Les quatre clauses LMA 5564 à 5567 ne sont pas nées d'une réflexion théorique sur la guerre numérique. Elles sont nées d'un sinistre, d'un contentieux perdu et d'une injonction du Lloyd's, dans cet ordre, et chacune de ces trois étapes a laissé sa marque dans le texte. Comprendre d'où elles viennent, c'est comprendre pourquoi elles parlent autant de preuve et si peu de chars, et pourquoi la question qui les traverse n'est pas « qu'est-ce que la guerre ? » mais « qui a le droit de dire qu'il y en a une ? ». C'est une question de risque politique posée à l'intérieur d'un contrat cyber.
Le point de départ est l'exclusion de guerre classique. Le marché de Londres l'écrit depuis la clause NMA 464 de 1938 : la police ne couvre pas les pertes causées par la guerre, l'invasion, les hostilités ou les opérations guerrières, déclarées ou non. Ce texte suppose qu'un acte de guerre se reconnaît à ses moyens, des troupes et des frontières, et qu'il est commis par un État identifiable. Il a traversé des décennies sans difficulté majeure parce que personne ne doutait qu'un bombardement en était un. Il figure encore, sous des rédactions voisines, dans la plupart des polices dommages, qui ne disaient rien du cyber ni pour le couvrir ni pour l'exclure.
Le 27 juin 2017, le logiciel NotPetya se propage à partir de la mise à jour d'un logiciel comptable ukrainien et détruit les systèmes de groupes du monde entier. En février 2018, les gouvernements britannique et américain l'attribuent publiquement à l'armée russe. Deux victimes, le groupe pharmaceutique Merck et le groupe agroalimentaire Mondelez, présentent leurs pertes sous des polices dommages tous risques ; leurs assureurs opposent l'exclusion de guerre. Mondelez et Zurich transigent en 2022 sans jugement au fond. Merck, lui, obtient un jugement : le 1er mai 2023, la division d'appel du New Jersey confirme que l'exclusion des actions hostiles ou guerrières suppose un lien avec une action militaire, ce qu'une attaque informatique contre une entreprise civile n'est pas. L'affaire se transige le 3 janvier 2024, à la veille de l'audience devant la Cour suprême de l'État.
La leçon que le marché en tire est double. D'abord, une exclusion héritée ne se plaide pas contre une attaque informatique avec une chance raisonnable de succès, parce qu'elle est une défense et que l'assureur qui l'invoque porte la preuve. Ensuite, l'attribution publique de 2018, qui semblait trancher la question, n'a joué aucun rôle contractuel : le texte des polices ne lui en donnait aucun. Entre-temps, le Lloyd's avait exigé par le bulletin Y5258 de juillet 2019 que toute police affirme ou exclue clairement le cyber. Le silence n'était plus une option ; restait à écrire ce qu'on excluait, et à quelle condition.
La Lloyd's Market Association publie le 25 novembre 2021 quatre clauses modèles, sous la référence LMA21-042-PD : LMA 5564, exclusion guerre, cyberguerre et opération cyber n° 1, puis trois clauses n° 2 à n° 4 qui excluent de moins en moins et rétablissent de plus en plus de garantie. Leur nouveauté est de faire de l'attribution une partie du contrat. Le facteur principal, mais non exclusif, est le fait que le gouvernement de l'État où se trouve physiquement le système touché attribue l'opération à un autre État. Dans l'attente de cette attribution, l'assureur peut s'appuyer sur une déduction objectivement raisonnable, et aucune perte n'est payée. Si l'État tarde de façon déraisonnable, refuse ou se déclare incapable d'attribuer, l'assureur prouve l'attribution par les autres éléments disponibles.
Le 16 août 2022, le Lloyd's publie le bulletin Y5381. À compter du 31 mars 2023, à la souscription ou au renouvellement, chaque police cyber autonome souscrite par un syndicat doit porter une exclusion des cyberattaques soutenues par un État, revue juridiquement, qui satisfasse cinq exigences : exclure la guerre si la police n'a pas d'exclusion de guerre distincte, exclure les attaques étatiques qui compromettent gravement le fonctionnement ou la sécurité d'un État, dire clairement si les systèmes situés hors des États touchés restent couverts, poser une base solide pour l'attribution, et définir tous les termes clés. Le bulletin ne prescrit aucun texte ; il fixe ce que tout texte doit faire.
Le 18 janvier 2023, la LMA remplace les quatre clauses par huit : une version A et une version B de chaque numéro. La grille est resserrée, la liste d'États spécifiés de 2021 disparaît, et la seule différence entre A et B est la clause d'attribution. Les versions A conviennent que l'assuré et l'assureur examinent les éléments de preuve objectivement raisonnables, parmi lesquels l'attribution officielle par le gouvernement de l'État où se trouve le système, et elles laissent la charge de la preuve à l'assureur. La règle « aucune perte n'est payée en attendant » n'y figure plus. Les versions A satisfont au bulletin Y5381 pour les risques cyber autonomes des codes CY et CZ ; les versions B ne le satisfont pas sans accord préalable du Lloyd's.
Les sources de cette leçon : Lloyd's, Market Bulletin Y5381, 16 août 2022, recoupé par les notes des cabinets Kennedys et Clifford Chance ; LMA, bulletin LMA21-042-PD du 25 novembre 2021 et page des clauses de cyberguerre, recoupés par l'analyse de DAC Beachcroft de janvier 2022 ; Merck c. Ace, division d'appel du New Jersey, 1er mai 2023, recoupé par Insurance Journal et Simpson Thacher ; transaction du 3 janvier 2024, recoupée par Reinsurance News et McGuireWoods ; transaction Mondelez et Zurich, recoupée par The Record et Cybersecurity Dive. Le texte des clauses de 2023 est reproduit dans le comparateur de clauses LMA de l'observatoire.
Cas fabriqué pour la leçon. Un assureur dommages européen relit en 2026 un programme renouvelé tacitement depuis 2016 pour un logisticien. La police porte une exclusion de guerre de forme NMA 464 et une clause d'affirmation cyber ajoutée en 2020 après le bulletin Y5258, qui couvre les pertes d'exploitation consécutives à un dommage matériel d'origine informatique. Elle ne porte aucune clause de la famille LMA 5564 à 5567. Le souscripteur doit dire, devant son comité, ce que vaut l'exclusion de guerre contre une attaque destructrice attribuée à un État, et ce que l'histoire des clauses lui apprend sur ce point.
La tentation est de répondre que l'exclusion de guerre « couvre » le cas, puisque le mot guerre y figure et que l'attaque serait étatique. L'histoire des clauses dit l'inverse. Le seul jugement rendu au fond sur cette question, Merck en 2023, a lu une exclusion voisine comme supposant une action militaire, et le marché a tiré la conséquence en écrivant des clauses neuves plutôt qu'en plaidant les anciennes. L'exclusion héritée reste une défense, dont l'assureur porte la preuve, et elle ne dit rien de l'attribution : une déclaration publique de deux gouvernements y serait un argument de fait, pas une condition remplie. Le bulletin Y5381 ne s'applique pas à ce contrat, qui n'est pas une police cyber autonome souscrite au Lloyd's ; mais ses cinq exigences fournissent la grille de lecture qui manque : la police exclut-elle la guerre, les attaques étatiques graves, dit-elle ce qu'il advient des systèmes situés hors des États touchés, pose-t-elle une base d'attribution, définit-elle ses termes ? Ici, la réponse est oui pour la première question et non pour les quatre autres. Ce que le souscripteur doit dire à son comité n'est donc pas une recommandation de garantie, c'est un constat : l'affirmation cyber de 2020 a ouvert une garantie que l'exclusion de 1938 n'est pas écrite pour refermer.
- 01Les clauses LMA 5564 à 5567 viennent d'un sinistre (NotPetya, 2017), d'un contentieux perdu par les assureurs (Merck, 2023) et d'une injonction du Lloyd's (bulletin Y5381, 16 août 2022).
- 02La version de 2021 faisait de l'attribution par l'État où se trouve le système le facteur principal, et ne payait rien en attendant ; celle de 2023 ne retient plus que des éléments objectivement raisonnables, la charge de la preuve restant à l'assureur.
- 03Le bulletin Y5381 ne prescrit aucun texte : il impose cinq exigences, dont une base d'attribution et une réponse claire sur les systèmes situés hors des États touchés.
- 04Depuis le 18 janvier 2023, chaque numéro existe en version A, avec accord sur l'attribution, et en version B, sans ; seules les versions A satisfont au bulletin pour une police cyber autonome.