôt que de la plaider. Lloyd's of London a imposé en août 2022, par le Market Bulletin Y5381, l'insertion d'une exclusion de cyber-guerre dans toutes les polices cyber autonomes souscrites par ses syndicats à compter du 31 mars 2023. La Lloyd's Market Association avait publié en novembre 2021 quatre clauses modèles, LMA 5564 à LMA 5567, qui se distinguent par l'étendue de la couverture qu'elles conservent, de l'exclusion totale de la LMA 5564 aux réintégrations les plus larges de la LMA 5567. En janvier 2023, elle les a remplacées par huit textes, une version A et une version B de chacune, et la seule différence entre A et B porte précisément sur le point où tout se joue : le traitement de l'attribution.
C'est là que deux règles se rencontrent. Les versions A contiennent un accord sur la manière d'attribuer une opération cyber à un État : l'assuré et l'assureur examinent les éléments de preuve objectivement raisonnables dont ils disposent, parmi lesquels peut figurer une attribution officielle par le gouvernement de l'État où se trouve le système touché, et la charge de la preuve reste à l'assureur. Ce sont elles qui satisfont au bulletin Y5381 pour les polices cyber autonomes. Les versions B ne contiennent aucun accord de ce genre, et l'attribution se prouve alors selon le droit applicable au contrat, sans méthode convenue. Sur le même fait, avec le même assuré et le même dommage, ces deux rédactions n'ouvrent pas le même débat. La première donne une place particulière à un acte politique accompli par un tiers ; la seconde laisse la question entière au juge ou à l'arbitre. Aucune des deux n'est neutre, et le choix entre elles n'est pas un détail de rédaction, c'est le partage du risque juridique.
L'asymétrie la plus coûteuse est temporelle. Une attribution publique est un acte diplomatique, avec son propre calendrier, décidé pour des raisons étrangères au sinistre : elle peut arriver quelques semaines après les faits, plusieurs années après, ou jamais. Une clause qui donne du poids à cet acte hérite de ce calendrier. Un assureur peut alors invoquer une attribution survenue après la clôture du dossier, et une transaction signée sur la foi d'une absence d'attribution se trouve fragilisée. À l'inverse, certains États parrainent délibérément des groupes criminels en entretenant l'ambiguïté sur leur statut, ce qui rend l'attribution structurellement indisponible et laisse indéfiniment ouverte une question dont dépend le paiement.
Vient ensuite la tour de garanties, où l'écart devient invisible. Les lignes excédentaires suivent la ligne primaire, mais seulement jusqu'où leurs propres exclusions le permettent. Une tour assemblée sur trois renouvellements, avec plusieurs porteurs, peut très bien porter une version A sur la primaire et une version B sur une ligne haute, ou une LMA 5567 en bas et une LMA 5564 en haut. Le même fait est alors couvert en bas et exclu en haut, et l'assuré découvre le trou au moment où il en a besoin. Un tableau de placement qui aligne des capacités et des primes ne montre jamais cela : il faudrait aligner les rédactions, ce que peu de tableaux font.
Enfin, une même attaque se présente souvent sous deux contrats à la fois, et ils ne portent pas la même clause. Une police dommages antérieure au mouvement d'affirmation cyber comporte une exclusion de guerre héritée et aucune exclusion cyber ; une police cyber autonome récente comporte une clause de cyber-guerre moderne. Le sinistre est alors instruit deux fois, sur deux définitions différentes de la guerre, et rien ne garantit que les deux assureurs retiennent la même qualification de la cause première. L'ordre dans lequel l'assuré présente sa réclamation cesse d'être une question de procédure et devient une question de fond.
Un groupe industriel français exploite une filiale dans un pays voisin d'un conflit armé. Le 8 avril, un logiciel d'effacement se propage par la mise à jour d'un logiciel comptable local et détruit l'ERP du groupe, y compris en France. La perte d'exploitation est chiffrée à 18 millions d'euros. Douze millions sont présentés sous une police dommages souscrite en 2019 sur le marché français et reconduite tacitement depuis, qui ne mentionne pas le cyber et porte une exclusion de guerre héritée. Six millions sont présentés sous une police cyber autonome souscrite en 2024, portant une clause de la famille LMA 5564 à 5567 dans sa version A, qui fait examiner par les parties les éléments de preuve objectivement raisonnables, dont une attribution officielle par le gouvernement de l'État où se trouve le système touché. Le 2 septembre, deux gouvernements étrangers attribuent publiquement l'attaque à un service de renseignement étatique. Les deux assureurs opposent l'exclusion de guerre.
L'attribution du 2 septembre paraît trancher les deux dossiers d'un coup, et c'est précisément le raisonnement qui coûte cher, parce que les deux contrats ne lui donnent pas le même rôle. Sur la police cyber de 2024, l'attribution est au cœur de l'exclusion sans en être une condition formelle : la clause fait peser les éléments objectivement raisonnables, et l'attribution officielle qu'elle cite est celle du gouvernement de l'État où se trouve le système touché, ici la France pour l'ERP du groupe. Une déclaration conjointe de deux gouvernements étrangers est un élément de poids, pas celui que la clause désigne, et la charge de la preuve reste à l'assureur. La discussion porte donc sur la qualité des éléments et sur leur date, non sur la réalité de l'attaque. Sur la police dommages de 2019, une question vient avant la guerre : la destruction d'un ERP est-elle un dommage matériel au sens de la police ? Pour la plupart des rédactions, des données effacées n'en sont pas un, et sans dommage matériel il n'y a pas de perte d'exploitation à exclure. Si la police franchit ce premier seuil, l'attribution n'y joue aucun rôle contractuel : la clause parle de guerre et d'hostilités, notions que le contentieux issu de NotPetya a jugées mal ajustées à une cyberattaque, et l'exclusion étant une défense, la charge pèse sur l'assureur. L'attribution y devient un argument de fait, pas une condition remplie. Le réflexe consistant à présenter d'abord le sinistre sous la police la plus large est donc à rebours du dossier : ce sont les 12 millions de la police de 2019, celle dont l'exclusion est la plus fragile, qui portent l'enjeu, et c'est là que se joue la qualification de la cause première. La date compte enfin autant que le fait : si la clause fait peser une attribution officielle sans dire à quel moment elle doit exister, une attribution survenue après un règlement peut être opposée, et une transaction signée en juillet sur la foi d'une absence d'attribution s'en trouve fragilisée. Ce que ce dossier apprend n'est pas qu'il faudrait une clause plus favorable, mais qu'une tour dont les lignes ne portent pas la même définition de l'attribution n'est pas une tour, ce sont deux garanties superposées.
- 01Une exclusion de cyber-guerre qui s'appuie sur l'attribution lie l'issue du sinistre au calendrier diplomatique d'un tiers, qui peut être plus lent que le règlement.
- 02Les clauses LMA 5564 à 5567 se distinguent par la couverture qu'elles conservent ; leurs versions A conviennent d'une méthode d'attribution, les versions B n'en contiennent aucune : même fait, deux débats.
- 03L'exclusion de guerre est une défense : sur une rédaction héritée du vingtième siècle, la charge de la preuve reste chez l'assureur, et le contentieux issu de NotPetya l'a montré.
- 04Une tour dont les lignes ne portent pas la même définition de l'attribution ouvre un trou que le tableau des capacités ne montre jamais.