Le cyber silencieux n'est pas né d'une décision, il est né d'un décalage entre la vitesse des contrats et celle des risques. Les polices d'assurance dommages se renouvellent en reconduisant leur rédaction, parfois pendant vingt ans, parce qu'une rédaction stable est une qualité : elle donne de la jurisprudence, des habitudes de règlement et des comparaisons possibles. Cette qualité devient un défaut le jour où un risque apparaît qui n'existait pas quand les mots ont été choisis. L'histoire qui suit se lit comme un fait, et non comme un reproche adressé à qui que ce soit.
L'évènement qui a rendu le sujet visible est l'attaque NotPetya de juin 2017. Un logiciel destructeur diffusé par une mise à jour comptable ukrainienne s'est propagé mondialement en quelques heures et a arrêté des entreprises industrielles, logistiques et pharmaceutiques qui n'avaient aucun lien avec l'Ukraine. Beaucoup de ces entreprises portaient une police cyber petite ou inexistante et une police dommages considérable. Elles ont donc réclamé sur la seconde, qui ne mentionnait pas le cyber, et plusieurs assureurs ont opposé l'exclusion de guerre héritée, en s'appuyant sur les attributions étatiques prononcées par des gouvernements en 2018.
Les contentieux qui ont suivi méritent d'être connus pour ce qu'ils ont établi et non pour leur issue. L'affaire opposant Mondelez à Zurich et celle opposant Merck à ses assureurs ont porté sur la même question : une exclusion de guerre écrite pour des conflits armés s'applique-t-elle à une cyberattaque attribuée à un État. Mondelez s'est réglé en 2022, en cours de procès, sans jugement au fond. Merck seul a été jugé, et en faveur de l'assuré, la décision de 2023 retenant que la rédaction héritée visait une guerre au sens ordinaire, avant de se régler à son tour. Ce qui compte n'est pas qui a gagné : c'est que la charge de l'incertitude est tombée sur l'assureur, parce qu'une exclusion est une défense et que celui qui l'invoque en supporte la démonstration.
La réaction du marché a suivi deux voies parallèles, et il est utile de les distinguer parce qu'elles n'ont pas la même force. La première est venue des superviseurs, qui ont demandé aux assureurs d'identifier leur exposition cyber non affirmative, de la quantifier et de dire comment ils comptaient la traiter, sans imposer de solution. La seconde est venue du marché lui-même, sous forme de clauses standardisées destinées à être insérées dans les polices non cyber pour y écrire enfin ce qu'elles font du risque. La première a créé l'obligation de regarder, la seconde a fourni les mots.
Il faut ajouter que la clarification n'a pas voulu dire l'exclusion, et c'est le contresens le plus répandu sur cette période. Rendre une police explicite peut vouloir dire l'exclure, l'exclure en réintroduisant certains cas, ou couvrir affirmativement avec une sous-limite. Les trois issues existent sur le marché et se rencontrent dans les mêmes programmes. Un professionnel qui entend clarification et comprend automatiquement exclusion se trompera sur la moitié des contrats qu'il lira, et il se privera d'un argument dans les cas où la police accorde réellement quelque chose.
Le résultat, une dizaine d'années après, est un marché à deux vitesses qu'il faut savoir reconnaître. Les grandes polices dommages et transport souscrites sur les places qui ont diffusé ces clauses portent aujourd'hui une position explicite, et la question du silence n'y est plus qu'un travail de lecture. Les polices de moyenne taille, les contrats locaux, les couvertures de responsabilité et les extensions accessoires en portent beaucoup moins, parce que la standardisation s'est diffusée par le haut. Le silence n'a donc pas disparu : il s'est déplacé vers les contrats que personne ne relit.
La leçon à retenir de cette histoire dépasse le cyber, et c'est elle qui justifie de la raconter dans un cours. Un risque nouveau n'attend pas que les contrats le nomment, la charge de l'ambiguïté finit chez celui qui invoque une clause pour se défendre, et les superviseurs interviennent en demandant de mesurer avant de demander de corriger. Ces trois régularités se sont vérifiées sur le cyber et se vérifieront sur le suivant. Un professionnel qui les a vues une fois reconnaît la situation quand elle se reproduit, ce qui est très exactement ce qu'un cours peut transmettre et qu'une clause ne transmet pas.
Un groupe agroalimentaire de taille moyenne fait relire son programme d'assurance en janvier. Trois contrats sont examinés. La police dommages et pertes d'exploitation, placée sur le marché de Londres, porte depuis 2021 une clause d'exclusion cyber avec réintroduction des dommages matériels résultant d'un incendie ou d'une explosion consécutifs à un acte cyber. La police responsabilité civile générale, souscrite auprès d'un assureur national, ne mentionne le cyber nulle part et n'a pas été réécrite depuis 2015. La police de transport de marchandises, locale, comporte une exclusion cyber sans aucune réintroduction, insérée en 2023. Le courtier annonce au directeur des risques que le programme est désormais clarifié sur le cyber. A-t-il raison, et que faut-il en faire ?
Il a raison sur deux contrats et tort sur celui qui compte le plus, et l'erreur qu'il commet est celle que cette leçon vise : confondre clarification et traitement uniforme. La police dommages est effectivement claire, et elle est même le meilleur des trois cas, parce qu'elle exclut en réintroduisant : les dommages matériels résultant d'un incendie ou d'une explosion consécutifs à un acte cyber restent couverts, ce qui est une couverture affirmative partielle et non un refus. Encore faut-il lire ce que la réintroduction ne couvre pas, à savoir l'arrêt de production sans incendie ni explosion, qui est de très loin le scénario le plus probable dans une usine agroalimentaire. La police transport est claire aussi, dans l'autre sens : exclusion sans réintroduction depuis 2023, donc position explicite, et le sujet est clos sauf à vouloir la renégocier. La police de responsabilité civile générale est le vrai sujet, et le courtier l'a comptée comme clarifiée alors qu'elle est exactement l'inverse : rien sur le cyber, aucune réécriture depuis 2015, c'est-à-dire une police silencieuse au sens plein. Elle illustre le déplacement décrit plus haut : la standardisation s'est diffusée par les grandes polices placées à Londres, et elle n'a pas atteint un contrat de responsabilité souscrit auprès d'un assureur national. Trois gestes en découlent. Dire au directeur des risques que son programme porte deux positions explicites et une incertitude, et que l'incertitude est sur la ligne qui répondrait d'une réclamation de tiers après une fuite de données. Ne pas demander une exclusion sur cette police, ce qui reviendrait à transformer une incertitude en absence certaine de couverture, mais demander à l'assureur d'écrire sa position, quelle qu'elle soit, puisque le savoir permet d'arbitrer. Et retenir que le mot clarifié, employé pour un programme entier, ne veut rien dire : il se vérifie contrat par contrat, en une minute chacun.
- 01Le cyber silencieux vient d'un décalage de vitesse : une rédaction stable est une qualité, jusqu'au jour où un risque apparaît que ses mots n'anticipaient pas.
- 02NotPetya en 2017 a rendu le sujet visible parce que des entreprises ont réclamé sur des polices dommages qui ne mentionnaient pas le cyber.
- 03Ce que les contentieux ont établi n'est pas qui gagne, c'est que la charge de l'ambiguïté tombe sur celui qui invoque une exclusion pour se défendre.
- 04Clarifier ne veut pas dire exclure : exclusion, exclusion avec réintroduction et garantie affirmative sous-limitée coexistent dans les mêmes programmes.
- 05Le silence n'a pas disparu, il s'est déplacé vers les contrats moyens et locaux que la standardisation par le haut n'a pas atteints.