Ce que chaque clause exclut et ce qu'elle garde, mot à mot

Les quatre clauses de 2023 partagent une charpente, et c'est par elle qu'il faut commencer, parce que leurs différences ne se voient qu'une fois le commun posé. Chacune s'ouvre par les mêmes mots : « Nonobstant toute disposition contraire de la présente assurance, celle-ci ne couvre pas la part de toute perte, dommage, responsabilité, coût ou frais de quelque nature que ce soit ». Deux expressions y pèsent. « Nonobstant toute disposition contraire » place l'exclusion au-dessus des garanties de la police, y compris d'une extension rédigée plus généreusement ailleurs. « La part de » prévoit qu'un sinistre se découpe : seule la fraction qui découle de l'événement exclu tombe, le reste demeure couvert. Le gestionnaire qui instruit doit donc ventiler, et non trancher en bloc.

Viennent ensuite quatre définitions, identiques d'une clause à l'autre. La guerre est un « conflit armé impliquant la force physique », entre États ou dans une guerre civile, une rébellion, une révolution, une insurrection, une action militaire ou une usurpation de pouvoir, « que la guerre soit déclarée ou non ». Une opération cyber est « l'utilisation d'un système informatique par un État, sur ses instructions ou sous son contrôle », pour perturber, bloquer ou dégrader un système, ou pour copier, supprimer, manipuler ou détruire de l'information. L'État est l'« État souverain ». Le système informatique est défini si largement, du serveur au microcontrôleur et à l'infrastructure en nuage, que la définition de la police prévaut en cas d'écart. Une opération menée par un groupe criminel qu'aucun État ne dirige ni ne contrôle n'est pas une opération cyber au sens de ces clauses.

La LMA 5564 est la plus courte et la plus dure. Son paragraphe 1.1 exclut ce qui découle « directement ou indirectement d'une guerre » ; son paragraphe 1.2 exclut ce qui découle « d'une opération cyber », sans autre condition. Il n'y a ni seuil de gravité ni lien avec une guerre : il suffit que l'opération soit étatique au sens de la définition. Elle ne rétablit rien. Une police cyber qui la porte ne couvre aucune attaque attribuable à un État, si modeste soit-elle, et c'est pourquoi elle se rencontre peu : elle retire à l'acheteur une large part de ce qu'il croit acheter.

Les LMA 5565, 5566 et 5567 remplacent le 1.2 par deux exclusions plus étroites. Le 1.2 n'exclut plus que l'opération cyber « menée dans le cadre d'une guerre, ou de la préparation immédiate d'une guerre » ; le 1.3 exclut l'opération cyber « qui amène un État à devenir un État touché ». Tout le reste, l'espionnage étatique contre une entreprise, le sabotage ciblé qui n'atteint pas l'État lui-même, n'est plus exclu. Ce sont ces opérations restantes que la 5565 encadre par deux limites à renseigner, l'une par opération (2.1), l'autre en agrégat pour la période (2.2), qui jouent « dans la limite globale de la police et non en sus ». Et la phrase suivante est la plus dangereuse de la famille : « À défaut de montant indiqué aux 2.1 et 2.2, aucune couverture n'est accordée pour les opérations cyber ». Un champ laissé vide transforme une 5565 en 5564.

La LMA 5566 porte les mêmes exclusions que la 5565, sans limites particulières : les opérations qui ne sont ni de guerre ni à l'origine d'un État touché sont couvertes dans la limite générale de la police. La paire 5565 et 5566 isole donc l'effet d'une seule disposition, le plafonnement. La LMA 5567 reprend la 5566 et ajoute une phrase : « Le paragraphe 1.3 ne s'applique pas à l'effet, direct ou indirect, d'une opération cyber sur un système informatique utilisé par l'assuré ou ses prestataires tiers qui n'est pas physiquement situé dans un État touché mais qui est affecté par une opération cyber ». C'est la réintégration dite du système spectateur, en anglais bystanding cyber asset, et c'est elle qui répond à la troisième exigence du bulletin Y5381 sur les systèmes situés hors des États touchés.

Deux lectures attentives changent souvent l'issue. La première porte sur la causalité. Seul le 1.1 dit « directement ou indirectement » ; les 1.2 et 1.3 disent « découlant de ». Une perte indirectement liée à une guerre est exclue, une perte indirectement liée à une opération cyber de guerre se discute. La seconde porte sur ce que la réintégration de la 5567 ne touche pas : elle ne neutralise que le 1.3. Un système spectateur atteint par une opération cyber menée dans le cadre d'une guerre reste exclu par le 1.2, où qu'il se trouve. La 5567 protège le dommage collatéral d'une attaque contre un État ; elle ne protège pas le dommage collatéral d'une guerre.

Reste la clause d'attribution, présente dans les quatre versions A au même mot près et absente des quatre versions B. Elle ne change rien à ce qui est exclu ; elle change la manière d'établir qu'une opération est étatique, donc qu'elle entre dans les définitions. Elle fera l'objet de la leçon suivante. Le texte intégral des huit clauses de 2023 et leur traduction se lisent dans le comparateur de clauses LMA de l'observatoire. Sources : texte des clauses LMA 5564A à 5567B du 18 janvier 2023, publié par la Lloyd's Market Association ; analyses de Marsh, « New cyber war exclusion language raises concerns », et de DAC Beachcroft, « War exclusions in cyber policies: an overview », qui discutent toutes deux la portée de la famille ; le piège du montant non renseigné de la 5565 est lu directement dans son paragraphe 2.