Deux notions font tourner les clauses LMA 5565 à 5567, et aucune des deux ne se lit dans le système de l'assuré. L'État touché, que le comparateur de l'observatoire traduit aussi par « État impacté », se constate à l'échelle d'un pays ; l'attribution se décide dans une capitale. Le souscripteur cyber découvre ainsi qu'une partie de son exclusion se joue sur une carte politique et non sur un réseau. C'est le point exact où le risque cyber devient du risque politique, et c'est pourquoi cette leçon parle de géographie.
La définition est courte. Un État touché est « tout État où une opération cyber a eu un effet préjudiciable majeur sur le fonctionnement de cet État, du fait d'une perturbation de la disponibilité, de l'intégrité ou de la fourniture d'un service essentiel dans cet État, et/ou sur la sécurité ou la défense de cet État ». Le service essentiel est celui qui est « essentiel au maintien des fonctions vitales d'un État », la clause citant, sans limitation, les institutions financières et les infrastructures de marché associées, les services de santé et les services publics de réseau. Trois mots portent le poids : « majeur », qui n'est pas chiffré ; « État », qui exclut une région ou une ville ; et « dans cet État », qui rattache le service au territoire.
Il en découle une conséquence que l'on oublie souvent : l'effet sur l'assuré ne compte pas. Une entreprise ruinée par une opération qui n'a touché aucun service essentiel n'est pas dans un État touché, et le 1.3 ne joue pas. À l'inverse, une entreprise à peine gênée, installée dans un pays dont le réseau électrique a été arrêté par la même opération, est dans un État touché. Le seuil est collectif et non individuel, ce qui est cohérent avec son objet : l'exclusion vise le cumul systémique qu'aucun portefeuille ne peut porter, pas la gravité d'un sinistre particulier. Le mot « majeur » n'étant pas défini, la frontière se plaidera ; la clause fixe la question, elle ne fixe pas la réponse.
La réintégration de la LMA 5567 ajoute une deuxième géographie, celle de l'emplacement physique des systèmes. Le 1.3 ne s'applique pas à un système utilisé par l'assuré ou par ses prestataires qui « n'est pas physiquement situé dans un État touché ». Deux entreprises atteintes par la même opération ne sont donc pas traitées de la même façon selon l'endroit où se trouvent leurs serveurs : celle dont les machines sont dans l'État touché est exclue, celle dont les machines sont ailleurs reste couverte. L'emplacement d'un centre de données, d'un prestataire d'infogérance ou d'une région de nuage devient un fait de souscription, à demander au questionnaire et à vérifier au contrat de service, parce qu'il décide de la garantie le jour du sinistre.
La même géographie gouverne l'attribution. Les versions A conviennent que l'assuré et l'assureur examinent « les éléments de preuve objectivement raisonnables dont ils disposent », parmi lesquels peut figurer « l'attribution formelle ou officielle par le gouvernement de l'État dans lequel le système informatique affecté par l'opération cyber est physiquement situé » à un autre État. Ce n'est plus, comme en 2021, le facteur principal ni une condition de paiement ; c'est un élément parmi d'autres, et la charge de la preuve reste à l'assureur. Mais le gouvernement désigné est celui du lieu du système, pas celui du siège de l'assuré ni celui de l'assureur. La note de souscription n° 1 de l'observatoire, « Le serveur est à Varsovie », est construite sur ce détail : la capitale dont la parole compte n'est pas celle qu'on attendait.
L'attribution a son propre calendrier, et c'est l'asymétrie la plus coûteuse. NotPetya, lancé en juin 2017, a été attribué par Londres et Washington en février 2018, huit mois plus tard. Un gouvernement peut attribuer vite, tard ou jamais, pour des raisons diplomatiques étrangères au sinistre ; il peut aussi entretenir l'ambiguïté sur des groupes criminels qu'il tolère. Sous la version de 2021, l'attente suspendait le paiement ; sous les versions A de 2023, l'assureur doit prouver avec ce qu'il a, et une attribution postérieure au règlement n'est qu'un élément de plus. Sous les versions B, aucune méthode n'est convenue, et l'attribution se prouve selon le droit du contrat, devant un juge ou un arbitre qui n'est lié par aucune déclaration gouvernementale.
Sources : texte des clauses LMA 5565A, 5566A et 5567A du 18 janvier 2023, définitions de l'État touché et du service essentiel, et clause d'attribution, publiés par la Lloyd's Market Association et reproduits dans le comparateur de l'observatoire ; bulletin Y5381 du Lloyd's, 16 août 2022, exigence sur les systèmes situés hors des États touchés, recoupé par Kennedys et Clifford Chance ; attribution de NotPetya par les gouvernements britannique et américain en février 2018, recoupée par les sources de la note n° 1 et par la fiche « Merck c. Ace » du glossaire ; règle de 2021 sur l'attente de l'attribution, d'après le bulletin LMA21-042-PD et l'analyse de DAC Beachcroft.
Cas fabriqué pour la leçon. Une opération cyber arrête pendant trois jours le système de paiement interbancaire d'un État d'Europe centrale. Deux assurés portent chacun une police cyber avec la LMA 5567A. Le premier, une banque régionale de cet État, héberge ses serveurs sur place ; il perd 3 millions d'euros. Le second, un distributeur français, dont les serveurs sont dans un centre de données en France, perd 1,1 million d'euros parce que son prestataire de paiement, lui, est installé dans l'État visé. Six semaines plus tard, le gouvernement de cet État attribue publiquement l'opération à un État voisin ; la France ne s'est pas prononcée.
On est tenté de traiter les deux dossiers ensemble, puisqu'il s'agit de la même opération et de la même clause. La géographie les sépare. L'arrêt de trois jours d'un système de paiement interbancaire est une perturbation d'un service essentiel que la clause cite expressément, et l'effet sur le fonctionnement de l'État sera vraisemblablement jugé majeur : l'État d'Europe centrale est un État touché. La banque régionale, dont les serveurs sont dans cet État, tombe sous le 1.3, et la réintégration de la 5567 ne la protège pas. Pour le distributeur, la question est autre : ses propres serveurs sont en France, hors de l'État touché, mais la perte vient de systèmes de son prestataire de paiement situés dans cet État. La réintégration vise les systèmes utilisés par l'assuré ou ses prestataires « qui ne sont pas physiquement situés dans un État touché » ; ceux du prestataire le sont. La part de la perte qui découle de l'arrêt de ces systèmes reste donc exclue, et seule une part tenant à ses propres systèmes en France pourrait être réintégrée. Quant à l'attribution, le gouvernement qui compte est celui de l'État où se trouvent les systèmes affectés, celui qui s'est prononcé ; le silence français ne change rien, et la charge de la preuve demeure chez l'assureur.
- 01Un État touché se constate à l'échelle du pays, par l'effet majeur d'une opération sur un service essentiel ou sur sa sécurité : la gravité du sinistre de l'assuré n'y entre pas.
- 02La réintégration de la 5567 dépend de l'emplacement physique des systèmes de l'assuré et de ses prestataires, qui devient un fait de souscription.
- 03Le gouvernement dont l'attribution compte est celui de l'État où se trouve le système affecté, ni celui du siège de l'assuré ni celui de l'assureur.
- 04Depuis 2023, l'attribution officielle n'est qu'un élément de preuve parmi d'autres dans les versions A ; dans les versions B, aucune méthode n'est convenue.