Le Sénat prolonge TRIA jusqu'en 2034 : un ministre y qualifie l'acte, et le contrat cyber n'a personne pour le faire

Dans la soirée du 28 septembre 2026, le Sénat des États-Unis a adopté par consentement unanime le Terrorism Risk Insurance Program Reauthorization Act of 2026 (S. 4395), qui prolonge jusqu'en 2034 le programme fédéral de soutien à l'assurance du terrorisme, rapporte Insurance Journal le 29 septembre. Le programme expire à la fin de 2027. La commission bancaire du Sénat avait approuvé le texte par 24 voix contre 0 plus tôt dans le mois, et la Chambre des représentants avait voté sa propre prolongation en juin. Selon les sources du journal, les deux textes diffèrent : il faudra un compromis, ou l'adoption de l'un des deux.

Insurance Journal rappelle le fonctionnement du dispositif, que le journal décrit comme un programme de réassurance. Il n'entre en jeu que si le secrétaire au Trésor certifie un acte comme terroriste et si les pertes franchissent un seuil, avec des franchises et une participation aux pertes à la charge des assureurs. Il n'a jamais été déclenché par un événement certifié, et il a déjà dû être reconduit en 2005, 2007, 2015 et 2019. Cette fois, la profession a obtenu le vote plus d'un an avant l'échéance, pour éviter l'incertitude sur les contrats en cours.

Le même jour, Artemis publie un entretien avec Raffaele Dell'Amore, associé du gérant Icosa Investments, dans un marché des obligations catastrophe dont l'encours atteint le record de 65,6 milliards de dollars. Il juge le cyber « une extension relativement naturelle » des insurance-linked securities, à une réserve près : la modélisation, les définitions contractuelles et la standardization doivent encore progresser, et « l'interaction d'un événement cyber véritablement systémique avec les marchés financiers au sens large reste non testée ».

Les deux faits portent sur la même question : qui tient la queue d'un risque que la diversification ordinaire ne dilue pas. Pour le terrorisme aux États-Unis, la réponse est écrite dans la loi depuis 2002, et un vote sans opposition vient de la prolonger de sept ans. Pour le cyber, elle se construit dans le marché, et le capital des ILS se présente pour en porter une part, avec les précautions que ce gérant énonce.

Ce que ni le compte rendu du Sénat ni l'entretien ne rapprochent, c'est l'endroit où chacun place la qualification politique de l'événement. Dans TRIA, elle a un titulaire : un membre du gouvernement, le secrétaire au Trésor, décide qu'un acte est terroriste, et c'est cette décision, avant tout montant de perte, qui ouvre le filet. Dans un contrat cyber, la qualification équivalente, savoir si une attaque est le fait d'un État, n'a ni titulaire ni calendrier : elle dépend d'une clause d'exclusion de guerre et d'une attribution que les gouvernements rendent quand ils le choisissent. La semaine en donne la mesure, hors du cyber : le 29 septembre, l'Estonie attribue « en pleine confiance » aux services spéciaux russes l'incendie criminel commis le 15 août contre un fabricant d'équipements de défense à Tallinn, quarante-cinq jours après les faits, alors que l'enquête pénale est toujours en cours, et le ministre des Affaires étrangères annonce dans la foulée qu'il demandera un durcissement des sanctions (Insurance Journal). Les définitions contractuelles que Dell'Amore demande d'améliorer sont exactement cet endroit : c'est là que le risque politique entre dans le contrat cyber, et c'est là que la titrisation le transmettra à des investisseurs.

Pour un souscripteur cyber, la conséquence se consigne police par police : selon la rédaction retenue, qui qualifie l'acte d'étatique (un gouvernement, l'assureur, un juge), dans quel délai, et ce que devient un sinistre réglé avant que l'attribution n'arrive. Pour un gérant qui étudie une obligation cyber, la même question se pose à l'échelle de l'instrument : une attribution rendue quarante-cinq jours après l'événement peut tomber après la clôture de la période de déclaration, et la qualification qui décide du paiement dépend alors d'un calendrier que ni le cédant ni l'investisseur ne tient. TRIA a réglé ce point pour le terrorisme en nommant la personne qui décide ; le contrat cyber le laisse à la rédaction de chaque clause.

On ne sait pas en quoi le texte du Sénat diffère de celui de la Chambre : le compte rendu ne le détaille pas, et c'est pourtant là que se lirait tout changement de seuil, de franchise ou de périmètre. On ne sait pas non plus si l'un des deux textes traite des attaques informatiques, dont l'article ne dit rien. Il faudra lire le texte de compromis avant l'échéance de fin 2027, et, du côté des ILS, les premières émissions cyber qui écriront noir sur blanc qui qualifie l'acte étatique, et à quelle date cette qualification doit être rendue pour compter.