La perte d'exploitation, et le compteur qui démarre sans dégât

La perte d'exploitation cyber ressemble à celle des dommages aux biens et n'obéit pas aux mêmes règles, ce qui produit les écarts d'appréciation les plus coûteux du marché. En assurance de dommages, l'interruption suppose un sinistre matériel : un incendie, une inondation, quelque chose de visible qui date l'évènement et qui borne la reconstruction. En cyber, il n'y a rien à voir. Les serveurs sont intacts, le bâtiment est debout, et l'entreprise ne produit plus. Le déclencheur n'est pas un dommage mais une interruption de système, et cette différence commande le point de départ, la durée et la preuve.

Le premier mécanisme à maîtriser est le délai de carence, qui se compte en heures et non en jours. Une police cyber prévoit ordinairement que la garantie ne joue qu'après huit, douze ou vingt-quatre heures d'interruption continue, et cette franchise temporelle est bien plus mordante qu'elle n'en a l'air : la majorité des incidents se résolvent en deçà, et ceux qui la dépassent la dépassent de beaucoup. Elle n'est pas un détail de tarification, c'est ce qui décide si l'immense majorité des sinistres entrent dans la garantie ou n'y entrent pas. Sa lecture précise, en heures et en mode de calcul, est le premier geste d'un souscripteur comme d'un assuré.

Vient ensuite la période d'indemnisation, et c'est là que la plupart des dossiers se jouent. Elle ne s'arrête pas au moment où les systèmes redémarrent mais au moment où l'activité retrouve le niveau qu'elle aurait eu sans le sinistre, dans la limite d'une durée maximale prévue au contrat. La distinction est décisive parce qu'une reprise informatique est presque toujours antérieure de plusieurs semaines à une reprise commerciale : les systèmes tournent, les clients ne sont pas revenus, les commandes perdues ne se rattrapent pas toutes. Un contrat qui borne la période d'indemnisation à la restauration technique couvre la moitié du préjudice réel.

La reprise partielle complique le calcul et se traite mieux avec des chiffres qu'avec des principes. Une production revenue à quarante pour cent au bout de six jours n'est pas une reprise : c'est une perte de soixante pour cent qui continue de courir. L'indemnité se calcule sur la marge brute que l'entreprise aurait réalisée, moins celle qu'elle a effectivement réalisée, période par période, ce qui suppose une comptabilité analytique capable de dire ce qu'aurait été un mois normal. Les entreprises qui traversent bien ces sinistres sont celles qui produisent un tableau hebdomadaire dès la première semaine, plutôt qu'une estimation globale au troisième mois.

Il faut ensuite savoir que la garantie s'étend souvent au-delà du système de l'assuré, et que cette extension est celle qui bouge le plus. Une panne chez un fournisseur d'informatique en nuage, chez un hébergeur ou chez un prestataire de paie interrompt l'activité de l'assuré sans qu'aucun de ses systèmes ne soit touché. Les polices traitent cela par une garantie de carence de fournisseur, avec ses propres sous-limites, son propre délai, et souvent une exigence de désignation nominative des fournisseurs concernés. Un assuré qui n'a pas listé son hébergeur découvre au sinistre que la garantie qu'il croyait générale était nominative.

La preuve, enfin, est le point où ces dossiers se perdent, et elle se constitue pendant l'incident et non après. Il faut pouvoir établir le moment exact où l'interruption a commencé, ce qui suppose des journaux techniques que le chiffrement rend parfois inaccessibles ; le niveau d'activité réel jour par jour pendant la reprise ; et ce qu'aurait été l'activité normale, ce qui suppose des saisonnalités documentées. Une entreprise qui n'a pas gardé de traces horodatées de son redémarrage se retrouve à négocier sur des impressions, contre un assureur qui, lui, a payé une équipe pour tenir un journal.

La méthode tient en trois exigences, et toutes précèdent le sinistre. Lire le délai de carence en heures et vérifier qu'il n'exclut pas la classe d'incidents la plus probable. Vérifier que la période d'indemnisation court jusqu'au retour au niveau d'activité attendu et non jusqu'à la restauration technique. Et lister nominativement les fournisseurs dont une panne arrêterait l'activité, en sachant que cette liste est la garantie elle-même. Pendant le sinistre, une seule discipline : un tableau hebdomadaire du niveau d'activité, tenu dès le premier jour, qui vaudra plus que n'importe quelle expertise ultérieure.