Une police d'assurance dommages rédigée avant que le cyber ne devienne un sujet ne mentionne pas le cyber. Elle ne l'inclut pas, elle ne l'exclut pas, elle n'en parle pas. Le marché appelle cela le cyber silencieux, et l'expression est trompeuse sur un point : le silence n'est pas une position neutre, c'est une position dont personne n'a délibéré et dont la portée sera décidée plus tard, par un juge, sur des mots écrits pour autre chose. Un assureur qui n'a rien dit n'a pas gardé ses options ouvertes, il les a confiées à un tiers.
Il faut d'abord poser la distinction que tout le reste suppose. Une garantie est affirmative quand le contrat nomme le risque cyber et dit ce qu'il en fait, qu'il le couvre ou qu'il l'exclue : dans les deux cas, on sait. Elle est silencieuse quand le contrat ne le nomme pas et que la question de savoir s'il répond dépend entièrement de la manière dont on lira des clauses générales, une définition de dommage matériel, une exclusion de guerre héritée, une condition de garantie sur les biens. Le mot silencieux ne décrit donc pas une absence de couverture, il décrit une incertitude sur la couverture.
Cette incertitude a deux conséquences opposées et il faut les tenir ensemble, parce que la plupart des exposés n'en retiennent qu'une. Du côté de l'assureur, elle est une exposition non tarifée : une prime a été calculée sur une sinistralité qui n'incluait pas ce risque, et le contrat pourrait pourtant devoir y répondre. Du côté de l'assuré, elle est une couverture non fiable : il croit peut-être être couvert et découvrira au sinistre qu'il faut plaider pour l'être, ce qui n'est pas la même chose qu'être assuré. Personne ne gagne à cette situation, et c'est ce qui explique que le marché s'en soit occupé.
Il faut ensuite comprendre pourquoi le cyber silencieux est un problème différent, et pire, que celui d'une simple exposition mal évaluée. Une exposition mal évaluée se corrige au renouvellement suivant, une fois qu'on l'a mesurée. Celle-ci ne se mesure pas, parce qu'elle ne figure dans aucun système : elle est répartie dans des polices dommages, transport, responsabilité, fraude, dont aucune ne porte de code cyber. Un assureur peut donc mesurer très précisément son cumul cyber affirmatif et ignorer complètement le second, et les deux se réaliseraient en même temps, sur le même évènement, dans deux branches qui ne se parlent pas.
L'invisibilité est d'ailleurs le vrai défaut, plus encore que l'absence de prime, et une comparaison le montre. Un assureur qui saurait porter une exposition non tarifée de vingt millions pourrait décider de la garder, de la réassurer ou de la retirer : ce serait une décision. Un assureur qui ne sait pas qu'il la porte n'a aucune de ces trois possibilités, et sa réassurance a été achetée sur un chiffre qui l'ignorait. Le même raisonnement vaut pour le client : une entreprise qui sait qu'une part de son risque cyber n'est couverte que par une police silencieuse peut arbitrer ; une entreprise qui l'ignore a un trou dans son programme et croit avoir un programme.
Il faut enfin dire ce que le silence n'est pas, car deux confusions circulent. Le cyber silencieux n'est pas une faute de rédaction que quelqu'un aurait commise : la plupart de ces polices ont été écrites correctement, à une époque où le risque n'existait pas sous cette forme, et les reprocher rétrospectivement n'apprend rien. Et ce n'est pas non plus un phénomène ancien en voie d'extinction : chaque fois qu'un risque nouveau apparaît sans que les contrats le nomment, le même mécanisme recommence, et le cyber n'est que l'exemple le mieux documenté d'une famille de problèmes qui se reproduira.
La leçon utile est donc une question à poser à chaque police d'un programme, et elle ne prend qu'une minute par contrat. Ce contrat nomme-t-il le risque cyber. Si oui, dit-il qu'il le couvre, qu'il l'exclut, ou qu'il l'exclut avec des exceptions. Si non, la couverture de ce risque dépend d'une interprétation, et cette interprétation est un aléa qui appartient à quelqu'un. Savoir à qui il appartient, sur chaque ligne du programme, est exactement ce que les leçons suivantes servent à établir.
Un fabricant de composants électroniques subit le 3 mars un rançongiciel qui chiffre son réseau bureautique et arrête, par effet de bord, la supervision de deux lignes de production pendant onze jours. Les pertes se répartissent ainsi : 410 000 euros de frais de réponse et de reconstitution de données, 1,9 million d'euros de marge perdue sur l'arrêt de production, et 220 000 euros de composants rebutés parce que deux fours ont dérivé pendant l'arrêt de la supervision. L'entreprise porte une police cyber de 2 millions d'euros de limite, souscrite en 2024, et une police dommages aux biens et pertes d'exploitation de 40 millions, renouvelée sans réécriture depuis 2016, qui ne mentionne le mot cyber nulle part. Le directeur financier demande sur quelle police il déclare. Que faut-il lui répondre ?
La réponse n'est pas de choisir une police, c'est de déclarer sur les deux et de savoir pourquoi. La part qui ne se discute pas est la première : 410 000 euros de frais de réponse et de reconstitution relèvent de la police cyber affirmative, qui les nomme, et rien dans la police dommages ne prétend y répondre. Les deux autres parts sont là où le silence se paie. Les 1,9 million de marge perdue sont réclamés à la police cyber, dans la limite de 2 millions dont 410 000 sont déjà consommés, ce qui laisse 1,59 million disponible et donc un découvert de 310 000 euros sur cette seule part. La police dommages, elle, couvre la perte d'exploitation à hauteur de 40 millions, mais son déclenchement suppose un dommage matériel, et un chiffrement de données n'en est pas un au sens où ces contrats l'entendaient en 2016 : la question est ouverte, elle dépend de la définition retenue, et c'est exactement ce que le mot silencieux désigne. Les 220 000 euros de composants rebutés sont plus intéressants encore, parce que c'est la part qui ressemble le plus à un dommage matériel classique : de la matière abîmée par une dérive de four. Une police dommages écrite en 2016 peut très bien y répondre sans jamais avoir voulu couvrir un rançongiciel, et c'est le cyber silencieux dans sa forme la plus pure. Trois conséquences pratiques suivent. D'abord, déclarer aux deux assureurs sans attendre, car un délai perdu sur la police dommages ne se rattrape pas et l'assuré n'a pas à trancher lui-même une question d'interprétation. Ensuite, faire établir par l'expert une ventilation des 220 000 euros distinguant ce qui est de la matière physiquement altérée de ce qui est de la donnée perdue, car c'est cette ventilation qui décidera. Enfin, retenir pour l'avenir que l'entreprise ne dispose pas d'un programme de 42 millions sur ce risque : elle dispose de 2 millions certains et de 40 millions dont l'application dépend d'une lecture, ce qui n'est pas la même chose et ne se découvre pas au sinistre.
- 01Le silence n'est pas une position neutre : c'est une position dont personne n'a délibéré et qu'un juge tranchera sur des mots écrits pour autre chose.
- 02Affirmative veut dire que le contrat nomme le cyber et dit ce qu'il en fait, couverture ou exclusion ; silencieuse veut dire que la réponse dépend d'une lecture.
- 03L'assureur y voit une exposition non tarifée, l'assuré une couverture non fiable, et les deux ont raison en même temps.
- 04L'invisibilité est le vrai défaut, plus que l'absence de prime : une exposition qu'on ne sait pas porter ne peut être ni gardée, ni réassurée, ni retirée.
- 05Ce n'est pas une faute de rédaction ancienne en voie d'extinction : le mécanisme recommence à chaque risque nouveau que les contrats ne nomment pas encore.