Le cyber silencieux se raconte presque toujours du côté des polices dommages, parce que c'est là qu'il a été découvert et que les montants y sont spectaculaires. C'est une vue incomplète, et elle laisse dehors les lignes où le silence est aujourd'hui le plus épais. Une réclamation née d'un incident informatique ne tombe pas seulement dans une police de biens : elle peut tomber dans une police de responsabilité civile, de responsabilité des dirigeants, de responsabilité professionnelle ou de fraude, et aucune de ces quatre n'a été autant relue que les polices dommages.
La responsabilité civile générale est le premier cas et le plus large. Un tiers dont les données personnelles ont fuité, un client dont l'activité s'est arrêtée parce que l'assuré ne livrait plus, un partenaire dont le réseau a été atteint par un chemin passant par l'assuré : ces réclamations sont dirigées contre l'assuré, elles cherchent une police de responsabilité, et beaucoup de contrats de responsabilité civile générale ne disent rien du cyber. La question se déplace alors sur des notions écrites pour autre chose : y a-t-il un dommage, est-il matériel, immatériel, consécutif ou non consécutif, et la donnée d'un tiers est-elle un bien.
La responsabilité des dirigeants forme le deuxième cas et il est d'une autre nature, parce que la réclamation n'y porte pas sur l'incident mais sur sa gestion. On y reproche à un dirigeant d'avoir sous-investi dans la sécurité, tardé à notifier une autorité, mal informé un conseil ou communiqué de façon inexacte au marché après l'attaque. Le fait générateur n'est donc pas technique, il est décisionnel, et une police de dirigeants qui exclurait le cyber par une clause générale se trouverait à exclure une faute de gestion parce que son sujet était informatique, ce qui est rarement l'intention rédigée.
La responsabilité professionnelle est le troisième cas, et il concerne toutes les entreprises qui rendent un service à d'autres. Un prestataire dont le service s'arrête, un éditeur dont le logiciel a servi de chemin, un hébergeur dont les clients ont perdu des données : la réclamation est contractuelle, elle porte sur une prestation mal exécutée, et l'incident informatique n'est que la cause. Beaucoup de ces contrats couvrent la faute professionnelle sans distinguer sa cause, et se trouvent donc à répondre d'un sinistre cyber sans jamais l'avoir nommé, ce qui est du cyber silencieux au sens plein.
La quatrième ligne est la fraude, et elle mérite d'être isolée parce qu'elle produit le contentieux le plus fréquent en volume. Un virement détourné après une usurpation d'identité par courriel relève-t-il de la police de fraude, qui couvre le détournement de fonds, ou de la police cyber, qui couvre les conséquences d'une intrusion. Souvent aucune intrusion n'a eu lieu : personne n'est entré dans le système, quelqu'un a écrit un courriel convaincant. Les deux polices peuvent alors se renvoyer le dossier, l'une au motif qu'il n'y a pas eu d'atteinte au système, l'autre au motif que le virement a été volontairement ordonné par un salarié.
Il faut tirer de ces quatre cas une observation qui vaut mieux que leur liste. Le cyber silencieux hors des polices dommages ne se manifeste presque jamais comme un refus franc : il se manifeste comme une discussion entre deux assureurs du même assuré, chacun désignant l'autre, pendant que le dossier ne se règle pas. Le coût pour l'assuré n'est donc pas seulement le risque de n'être pas couvert, il est le délai, et un délai de dix-huit mois sur une trésorerie fragile produit un dommage propre que personne n'indemnise.
Le geste utile est en conséquence différent de celui de la leçon précédente. Sur une police dommages, on lit une clause. Sur ces quatre lignes, on lit une articulation : quelle police répond en premier, laquelle intervient en complément, et que se passe-t-il quand les deux assureurs qualifient différemment le même fait. Une clause d'ordre de règlement, une définition partagée du sinistre ou simplement le fait de placer deux garanties chez le même assureur valent souvent mieux qu'une extension supplémentaire, parce qu'elles suppriment la discussion plutôt que d'ajouter un montant.
Un éditeur de logiciels de gestion, 180 salariés, subit une intrusion le 9 avril. L'attaquant accède à la plateforme hébergée qui sert quatre-vingts clients et exfiltre des données de paie appartenant à ces clients. Quatre conséquences suivent. L'éditeur engage 260 000 euros de frais d'investigation et de notification. Onze clients réclament l'indemnisation de leur propre coût de notification, pour 480 000 euros au total. Deux salariés de clients engagent une action pour atteinte à leurs données personnelles. Et le conseil d'administration de l'éditeur est mis en cause par un actionnaire minoritaire qui reproche au directeur général d'avoir reporté deux fois un projet de segmentation réseau documenté dans les comptes rendus. L'éditeur porte une police cyber de 3 millions, une police de responsabilité professionnelle de 10 millions, une police de responsabilité civile générale et une police de dirigeants. Où va chaque part ?
Le dossier se range en quatre parts et aucune ne se traite sur la même police, ce qui est précisément la difficulté : l'assuré vit un seul évènement et doit ouvrir quatre chemins. Les 260 000 euros de frais d'investigation et de notification sont la part la plus simple : ils relèvent de la police cyber affirmative, qui les nomme, et ils ne se discutent pas. Les 480 000 euros réclamés par onze clients sont la part principale et ils ne relèvent pas d'abord du cyber : c'est une réclamation contractuelle de clients contre un prestataire dont le service a mal fonctionné, donc de la responsabilité professionnelle, dont la limite de 10 millions est la seule à la taille du risque. Beaucoup de ces contrats couvrent la faute professionnelle sans distinguer sa cause, ce qui est du cyber silencieux au sens plein, et il faut vérifier une seule chose : la police de responsabilité professionnelle porte-t-elle une exclusion cyber, et si oui appartient-elle à la première ou à la deuxième famille. L'action des deux salariés de clients est dirigée par des tiers qui n'ont aucun contrat avec l'éditeur : elle cherche la responsabilité civile générale, ou la section de responsabilité de la police cyber si elle en comporte une, et c'est là que la discussion entre deux assureurs du même assuré est la plus probable. La mise en cause du directeur général est de nature entièrement différente et il faut le dire tôt : le reproche ne porte pas sur l'intrusion mais sur deux reports documentés d'un projet de segmentation, c'est-à-dire sur une décision de gestion. Elle relève de la police de dirigeants, et une exclusion cyber générale y produirait l'effet le moins voulu, exclure une faute de gestion parce que son sujet était informatique. Deux gestes s'imposent enfin, et ils comptent plus que le classement. Déclarer aux quatre assureurs le même jour, avec le même exposé des faits, car des exposés divergents sont ce qui alimente les renvois entre assureurs. Et demander aux courtiers d'établir l'articulation par écrit avant que les qualifications ne divergent, puisque le coût réel de ce type de dossier n'est pas le refus, il est le délai.
- 01Le silence ne vit pas que dans les polices dommages : responsabilité civile, dirigeants, responsabilité professionnelle et fraude ont été bien moins relues.
- 02En responsabilité des dirigeants, le fait générateur n'est pas l'intrusion mais sa gestion : exclure le cyber y revient à exclure une faute de gestion pour son sujet.
- 03Une police de responsabilité professionnelle qui couvre la faute sans distinguer sa cause répond d'un sinistre cyber sans l'avoir jamais nommé.
- 04Le virement détourné sans intrusion se renvoie entre la police de fraude et la police cyber, chacune désignant l'autre.
- 05Hors des polices dommages, le silence se manifeste rarement en refus et presque toujours en délai, et le délai n'est indemnisé par personne.