Savoir qu'une police peut être silencieuse ne sert à rien tant qu'on ne sait pas déterminer si la sienne l'est. C'est un travail de lecture, il prend quelques minutes par contrat, et il consiste à ranger chaque police dans l'une de trois familles. La difficulté n'est pas la rareté de l'information : elle tient à ce que les clauses concernées portent des intitulés voisins, se ressemblent à l'oeil, et diffèrent sur trois ou quatre mots qui décident de tout. Un professionnel qui lit le titre d'une clause et croit savoir ce qu'elle fait se trompera régulièrement.
La première famille est l'exclusion sèche. Le contrat écarte les pertes résultant d'un acte cyber, sans exception, et la position est explicite : ce risque n'est pas ici, il est ailleurs ou nulle part. C'est la famille la plus facile à lire et la plus facile à mal juger, parce qu'une exclusion sèche n'est pas une mauvaise nouvelle en soi. Sur un programme où une police cyber affirmative porte le risque, elle évite la superposition de deux garanties, les discussions entre assureurs et les délais de règlement qui vont avec.
La deuxième famille est l'exclusion avec réintroduction, et c'est celle qui demande le plus d'attention. Le contrat écarte le risque cyber, puis rend la couverture à certains cas nommés : dommages matériels résultant d'un incendie ou d'une explosion consécutifs à un acte cyber, par exemple. La lecture utile n'est pas la réintroduction elle-même, elle est son complément : ce que la réintroduction ne cite pas reste exclu. Une réintroduction limitée à l'incendie et à l'explosion laisse donc dehors l'arrêt de production sans dommage physique, qui est le scénario le plus fréquent dans la plupart des industries.
La troisième famille est la garantie affirmative, où le contrat non cyber accorde explicitement quelque chose au titre du cyber, presque toujours avec une sous-limite et souvent avec une franchise propre. Elle est la moins fréquente et la plus commode, parce qu'elle transforme une question d'interprétation en une question de montant. Il faut alors lire trois choses et pas une : le montant de la sous-limite, sa place par rapport à la limite principale, et son articulation avec la police cyber affirmative du même assuré, qui peut la doubler ou la compléter selon les clauses d'ordre de règlement.
Il faut ensuite savoir où chercher, car ces clauses ne vivent pas toujours à l'endroit attendu. Une position sur le cyber peut être écrite dans les exclusions générales, dans une clause additionnelle annexée aux conditions particulières, dans la définition du dommage matériel, ou dans une condition de garantie portant sur les systèmes d'information. La définition du dommage matériel est la cachette la plus efficace : un contrat qui définit le dommage matériel comme une atteinte à la substance d'un bien tangible a réglé la question du chiffrement de données sans jamais écrire le mot cyber, et cette phrase se trouve au début du contrat, là où personne ne relit.
Quatre mots méritent une attention particulière quand on rencontre l'un d'eux, parce qu'ils déplacent la frontière plus que le reste de la phrase. Le mot données, selon qu'il est ou non traité comme un bien assurable, décide de la moitié des cas. Le mot consécutif, qui rattache un dommage physique à un acte cyber, décide de l'autre moitié. Le mot malveillant, quand il qualifie l'acte visé, laisse dehors l'erreur humaine et la panne, qui sont pourtant des causes fréquentes d'arrêt. Et l'expression acte cyber, si elle est définie dans le contrat, doit être lue dans sa définition et non dans le sens courant.
La méthode tient donc en quatre questions, posées dans cet ordre sur chaque contrat non cyber du programme. Le mot cyber, ou une définition qui en tient lieu, figure-t-il quelque part. Si oui, à laquelle des trois familles la clause appartient-elle. Si c'est une réintroduction, que laisse-t-elle dehors, écrit en une phrase et non en citant la clause. Et si le mot ne figure nulle part, la définition du dommage matériel tranche-t-elle la question sans le dire. Le résultat de ces quatre questions tient sur une ligne par contrat, et cette ligne est ce que la dernière leçon de ce cours assemble.
Un fabricant de matériaux de construction reçoit de son courtier trois propositions pour sa police dommages et pertes d'exploitation, limite 60 millions d'euros. La proposition A exclut les pertes résultant d'un acte cyber, sans exception. La proposition B exclut les pertes résultant d'un acte cyber malveillant, en réintroduisant les dommages matériels et les pertes d'exploitation qui en découlent lorsqu'ils résultent d'un incendie, d'une explosion ou d'un dégât des eaux consécutifs. La proposition C ne mentionne le cyber nulle part, mais définit le dommage matériel comme « toute atteinte physique à la substance d'un bien corporel assuré ». L'entreprise porte par ailleurs une police cyber affirmative de 5 millions. Son scénario redouté est l'arrêt de ses deux fours pendant trois semaines à la suite d'un rançongiciel, sans aucun dommage physique, chiffré à 12 millions de marge perdue. Laquelle des trois répond à ce scénario ?
Aucune des trois, et c'est le résultat qu'il faut établir avant de discuter des prix, parce qu'il change la question posée au marché. La proposition A l'écarte explicitement, sans ambiguïté, et sa lecture prend dix secondes. La proposition B est celle qui trompe, et elle mérite d'être lue à l'envers : la réintroduction cite l'incendie, l'explosion et le dégât des eaux, et le scénario redouté n'en comporte aucun ; ce que la réintroduction ne cite pas reste exclu, donc un arrêt de fours sans dommage physique reste dehors. Le mot malveillant y ajoute un second effet, dans l'autre sens et souvent inaperçu : une panne ou une erreur humaine ne serait pas un acte malveillant, donc pas exclue par cette clause, ce qui élargit la couverture sur un scénario que l'entreprise n'a pas nommé. La proposition C est la plus intéressante et la plus dangereuse à mal lire, parce qu'elle a l'air silencieuse et ne l'est pas : en définissant le dommage matériel comme une atteinte physique à la substance d'un bien corporel, elle règle le sort du chiffrement de données sans écrire le mot cyber, et un arrêt de production sans atteinte physique ne franchit pas le seuil de déclenchement. Sa position est donc explicite en fait et implicite en forme, ce qui est exactement la cachette décrite dans la leçon. Il reste la police cyber affirmative de 5 millions, seule à répondre du scénario, et elle laisse 7 millions à la charge de l'entreprise sur les 12 attendus. Deux conséquences suivent, et la seconde compte plus que la première. La première est que le choix entre A, B et C ne doit pas se faire sur le cyber, puisque aucune ne le couvre sur le scénario redouté ; il se fait sur le reste, et la clarté de A a une valeur propre. La seconde est que le sujet à porter au marché n'est pas la police dommages, c'est la limite de la police cyber, et l'avoir établi par la lecture plutôt que par un sinistre est tout le bénéfice de cette leçon.
- 01Trois familles et trois seulement : exclusion sèche, exclusion avec réintroduction, garantie affirmative sous-limitée.
- 02Sur une réintroduction, ce qui compte n'est pas ce qu'elle cite mais son complément : ce qu'elle ne cite pas reste exclu.
- 03Une exclusion sèche n'est pas une mauvaise nouvelle quand une police cyber affirmative porte le risque : elle évite la superposition et les délais.
- 04La définition du dommage matériel est la cachette la plus efficace : elle tranche le sort des données sans jamais écrire le mot cyber.
- 05Quatre mots déplacent la frontière plus que le reste de la phrase : données, consécutif, malveillant, et la définition d'acte cyber si elle existe.