Une police cyber et un traité de réassurance ne comptent pas la même chose, et c'est de cet écart que naissent la plupart des surprises de fin d'exercice. La police se déclenche assuré par assuré : elle a son fait générateur, son délai de carence, sa franchise, et elle ignore tout des autres assurés du portefeuille. Le traité en excédent de sinistres par évènement, lui, ne connaît pas les assurés. Il connaît un évènement, une priorité et une portée. Ce qui relie ces deux comptabilités n'est pas la réalité de l'attaque mais une clause de rédaction, la clause d'agrégation, qui dit à quelles conditions des sinistres juridiquement distincts n'en forment plus qu'un seul aux yeux du réassureur. Tant qu'on ne l'a pas lue, on ne sait pas ce qu'on a acheté.
Cette clause n'a pas été écrite pour le cyber. Elle vient des périls physiques, où un évènement possède une durée observable : une tempête traverse un territoire, un séisme se produit, ses répliques s'espacent, une émeute s'éteint. On borne alors l'évènement par une fenêtre temporelle, souvent soixante-douze heures pour un vent et davantage pour d'autres périls selon les traités, et tout ce qui tombe dans la fenêtre s'agrège. Le procédé est robuste parce que la borne temporelle épouse une réalité physique : passé le délai, le péril a matériellement cessé d'agir. La transposition au cyber a conservé la forme de la clause en perdant exactement ce qui la fondait.
Car un évènement cyber n'a pas de durée naturelle. La propagation y est logique et non géographique : un implant peut dormir des semaines avant d'être activé, un chiffrement se déclencher par vagues successives selon les fuseaux horaires ou selon la valeur des cibles, et un mécanisme de persistance rejouer l'attaque après une restauration que tout le monde croyait acquise. Rien de tout cela n'est une pathologie du sinistre. C'est le mode opératoire, et il est choisi par l'attaquant précisément parce qu'il maximise l'effet et complique la réponse. La conséquence pour le traité est brutale : la durée de l'évènement, qui était une donnée de la nature en péril naturel, devient en cyber une variable que l'adversaire contrôle en partie.
L'heure de départ de la fenêtre est élective. C'est la cédante qui la choisit, elle la choisit une fois, et ce choix ne se refait pas. Il faut en tirer la conséquence qui heurte l'intuition : ce choix ne se raconte pas, il se calcule. La seule question utile est de savoir quelle position de la fenêtre maximise le recouvrement net, et la position optimale n'est presque jamais celle du fait le plus visible. Une cédante qui fait partir sa fenêtre au moment où la presse a nommé l'attaque, ou au moment où son propre centre opérationnel a ouvert une cellule de crise, a laissé un tiers écrire sa clause à sa place. Le bon réflexe est de dresser la chronologie horodatée des sinistres avant de choisir, et de faire glisser la fenêtre sur cette chronologie.
Agréger n'est pas non plus toujours favorable, et c'est le second contresens courant. Un évènement unique, c'est une seule priorité à supporter, mais c'est aussi une seule portée à consommer. Dès que le cumul des sinistres dépasse la portée de la tranche, l'excédent retombe intégralement sur la cédante, qui a payé une priorité pour un plafond qu'elle a crevé. Découper les mêmes faits en deux évènements coûte une seconde priorité et peut, au-delà d'un certain niveau de perte, rapporter davantage, à la condition que la seconde grappe atteigne à son tour la priorité. Il n'existe donc pas de position favorable par principe. Il existe une arithmétique, et elle change de réponse selon le montant atteint et selon le nombre de reconstitutions disponibles.
S'ajoute un décalage que la lecture du seul traité ne révèle jamais, celui des polices sous-jacentes. Chaque police porte son propre délai de carence, et ce délai court sur l'assuré, pas sur l'évènement. Une police dont la carence n'est pas atteinte ne produit aucun sinistre indemnisable, donc rien à céder, alors même que l'attaque se situe au milieu de la fenêtre d'agrégation. À l'inverse, une police dont la carence court fait naître son sinistre après la fermeture de la fenêtre, et ce sinistre bien réel se retrouve orphelin d'évènement. Deux horloges tournent, l'une sur le portefeuille et l'autre sur chaque assuré, elles ne sont synchronisées par rien, et l'écart entre elles se creuse précisément sur les dossiers les plus lents, qui sont aussi les plus lourds.
Reste la question qui décide de tout et qui ne se plaide pas utilement après coup : l'évènement s'ancre-t-il sur la cause ou sur la manifestation ? Une rédaction qui l'ancre sur la compromission initiale fait courir la fenêtre depuis une intrusion souvent antérieure de plusieurs mois aux premiers dommages, ce qui peut la refermer avant que le moindre sinistre ne survienne, et vider la protection sans qu'aucune exclusion n'ait été invoquée. Une rédaction qui l'ancre sur la manifestation produit l'effet inverse et laisse une compromission unique engendrer autant d'évènements que de vagues, donc autant de priorités. Les deux rédactions existent, elles se ressemblent à la lecture rapide, et l'écart entre elles se chiffre en dizaines de millions sur un même sinistre. C'est une phrase de placement, pas une phrase de sinistre.
Une cédante européenne protège son portefeuille cyber par un traité en excédent de sinistres par évènement, 30 millions d'euros de portée au-delà d'une priorité de 10 millions, avec une fenêtre d'agrégation de cent soixante-huit heures dont l'heure de départ est au choix de la cédante. Un éditeur de logiciel de facturation utilisé par une partie du portefeuille est compromis le 14 janvier, et la compromission reste dormante. Le 3 mars à 02h10 UTC, le chiffrement se déclenche et frappe quarante assurés entre le 3 et le 5 mars, pour 22 millions d'indemnités. L'éditeur restaure son service le 9 mars. Le 12 mars, un mécanisme de persistance réactive l'attaque et touche vingt-cinq autres assurés jusqu'au 14 mars, pour 9 millions. La cédante déclare un évènement unique, heure de départ le 3 mars à 02h10.
Un attaquant, une compromission, une vulnérabilité : tout pousse à déclarer un évènement unique, et c'est là l'erreur que fait un professionnel compétent. La fenêtre de cent soixante-huit heures ouverte le 3 mars à 02h10 se referme le 10 mars à 02h10. La seconde vague, du 12 au 14 mars, tombe donc hors fenêtre quoi qu'on écrive dans la déclaration, et aucune position de la fenêtre ne sauve les deux vagues puisque onze jours séparent le 3 du 14 mars. Le premier évènement cède 22 millions, dont 12 recouvrés au-delà de la priorité de 10. Les 9 millions de la seconde vague forment un second évènement qui n'atteint jamais sa propre priorité et reste intégralement conservé. La cédante conserve donc 19 millions sur 31, alors qu'elle croyait en conserver 10. Le travail utile n'est pas de plaider l'unité de l'attaque, qui est perdue d'avance sur la chronologie, mais de chercher si la seconde grappe peut s'agréger avec d'autres sinistres de sa propre semaine et de vérifier les reconstitutions disponibles. Et le vrai piège est ailleurs, dans la date du 14 janvier : si la rédaction ancre l'évènement sur la cause et non sur la manifestation, la fenêtre a couru du 14 au 21 janvier et s'est refermée six semaines avant le premier dommage, auquel cas les 31 millions sont conservés en totalité. Cette phrase-là se négocie au placement, jamais au sinistre.
- 01L'heure de départ d'une fenêtre d'agrégation se calcule sur le recouvrement net ; elle ne se déduit pas de la chronologie du récit ni de la date où l'attaque a été nommée.
- 02Un évènement unique économise une priorité mais ne consomme qu'une portée : au-delà d'un certain cumul, découper en deux évènements rapporte davantage.
- 03Le délai de carence court sur chaque assuré et la fenêtre d'agrégation sur le portefeuille : rien ne synchronise ces deux horloges, et l'écart se creuse sur les dossiers les plus lourds.
- 04Ancrer l'évènement sur la cause plutôt que sur la manifestation peut refermer la fenêtre avant le premier dommage, sans qu'aucune exclusion n'ait été invoquée.