Cette leçon suit un seul sinistre, du jour où il est déclaré au jour où la part exclue est chiffrée. Le cas est fabriqué pour la leçon, et il est dit fabriqué : les États sont désignés par des lettres, l'assuré et les montants sont inventés. Les faits sont choisis pour que chacune des dispositions vues dans les trois premières leçons ait à jouer au moins une fois. La police est une police cyber autonome de 15 millions d'euros, souscrite en 2025, qui porte la LMA 5567A. L'ordre de l'instruction compte autant que la réponse : un dossier instruit dans le désordre aboutit souvent à la bonne conclusion pour de mauvaises raisons, et ce sont les raisons qui seront relues, par l'assuré, par un expert, puis peut-être par un juge.
Les faits. Un logisticien maritime établi en France exploite ses propres serveurs dans un centre de données lyonnais et confie son progiciel de gestion à un prestataire installé dans l'État A, qui l'héberge sur place. Un lundi de mars, un logiciel destructeur se propage dans l'État A par la mise à jour d'un outil de supervision industrielle ; il arrête pendant quatre jours le gestionnaire du réseau électrique de l'État A et les systèmes de deux de ses ports. Par le réseau privé qui relie le prestataire à ses clients, il atteint aussi les serveurs lyonnais de l'assuré, qu'il efface. L'assuré déclare deux postes : 2,4 millions d'euros pour la restauration de ses serveurs et la perte d'exploitation qui en découle, 1,8 million pour la perte d'exploitation due à l'arrêt du progiciel chez le prestataire. Trois semaines plus tard, le gouvernement de l'État A attribue publiquement l'opération à l'État B. Aucun conflit armé n'oppose les deux États, et le gouvernement français ne s'est pas prononcé.
Première étape : fixer les faits avant de qualifier. Le gestionnaire du sinistre établit une chronologie datée, la liste des systèmes atteints avec leur emplacement physique, et ventile la perte par système, avant même d'ouvrir la clause. Deuxième étape : le paragraphe 1.1. La guerre est définie comme un conflit armé impliquant la force physique ; il n'y en a aucun entre l'État A et l'État B. Le 1.1 ne joue pas, et il ne jouerait pas davantage si les relations entre les deux États étaient tendues : une tension n'est pas un conflit armé. Troisième étape : le 1.2, l'opération cyber menée dans le cadre d'une guerre ou de sa préparation immédiate. Faute de guerre, et faute de tout mouvement de forces qui l'annoncerait, rien n'indique une préparation immédiate ; le 1.2 ne joue pas non plus. Le dossier n'est donc pas un sinistre de guerre, et tout ce qui suit relève du 1.3.
Quatrième étape : l'État touché. Le 1.3 exclut l'opération cyber qui amène un État à devenir un État touché. L'arrêt pendant quatre jours du réseau électrique de l'État A est une perturbation d'un service essentiel de ceux que la définition cite, les services d'utilité publique, et l'arrêt de deux ports s'y ajoute ; l'effet sur le fonctionnement de l'État sera vraisemblablement jugé majeur. L'État A est un État touché. La France ne l'est pas : l'effacement des serveurs d'une entreprise, si coûteux soit-il pour elle, n'a aucun effet majeur sur le fonctionnement de l'État français. On remarque que cette étape s'instruit sans rien savoir encore de l'auteur, puisqu'elle porte sur les effets. Elle ne suffit pourtant pas à exclure, car le 1.3 ne vise qu'une opération cyber, c'est-à-dire une opération menée par un État, sur ses instructions ou sous son contrôle.
Cinquième étape : l'attribution, et seulement là où elle change l'issue. Pour les serveurs lyonnais, elle ne change rien. Si l'opération est étatique, le 1.3 s'appliquerait, mais la réintégration de la 5567 l'écarte pour un système qui n'est pas physiquement situé dans un État touché ; si elle ne l'est pas, ce n'est pas une opération cyber au sens de la clause, et aucune des exclusions ne joue. Dans les deux cas, le premier poste n'est pas exclu par la clause de guerre. Pour le progiciel hébergé dans l'État A, l'attribution décide tout : étatique, l'opération tombe sous le 1.3 sans réintégration possible ; non établie, elle reste couverte. C'est donc sur ce poste, et sur lui seul, que l'assureur doit réunir la preuve. Il dispose de l'attribution officielle du gouvernement de l'État A, précisément l'État où se trouve le système affecté, et de ses propres éléments techniques. La clause en fait des éléments à examiner, non une conclusion, et la charge de la preuve lui reste.
Sixième étape : la part. Les clauses excluent « la part de » la perte qui découle de l'événement exclu. Le sinistre ne se règle donc pas en bloc : si l'assureur établit l'origine étatique, il exclut le second poste, 1,8 million d'euros, et règle le premier dans les conditions de la police. Les frais communs, par exemple l'expertise informatique qui a servi aux deux postes, se répartissent selon une clé écrite au dossier, et cette clé est elle-même une pièce que l'assuré pourra contester. Septième étape : écrire la position. La lettre à l'assuré cite le paragraphe appliqué, les faits datés qui le fondent et les éléments de preuve retenus, et elle dit ce qui reste ouvert. Si la preuve n'est pas réunie à la date du règlement, le poste est payé : les versions A n'ont plus de règle d'attente, et une attribution venue plus tard n'est qu'un élément de plus.
Ce que le cas enseigne tient à l'ordre plus qu'aux réponses. Les effets avant l'auteur, parce que l'État touché se constate sans attribution ; la géographie des systèmes avant la preuve, parce qu'elle dit sur quel poste la preuve sert ; la preuve enfin, limitée au poste où elle change l'issue, parce qu'elle coûte et que l'assureur la porte. Un gestionnaire qui commencerait par l'attribution chercherait pendant des mois une certitude dont la moitié du dossier n'a pas besoin. Sources : texte de la clause LMA 5567A du 18 janvier 2023, définitions de la guerre, de l'opération cyber, de l'État touché et du service essentiel, clause d'attribution et réintégration du système spectateur, publiés par la Lloyd's Market Association et reproduits dans le comparateur de l'observatoire. Les faits, les États et les montants du cas sont inventés.
Cas fabriqué pour la leçon, prolongement du sinistre de la leçon. Mêmes faits, une seule différence : le premier soir, le plan de continuité de l'assuré a basculé ses serveurs lyonnais vers un site de secours loué dans l'État A, chez un hébergeur local. Le logiciel destructeur, encore actif sur le réseau du prestataire, a atteint le site de secours le lendemain, et l'assuré a perdu deux jours de plus. Il déclare désormais 2,4 millions d'euros pour les serveurs lyonnais, 0,9 million pour la perte d'exploitation pendant les deux jours de secours et 1,8 million pour le progiciel. L'attribution par le gouvernement de l'État A est la même. Le gestionnaire doit dire ce que la bascule a changé.
Le réflexe serait de traiter le site de secours comme un prolongement des serveurs lyonnais, puisqu'il porte les mêmes applications et sert le même assuré. La clause ne raisonne pas ainsi : elle regarde où se trouve physiquement chaque système au moment où l'opération l'affecte. Le site de secours est dans l'État A, qui est un État touché. La réintégration de la 5567 ne le protège donc pas, et la perte des deux jours de secours suit le sort du progiciel : si l'assureur établit l'origine étatique, elle est exclue par le 1.3 ; sinon, elle est couverte. Les serveurs lyonnais restent dans la réintégration pour la période qui précède la bascule. Le sinistre se ventile donc par système et par période, et la date et l'heure de la bascule deviennent une pièce centrale du dossier. Le plan de continuité, conçu pour réduire la perte, en a déplacé une part dans l'exclusion. Ce n'est pas un reproche à l'assuré, c'est un fait de souscription : l'emplacement des sites de secours se demande avant le sinistre, et c'est l'objet de la dernière leçon du cours.
- 01On instruit dans l'ordre : les faits datés et localisés, la guerre (1.1), l'opération de guerre (1.2), l'État touché (1.3), puis l'attribution.
- 02L'État touché se constate par les effets, sans connaître l'auteur ; la gravité du sinistre de l'assuré n'y entre pas.
- 03Avec la 5567, l'attribution ne s'instruit que sur les postes où elle change l'issue : ceux des systèmes physiquement situés dans l'État touché.
- 04Le sinistre se ventile par système et par période ; la clé de répartition des frais communs et l'heure d'une bascule sont des pièces du dossier.