Retour sur la directive Lloyd's LMA 21-042 et les implications pour les traités de réassurance Property & Casualty
Pendant plusieurs décennies, les polices d'assurance non-vie ont été rédigées dans un monde où l'économie numérique n'existait pas encore ou n'était pas perçue comme une source de sinistres tangibles. Une police d'assurance propriété couvrait les dommages physiques causés par l'incendie, l'explosion, les intempéries ou le vol ; une police de responsabilité civile professionnelle couvrait les erreurs et omissions dans l'exercice d'une activité. Aucune des deux ne mentionnait le mot "cyber", tout simplement parce que la question ne se posait pas.
C'est précisément cet héritage rédactionnel qui a créé ce que le marché appelle le silent cyber, ou cyber non affirmé : l'ensemble des expositions au risque cyber qui se trouvent imbriquées dans des polices classiques sans y être explicitement nommées, tarifées, ni, dans la majorité des cas, intentionnellement couvertes par l'assureur. Le silence du contrat sur la question cyber ne signifie pas que la couverture est exclue ; dans de nombreux systèmes juridiques, et notamment en droit anglais, l'absence d'exclusion explicite peut être interprétée comme une inclusion implicite. C'est ce vide contractuel qui constitue l'essence même du problème.
La quantification de l'exposition silent cyber du marché mondial est, par nature, difficile à réaliser précisément, puisque celle-ci est par définition non tracée dans les systèmes de souscription des assureurs. Les estimations les plus rigoureuses, publiées par le Cambridge Centre for Risk Studies et reprises par Lloyd's dans ses publications de marché, situaient l'exposition globale du marché non-vie au silent cyber entre 100 et 300 milliards de dollars de primes annuelles à risque en 2019, dont une fraction inconnue, mais potentiellement très significative, portait une exposition cyber non intentionnelle.1
Avant juin 2017, le silent cyber était un sujet de discussion technique dans les cercles actuariels et juridiques du marché londonien. Après NotPetya, il est devenu une urgence industrielle. L'attaque, attribuée par les gouvernements américain, britannique et européen aux services de renseignement militaire russe (GRU), s'est propagée via le logiciel de comptabilité ukrainien M.E.Doc et a infecté des dizaines de milliers de systèmes d'entreprises opérant en Ukraine avant de se diffuser mondialement via les réseaux internes des grands groupes multinationaux.2
Parmi les victimes figuraient des noms dont aucun n'avait de lien direct avec l'Ukraine : le fabricant agroalimentaire Mondelez (pertes estimées à 180 millions de dollars), le groupe pharmaceutique Merck (870 millions de dollars), le transporteur maritime Maersk (300 millions de dollars) ou encore le groupe Saint-Gobain (80 millions d'euros). Tous avaient souscrit des polices d'assurance propriété ou de biens. Aucune de ces polices ne mentionnait le cyber.
Les assureurs qui avaient couvert ces entreprises via des polices propriété ont massivement invoqué les clauses d'exclusion "acte de guerre" ou "hostilités" présentes dans la quasi-totalité des polices non-vie depuis le début du XXe siècle. Ces clauses, conçues pour exclure les destructions physiques causées par des conflits armés entre États, visaient un contexte évidemment très différent des cyberattaques de la fin des années 2010. Zurich Insurance, principal assureur de Mondelez, refusa d'indemniser et invoqua cette exclusion. Le litige fut réglé à l'amiable en 2022 dans des conditions non divulguées.3
Le cas Merck fut encore plus retentissant. Le tribunal de première instance du New Jersey statua en janvier 2022 que l'exclusion "acte de guerre" ne pouvait s'appliquer à une cyberattaque, au motif que les clauses d'exclusion hostility rédigées au XXe siècle visaient des actes d'hostilité cinétique entre nations et non des opérations cyber. Cette décision, confirmée en appel en mai 2023, contraignit les assureurs de Merck à verser l'intégralité des 1,4 milliard de dollars réclamés, un montant bien supérieur à la prime perçue.4
Ces deux affaires ont dessiné les contours d'un problème structurel. D'un côté, des assureurs qui avaient souscrit des risques industriels sans jamais avoir l'intention de couvrir le cyber et qui se retrouvaient exposés à des sinistres massifs. De l'autre, des assurés de bonne foi qui avaient payé des primes pendant des années et qui découvraient, au moment du sinistre, que la frontière entre couverture et exclusion était entièrement dépendante du résultat d'un litige judiciaire. Cette incertitude était insupportable pour les deux parties.
Lloyd's of London a été le premier marché d'assurance à prendre la mesure du problème de façon systématique et à imposer une réponse normative à ses syndicats. En janvier 2019, Lloyd's publie le bulletin de marché Y5258, qui constitue le premier texte contraignant imposant aux syndicats opérant sur la place de London une action explicite sur le silent cyber dans leurs portefeuilles.5 Le bulletin formule une exigence simple dans son principe mais complexe dans son exécution : toutes les polices souscrites par les syndicats Lloyd's doivent, à partir des échéances fixées par classes de risque, soit affirmer explicitement que le cyber est couvert, soit l'exclure explicitement. La neutralité contractuelle, c'est-à-dire le silence, n'est plus une option acceptable.
Le calendrier imposé par Y5258 est progressif. Les polices d'assurance propriété avec garantie dommages physiques doivent se conformer à la nouvelle exigence dès le 1er janvier 2020 ; toutes les autres classes d'assurance non-vie, au plus tard le 1er janvier 2021. La priorité accordée aux polices propriété n'est pas arbitraire : c'est précisément là que l'exposition silent cyber est la plus lourde financièrement, en raison des garanties d'interruption d'exploitation dont les sinistres peuvent atteindre des montants considérables.
Si Y5258 pose le principe, c'est la directive LMA 21-042, publiée par la Lloyd's Market Association au cours du premier trimestre 2021, qui en assure l'opérationnalisation technique. La LMA est l'organe qui représente les syndicats de souscription sur la place londonienne et qui publie les clauses modèles standardisées utilisées par le marché. La directive 21-042 accompagne la mise en conformité de l'ensemble des classes non-vie en fournissant aux souscripteurs un cadre de clauses prérédigées, validées juridiquement et adaptées aux différentes situations contractuelles rencontrées en pratique.6
La directive distingue explicitement trois situations dans lesquelles un souscripteur peut se trouver face à un risque non-cyber. La première est celle de l'exclusion pure : le souscripteur décide que la police ne couvrira aucun sinistre dont la cause principale ou contributive est un événement cyber, quelle que soit sa nature. La deuxième est celle de l'affirmation partielle : le souscripteur accepte de couvrir certaines conséquences cyber définies limitativement, tout en excluant d'autres. La troisième, plus rare mais existante, est celle de l'affirmation complète : le souscripteur décide d'inclure explicitement la totalité du risque cyber dans la police, avec une tarification et une analyse du risque adaptées. La directive précise que la deuxième option, l'affirmation partielle, est celle qui demande le plus de vigilance rédactionnelle, car la définition des périmètres inclus et exclus détermine entièrement la qualité de la couverture.
Le marché londonien dispose d'un corpus de clauses standardisées dont les plus utilisées pour l'exclusion cyber sont la clause NMA 2914 (dite CL 380 dans sa version maritime), dont les origines remontent aux années 1990 et qui a été progressivement révisée, et la clause LMA 9340, plus récente et plus précisément rédigée pour couvrir les cyberattaques au sens contemporain du terme.7 Ces deux clauses reposent sur un mécanisme identique : elles excluent de la garantie les pertes dont la cause proximale ou distale est un événement cyber, défini comme toute utilisation malveillante d'un système informatique, d'un réseau ou d'un dispositif électronique.
La clause LMA 9340 présente un avantage rédactionnel significatif sur ses prédécesseurs en ce qu'elle définit précisément les termes "cyberattaque" et "cyberincident", évitant ainsi les ambiguïtés d'interprétation qui avaient alimenté le contentieux autour des clauses "guerre et hostilités" dans les affaires NotPetya. Elle intègre également une liste explicite de types d'événements couverts par l'exclusion, ce qui réduit considérablement la surface de litige potentiel.
La LMA 9341, variante de la précédente, va plus loin en excluant non seulement les cyberattaques malveillantes mais également les défaillances de systèmes informatiques d'origine non malveillante, ce qu'on pourrait appeler le "cyber accidentel". Cette extension est précisément ce qui aurait permis aux assureurs de se défendre plus aisément face à des sinistres de type CrowdStrike, si la clause avait été systématiquement adoptée. Or, en 2024, seule une minorité des polices propriété du marché non-Lloyd's avait incorporé cette formulation étendue.
Au-delà du choix de la clause, la mise en œuvre concrète du principe d'affirmation ou d'exclusion se heurte à un problème de causalité dans les sinistres qui combinent une composante cyber et une composante physique. Prenons un exemple concret : une attaque sur le système de contrôle industriel (SCADA) d'une usine chimique provoque une explosion et un incendie causant des dommages physiques et des pertes d'exploitation importantes. La cause proximale du sinistre est physique (l'explosion). La cause initiale est cyber (l'attaque sur le SCADA). Selon que la clause retenue se réfère à la cause proximale ou à la cause efficiente de l'événement, la couverture s'applique ou non.
Ce problème de proportionnalité causale est loin d'être anecdotique. Il concerne en pratique toute une gamme de secteurs où les systèmes informatiques pilotent des processus physiques, notamment l'industrie, l'énergie, les transports, la santé et les infrastructures urbaines. La directive LMA 21-042 recommande d'indiquer explicitement dans la clause retenue si c'est la cause proximale ou la cause efficiente qui détermine l'application de la garantie, mais cette recommandation n'a pas été universellement suivie par les souscripteurs.8
Le silent cyber n'est pas un problème qui s'arrête à la relation entre l'assureur direct et son assuré. Il se propage mécaniquement dans la chaîne de réassurance, parfois de façon invisible, jusqu'aux réassureurs qui n'ont jamais eu connaissance de l'existence d'une exposition cyber dans le portefeuille qu'ils acceptent en traité. Cette propagation prend deux formes principales selon le type de traité concerné.
Dans un traité en quote-part (pro-rata), le réassureur partage une proportion fixe de chaque prime et de chaque sinistre du portefeuille cédé. Si le portefeuille de l'assureur direct contient une exposition silent cyber non tracée, le réassureur la prend en charge à hauteur de sa quote-part sans l'avoir modélisée ni pricée. Le risque est donc directement lié à la qualité des informations transmises par le cédant dans les bordereaux de risque, lesquels ne mentionnaient que rarement, avant 2021, la présence ou l'absence d'exposition cyber dans les risques individuels.
Dans un traité en excédent de sinistres (XL), la situation est différente mais potentiellement plus dangereuse. Le réassureur ne partage pas les petits sinistres mais s'engage à indemniser le cédant au-delà d'une rétention donnée. Un événement cyber systémique, tel que NotPetya ou CrowdStrike, génère de nombreux sinistres simultanés qui peuvent collectivement dépasser la rétention dans des proportions très difficiles à anticiper si le réassureur n'avait pas modélisé l'accumulation cyber dans le portefeuille de son cédant. C'est précisément ce scénario d'accumulation dans les traités XL propriété qui constitue le cauchemar prudentiel des réassureurs depuis 2017.
L'un des enjeux les plus complexes posés par la directive LMA 21-042 pour les réassureurs est celui de la cohérence contractuelle entre les polices directes et les traités de réassurance, ce qu'on appelle dans le jargon la couverture back-to-back. Idéalement, si l'assureur direct a exclu le cyber dans ses polices propriété, son traité de réassurance devrait contenir la même exclusion, et vice versa. Or, dans la réalité du marché, cette cohérence n'est pas automatique.
Plusieurs facteurs expliquent ce décalage. D'abord, les renouvellements des polices directes et des traités de réassurance n'ont souvent pas les mêmes dates d'effet, ce qui crée des fenêtres temporelles pendant lesquelles la police directe a été mise à jour mais le traité ne l'est pas encore. Ensuite, les traités pluriannuels, fréquents dans certains segments de la réassurance property, ont figé des termes rédigés avant l'entrée en vigueur de la directive LMA 21-042 et ne peuvent être modifiés qu'à l'échéance contractuelle. Enfin, et c'est peut-être le problème le plus structurel, les informations transmises par les cédants aux réassureurs sur la composition réelle de leur portefeuille restaient insuffisamment granulaires pour permettre aux réassureurs d'évaluer l'exposition résiduelle au silent cyber dans les portefeuilles qu'ils acceptaient.9
La mise en œuvre de LMA 21-042 a eu des effets tangibles sur la tarification et les conditions des traités de réassurance property à partir des renouvellements 2022 et 2023. Les réassureurs ont commencé à exiger des cédants la fourniture d'une déclaration de conformité attestant que le portefeuille cédé respecte les exigences de LMA 21-042. Certains réassureurs ont inséré dans les conditions des traités des clauses de résiliation ou de modification de taux en cas de non-conformité du cédant.
Sur le plan tarifaire, la clarification du périmètre cyber dans les polices directes a eu un effet paradoxal sur les primes de réassurance property. D'un côté, la réduction de l'incertitude sur le périmètre de couverture a diminué le chargement d'incertitude que les réassureurs appliquaient implicitement à leurs tarifs. De l'autre, la reconnaissance explicite que certaines polices property affirmaient désormais une couverture cyber a conduit certains réassureurs à augmenter leurs primes pour les tranches de traité susceptibles d'être touchées par un événement d'accumulation systémique, en particulier les tranches haute tour des programmes XL catastrophe.
La directive LMA 21-042 et les exigences du bulletin Y5258 sont contraignantes pour les syndicats opérant sur la place de Lloyd's. Elles ne s'imposent pas, en revanche, aux marchés continentaux européens, aux assureurs américains, aux marchés asiatiques ou aux Bermudes. Cette asymétrie réglementaire a créé des opportunités d'arbitrage : des assureurs opérant hors du champ de la réglementation Lloyd's ont pu continuer à souscrire des risques non-vie sans affirmation ni exclusion cyber explicite, capturant des primes que les syndicats londoniens ne pouvaient plus accepter sans mise en conformité.
Les régulateurs continentaux, notamment l'EIOPA au niveau européen et l'ACPR en France, ont publié entre 2021 et 2023 des recommandations allant dans le même sens que Lloyd's, mais sous forme de guidance non contraignante plutôt que d'exigence réglementaire opposable. La Directive Solvabilité II ne contient pas, à date, de disposition spécifique imposant aux assureurs européens la même clarté contractuelle que celle exigée par Lloyd's.10 Ce déficit de convergence réglementaire internationale reste l'un des angles morts majeurs de la lutte contre le silent cyber à l'échelle globale.
La mise en conformité LMA 21-042 a progressé rapidement sur les grands risques industriels, où les souscripteurs et les courtiers disposent des ressources juridiques et techniques nécessaires pour réviser les contrats. Elle est beaucoup plus lente sur le segment des petites et moyennes entreprises, où les polices multirisques professionnelles sont souvent des produits standardisés distribués par des réseaux bancaires ou des courtiers généralistes qui ne maîtrisent pas la subtilité des clauses cyber. Dans ce segment, le silent cyber résiduel reste significatif et mal quantifié en 2026, plusieurs années après l'entrée en vigueur du cadre LMA.
L'événement CrowdStrike de juillet 2024 a ouvert un nouveau chapitre dans l'histoire du silent cyber. Après avoir résolu, au moins partiellement, la zone grise entre "couvert" et "exclu" grâce à LMA 21-042, le marché se retrouve confronté à une deuxième zone grise, celle qui oppose le "cyber malveillant" au "cyber accidentel". La plupart des clauses d'exclusion rédigées entre 2019 et 2023 excluent les sinistres résultant d'une cyberattaque, c'est-à-dire d'un acte intentionnel et hostile. Elles n'excluent pas, ou pas explicitement, les sinistres résultant d'une défaillance logicielle accidentelle de grande ampleur, même si celle-ci touche simultanément des millions de systèmes.
Cette lacune crée une situation symétrique à celle du silent cyber originel : les assureurs qui avaient sincèrement cru avoir exclu le risque cyber de leurs polices propriété via une clause ciblant la malveillance découvrent qu'ils restent potentiellement exposés aux événements cyber accidentels de grande ampleur. Le marché a commencé à répondre à ce problème en 2025, notamment via la révision des clauses LMA pour intégrer des formulations plus larges visant toute "défaillance informatique généralisée" quelle qu'en soit l'origine, mais cette mise à jour est encore loin d'être universelle.11
L'histoire normative du silent cyber suit une logique d'itérations successives face à des événements qui révèlent chaque fois une lacune que la génération précédente de clauses n'avait pas anticipée. La première génération de clauses, héritée du XXe siècle, ignorait totalement le cyber. La deuxième génération, issue de LMA 21-042 et des clauses LMA 9340-9341, a résolu le problème de la malveillance cyber mais laissé ouvert le problème du cyber accidentel. La troisième génération, en cours de construction en 2025-2026, cherche à couvrir l'ensemble du spectre des événements cyber systémiques, qu'ils soient intentionnels ou non, tout en préservant la capacité des assureurs non-cyber à souscrire des risques physiques sans prendre de bilan cyber non intentionnel.
Cette troisième génération devra également trancher la question de la couverture des conséquences physiques des cyberattaques sur les systèmes industriels, un sujet que ni les clauses de première ni de deuxième génération n'ont traité de façon satisfaisante. Le marché de l'assurance cyber est encore jeune ; il a environ vingt-cinq ans d'existence commerciale contre plusieurs siècles pour l'assurance maritime ou incendie. Il est probable que les quinze prochaines années verront autant d'évolutions normatives que les quinze dernières, à mesure que la numérisation de l'économie physique continue de brouiller les frontières entre risque matériel et risque immatériel.
1. Cambridge Centre for Risk Studies, University of Cambridge Judge Business School, Cyber risk outlook, 2019 ; Lloyd's of London, Realistic Disaster Scenarios for Cyber, édition 2020.
2. White House Press Secretary, communiqué du 15 février 2018 attribuant NotPetya au GRU russe ; UK National Cyber Security Centre, communiqué conjoint, même date.
3. Mondelez International Inc. v. Zurich American Insurance Company, Circuit Court of Cook County, Illinois ; règlement à l'amiable annoncé en octobre 2022.
4. Merck & Co. v. Ace American Insurance Company et al., Superior Court of New Jersey, Appellate Division, arrêt du 13 mai 2023. Montant des indemnités : 1,4 milliard de dollars.
5. Lloyd's of London, Market Bulletin Y5258, Cyber risk and the Lloyd's market, 10 janvier 2019.
6. Lloyd's Market Association, Cyber guidance and model clauses, bulletin LMA 21-042, premier trimestre 2021.
7. Lloyd's Market Association, clause LMA 9340 (Cyber Attack Exclusion Clause) et LMA 9341 (Cyber and Data Exclusion) ; NMA 2914 (Electronic Data Endorsement A) et NMA 2915 (Electronic Data Endorsement B).
8. Comité technique LMA, Cyber affirmation and exclusion : guidance on proximate and efficient cause, note technique, 2021.
9. Swiss Re Institute, Closing the silent cyber protection gap, sigma 3/2022.
10. EIOPA, Understanding cyber underwriting risk, rapport thématique, décembre 2023 ; ACPR Banque de France, Le risque cyber dans le secteur de l'assurance, analyse et synthèse n° 130, 2021.
11. Lloyd's Market Association, notes de marché 2025 relatives à la révision des clauses LMA 9340 et 9341 pour intégrer les événements cyber non malveillants de grande ampleur.
Le marché des lignes financières offre, depuis 2018, le cas d'école le plus pur du cycle de souscription. Un assainissement de l'offre a heurté la peur d'une vague de sinistres liée au Covid pour produire le marché dur le plus brutal du siècle.
Solvabilité II repose sur deux postulats hérités de l'actuariat classique, la possibilité de diversifier des risques faiblement corrélés et celle d'en estimer la distribution à partir de données historiques. Le risque cyber contredit l'un et l'autre.
Économie souterraine, marchés de la rançon et tarification par les assureurs : comment le ransomware est devenu une industrie structurée dont la croissance est partiellement financée par les indemnisations des polices cyber.
Un dirigeant prend une décision, une fusion, un lancement, une restructuration. Elle échoue, les actionnaires perdent de l'argent et le poursuivent, lui, personnellement. Sa maison, son épargne sont en jeu. Et pourtant il dort tranquille, car il existe une assurance qui le couvre contre les conséquences de son propre jugement.
Une entreprise moyenne reçoit une lettre de son plus gros client, une clause exigeant la preuve de sa conformité à NIS2 sous quatre-vingt-dix jours, sinon le contrat s'arrête. Son dirigeant n'a jamais entendu parler de NIS2. Et il a tort de ne pas s'en inquiéter.