Toute la technique actuarielle classique repose sur une idée simple : le passé renseigne sur l'avenir, à condition que le mécanisme qui produit les sinistres reste stable. Un portefeuille automobile, un portefeuille incendie, un portefeuille de responsabilité décennale se tarifent ainsi depuis un siècle, parce qu'un conducteur de 2026 ressemble à celui de 2019 et qu'un bâtiment brûle comme il brûlait. Le cyber ne remplit pas cette condition, et il ne la remplira pas : ce n'est pas un défaut de données, c'est la nature du risque. Comprendre pourquoi permet de savoir ce qu'on met à la place, et surtout de ne pas remplacer une méthode par une intuition.
Trois raisons se cumulent et aucune ne se corrige en attendant. La première est que l'adversaire s'adapte : quand une mesure devient courante, les attaquants changent de chemin, si bien que la fréquence observée l'an dernier décrit un paysage qui n'existe plus. La deuxième est que la technologie sous-jacente change plus vite que la période d'observation : le parc informatique d'une entreprise en 2026 n'est pas celui de 2021, et un modèle calibré sur cinq ans mélange des populations différentes. La troisième est la corrélation, qui interdit de traiter les sinistres comme indépendants : une même vulnérabilité peut frapper des milliers d'assurés le même jour, ce qu'aucun portefeuille incendie ne fait.
Ce qu'on met à la place n'est pas une prédiction mais un faisceau, et il vaut mieux le dire ainsi que de prétendre à une science qu'on n'a pas. Le premier élément est l'exposition, mesurée sur ce qui produit le coût : nombre d'enregistrements de données personnelles détenus, chiffre d'affaires journalier interrompu, dépendance à un système unique. Le deuxième est la maturité des contrôles, prise dans le sens de ce qu'ils ferment plutôt que de leur conformité. Le troisième est le secteur, non par facilité mais parce que la cible et le mode opératoire en dépendent réellement. Le quatrième est la modélisation d'évènements, qui remplace la statistique par des scénarios chiffrés.
Cette modélisation par scénarios mérite d'être comprise pour ce qu'elle est. On ne demande pas au modèle quelle est la probabilité d'un sinistre, question à laquelle personne ne sait répondre ; on lui demande ce qui se passe si tel fournisseur d'infrastructure est indisponible quarante-huit heures, si telle famille de logiciels est massivement exploitée, si tel type de rançongiciel frappe un secteur. Le modèle produit alors une distribution de charges conditionnelle à un scénario, et le souscripteur travaille sur ces montants plutôt que sur une fréquence. C'est moins satisfaisant intellectuellement, et c'est ce dont on dispose.
Il faut ensuite tirer la conséquence tarifaire qui heurte le plus les assurés : une prime qui augmente alors qu'aucun sinistre n'est survenu n'est pas une anomalie. Si la fréquence d'un secteur a triplé en dix-huit mois, la prime de l'an dernier ne décrit plus le risque de cette année, et l'absence de sinistre chez cet assuré n'est pas une information sur son risque futur mais sur la taille de son échantillon, qui est de un. C'est l'inverse exact de ce qu'un exploitant attend d'une relation d'assurance, et c'est pourquoi la conversation de renouvellement se prépare avec des chiffres de marché plutôt qu'avec l'historique du client.
Un dernier phénomène mérite d'être nommé parce qu'il déforme les statistiques du marché : la sinistralité observée dépend de la couverture vendue. Quand les polices se sont mises à couvrir la perte d'exploitation sans dommage matériel, la charge moyenne a bondi sans que le nombre d'attaques n'ait changé. Une série historique qui mélange des périmètres de garantie différents mesure donc l'évolution des contrats autant que celle des attaques. Un actuaire qui ne retraite pas ce point voit une tendance là où il y a une réforme de rédaction.
La discipline tient en quatre habitudes. Ne jamais présenter une prime cyber comme dérivée de la sinistralité de l'assuré, parce que c'est faux et que la première question du client le montrera. Chiffrer l'exposition sur ce qui produit le coût, enregistrements et chiffre d'affaires journalier, plutôt que sur le chiffre d'affaires annuel. Travailler par scénarios chiffrés plutôt que par fréquence estimée. Et retraiter les séries historiques des changements de périmètre de garantie avant d'y lire une tendance, faute de quoi on tarife une réforme de contrat.
Un assureur renouvelle la police d'un groupe de distribution spécialisée, 340 millions d'euros de chiffre d'affaires, aucun sinistre cyber déclaré en quatre ans de relation. Sur les dix-huit derniers mois, la fréquence des rançongiciels dans ce secteur a triplé selon les données du marché, et la charge moyenne a doublé, cette dernière hausse s'expliquant pour moitié par l'élargissement des garanties de perte d'exploitation intervenu dans les contrats du marché. Le souscripteur propose une prime en hausse de 60 pour cent. Le directeur financier répond qu'il n'a jamais rien coûté et demande une baisse. Comment tenir cette conversation ?
Les deux interlocuteurs ont raison sur leur propre terrain, et c'est ce qui rend la conversation difficile plutôt que malhonnête. Le directeur financier constate un fait exact, aucun sinistre en quatre ans, et en tire une conclusion fausse : quatre ans sans sinistre chez un assuré renseignent sur la taille de son échantillon, qui est de un, et non sur son risque futur. En cyber, l'adversaire s'adapte, la technologie change plus vite que la période d'observation, et les sinistres sont corrélés : le passé de cet assuré ne tarife pas son avenir, et le lui dire franchement vaut mieux que d'habiller la hausse en argument commercial. Le souscripteur, lui, doit reprendre son propre chiffre avant de le défendre. La fréquence sectorielle a triplé, ce qui est une information réelle sur le risque. Mais la charge moyenne a doublé pour moitié seulement à cause des attaques : l'autre moitié vient de l'élargissement des garanties de perte d'exploitation dans les contrats du marché, c'est-à-dire d'une réforme de rédaction et non d'une aggravation. Une série non retraitée de ce changement de périmètre mesure l'évolution des contrats autant que celle des attaques, et une hausse de 60 pour cent construite dessus tarife en partie une réforme contractuelle. La conversation utile porte donc sur trois chiffres et pas sur l'historique : l'exposition réelle de ce groupe, mesurée en chiffre d'affaires journalier interrompu et en enregistrements détenus ; ce que ses contrôles ferment, sauvegarde hors ligne et segmentation en tête ; et une hausse retraitée du changement de périmètre, qui sera plus basse et défendable.
- 01Le cyber ne remplit pas la condition de stabilité qui fonde la technique actuarielle classique, et ce n'est pas un défaut de données mais la nature du risque.
- 02Quatre ans sans sinistre chez un assuré renseignent sur la taille de son échantillon, qui est de un, et non sur son risque futur.
- 03On remplace la fréquence estimée par des scénarios chiffrés : ce que coûte l'indisponibilité de tel fournisseur, pas la probabilité qu'elle survienne.
- 04L'exposition se mesure sur ce qui produit le coût, enregistrements détenus et chiffre d'affaires journalier, pas sur le chiffre d'affaires annuel.
- 05Une série historique qui mélange des périmètres de garantie différents mesure l'évolution des contrats autant que celle des attaques.