Solvabilité II repose sur deux postulats hérités de l'actuariat classique, la possibilité de diversifier des risques faiblement corrélés et celle d'en estimer la distribution à partir de données historiques. Le risque cyber contredit l'un et l'autre.
Entré en application en 2016, le cadre prudentiel Solvabilité II constitue le socle de la régulation des assureurs et réassureurs européens. Son architecture s'organise autour de trois piliers complémentaires. Le premier fixe les exigences quantitatives de capital et de provisionnement. Le deuxième encadre la gouvernance, la gestion des risques et l'évaluation interne de la solvabilité. Le troisième impose la transparence par un dispositif détaillé de reporting prudentiel et de communication au marché. Cette tripartition n'est pas décorative, elle distribue le traitement de chaque risque entre une dimension de capital, une dimension de gouvernance et une dimension d'information, et le risque cyber, nous le verrons, est traité très inégalement selon le pilier considéré.
Au coeur du premier pilier figure le capital de solvabilité requis, désigné par l'acronyme SCR. Sa définition est d'une exigence remarquable, il correspond au montant de fonds propres permettant d'absorber une perte d'une probabilité d'occurrence de 0,5 pour cent sur un horizon d'un an, c'est-à-dire un sinistre que l'on ne devrait observer en moyenne qu'une fois tous les deux cents ans. Cette valeur en risque à 99,5 pour cent, le fameux événement bicentennal, est la pierre angulaire de tout l'édifice. L'assureur la calcule soit par une formule standard fournie par le régulateur, soit par un modèle interne propre, approuvé par le superviseur et généralement réservé aux grands groupes disposant des moyens actuariels nécessaires.
La formule standard procède par décomposition du risque en modules, marché, défaut de contrepartie, souscription vie, santé et non-vie, auxquels s'ajoute le risque opérationnel. Chaque module fait l'objet d'un calcul de capital, puis les modules sont agrégés non par simple addition mais au moyen de matrices de corrélation. Ce procédé d'agrégation est le coeur conceptuel de la formule, et son hypothèse fondatrice mérite d'être explicitée, les différents risques ne se réalisent pas tous simultanément, de sorte que le capital total requis est inférieur à la somme des capitaux modulaires. C'est le bénéfice de diversification, qui récompense un assureur dont les expositions sont décorrélées. Toute la robustesse de la formule repose donc sur la stabilité et la modération de ces corrélations.
Cette construction présuppose deux choses que l'actuariat classique tient pour acquises. D'abord, que les risques soient suffisamment indépendants pour qu'un choc n'en déclenche pas mécaniquement plusieurs autres en cascade. Ensuite, que l'on dispose d'un historique de sinistres assez profond et assez stationnaire pour calibrer de façon crédible une queue de distribution aussi lointaine que le centile bicentennal. Le risque cyber, par sa nature même, contredit ces deux présupposés, et c'est précisément cette double contradiction qui en fait le révélateur des limites de l'édifice.
Avant d'être un produit qu'il vend, le cyber est d'abord un risque que l'assureur subit dans son propre fonctionnement. Une compagnie d'assurance est une entreprise massivement numérisée, dont les systèmes de gestion de polices, de tarification, de règlement des sinistres et de conservation des données personnelles constituent autant de surfaces d'attaque. Une intrusion, un rançongiciel ou une panne d'infrastructure infonuagique peut paralyser son activité, compromettre des données d'assurés et engager sa responsabilité. Dans la taxonomie prudentielle, ce risque relève du risque opérationnel, c'est-à-dire du risque de pertes résultant d'une défaillance de procédures, de personnes, de systèmes ou d'événements externes.
Le cyber est ensuite un risque que l'assureur transfère sciemment à son bilan en commercialisant des polices de cyberassurance, qu'il s'agisse de couvertures explicites, dites affirmatives, ou de garanties implicites logées dans des contrats classiques, le silent cyber évoqué dans un précédent article de cette série. Ce risque de souscription cyber a connu une croissance rapide. Munich Re estimait le marché mondial de la cyberassurance à 15,3 milliards de dollars de primes en 2024, soit moins de 1 pour cent du marché dommages, et anticipait un doublement à l'horizon 2030 à un rythme annuel supérieur à 10 pour cent1. La concentration géographique reste forte, l'Amérique du Nord représentant environ 69 pour cent des primes et l'Europe 21 pour cent1. La question prudentielle est alors de savoir comment Solvabilité II capte ces deux visages du cyber, celui que l'assureur subit et celui qu'il vend.
Le traitement du cyber subi par l'assureur illustre la rusticité du module de risque opérationnel de la formule standard. Ce capital se calcule de manière forfaitaire, par application de facteurs à des assiettes telles que les primes acquises et les provisions techniques, sans aucune sensibilité à la qualité réelle de la cybersécurité de l'entité. Une compagnie dotée d'une protection de pointe et une compagnie négligente se voient appliquer la même charge, pourvu que leurs volumes soient comparables. Plus contraignant encore, ce capital opérationnel est plafonné à 30 pour cent du capital de solvabilité de base2. Le risque opérationnel, et donc le cyber qu'il abrite, ne peut ainsi jamais représenter plus d'une fraction conventionnelle du besoin total, indépendamment de l'exposition réelle. Le message implicite de la formule est clair, le risque opérationnel est conçu comme un risque de second ordre, hypothèse de plus en plus difficile à défendre à l'ère des cyberattaques systémiques.
Le cyber vendu par l'assureur souffre d'un angle mort symétrique. La formule standard ne comporte aucun module de souscription spécifiquement cyber. L'exposition se trouve diluée dans le module de souscription non-vie, au sein du risque de primes et de réserves, calibré sur des facteurs sectoriels génériques, et le module de catastrophe non-vie, qui détaille des sous-modules pour les catastrophes naturelles et pour certaines catastrophes d'origine humaine comme l'incendie ou les risques maritimes, ne prévoit pas de scénario de catastrophe cyber. Or c'est précisément la dimension catastrophique, c'est-à-dire l'accumulation d'un grand nombre de sinistres déclenchés par un événement unique, qui constitue le danger central de la cyberassurance. La formule standard mesure donc le risque cyber avec des instruments conçus pour des risques de nature radicalement différente.
À ces deux angles morts s'ajoute la persistance du silent cyber, c'est-à-dire des expositions cyber non affirmées logées dans des polices classiques. La clarification contractuelle imposée par la directive LMA 21-042 du marché de Londres, analysée dans un article précédent, n'a pas d'équivalent réglementaire contraignant sur le continent, où l'EIOPA s'est contentée en 2022 de recommandations sur la gestion du cyber non affirmé et de ses exclusions3. Une exposition cyber résiduelle, mal tracée et donc mal capitalisée, demeure ainsi disséminée dans les portefeuilles dommages européens, échappant par construction à toute mesure prudentielle dédiée.
Le défaut le plus profond n'est pas l'absence de tel ou tel module, c'est l'inadéquation de la logique modulaire elle-même au risque cyber. La formule standard suppose des corrélations modérées et stables entre les risques. Le cyber viole frontalement cette hypothèse, car un événement systémique unique peut déclencher simultanément des pertes corrélées sur l'ensemble d'un portefeuille de souscription, sur le fonctionnement opérationnel de l'assureur, et même sur ses actifs financiers si l'événement perturbe les marchés. Les exemples ne manquent pas. L'attaque NotPetya de 2017 et l'incident CrowdStrike de 2024, étudiés dans cette série, ont montré qu'une cause technique unique pouvait frapper des dizaines de milliers d'organisations en quelques heures, faisant voler en éclats l'indépendance des sinistres sur laquelle repose la mutualisation.
Cette corrélation de queue, c'est-à-dire le fait que les risques deviennent fortement dépendants précisément dans les scénarios extrêmes, est le talon d'Achille de toute approche par agrégation. Les matrices de corrélation de la formule standard sont calibrées sur des conditions moyennes et sous-estiment structurellement la dépendance qui se manifeste dans la catastrophe. Le bénéfice de diversification que la formule accorde devient alors une illusion comptable, car la diversification supposée disparaît au moment précis où l'assureur en aurait le plus besoin. Un événement cyber majeur transforme un portefeuille apparemment diversifié en une exposition unique et concentrée.
Les grands assureurs cyber recourent à des modèles internes, qui permettent en principe une représentation plus fine de l'accumulation, par simulation de scénarios systémiques et par modélisation explicite des dépendances. Cette voie se heurte toutefois à une difficulté irréductible, la rareté et l'instabilité des données. Là où le risque incendie ou automobile s'appuie sur des décennies d'historique stationnaire, le risque cyber évolue plus vite que les données ne s'accumulent, la surface d'attaque, les techniques offensives et la dépendance aux mêmes fournisseurs critiques se transformant d'année en année. Le modèle interne déplace donc le problème sans le résoudre, il substitue à l'absence de module une dépendance à des modèles propriétaires dont la calibration repose sur des hypothèses fragiles et difficilement vérifiables par le superviseur.
Face à un risque qu'elle ne sait pas encore capitaliser correctement, l'autorité européenne a adopté une stratégie séquentielle dont la logique mérite d'être saluée, commencer par rendre le risque visible avant de prétendre le tarifer. La revue de Solvabilité II a ainsi introduit un modèle de reporting prudentiel spécifique, le modèle S.14.03 sur le risque de souscription cyber, qui impose aux assureurs non-vie concernés de déclarer leur exposition cyber de manière granulaire, par groupe de produits4. Ce modèle relève du troisième pilier, celui de la transparence, et non du premier, celui du capital. Il ne crée aucune charge supplémentaire, mais il dote le superviseur d'une cartographie de l'exposition cyber affirmée du marché, préalable indispensable à toute future calibration.
L'EIOPA a parallèlement développé une méthodologie de tests de résistance spécifique au cyber, publiée en 2023, qui définit des scénarios de souscription tels qu'une panne infonuagique généralisée, une vague de rançongiciels ou une coupure d'électricité prolongée, à appliquer au niveau granulaire des produits et des assurés5. Le risque de souscription cyber y est défini comme la capacité de l'assureur à absorber, du point de vue de sa solvabilité, l'impact financier d'un sinistre cyber. Cette approche par scénario contourne l'impossibilité de calibrer une distribution complète en testant la résistance du bilan à des chocs définis a priori, démarche plus modeste mais mieux adaptée à un risque dont la queue de distribution échappe à l'estimation statistique classique.
Le deuxième pilier complète ce dispositif en déplaçant la charge vers la gouvernance. L'évaluation interne des risques et de la solvabilité, l'ORSA, impose à chaque assureur une analyse prospective de ses risques propres, dans laquelle le cyber doit désormais figurer par des scénarios adaptés à son profil. En février 2026, l'EIOPA a révisé ses orientations sur le processus de contrôle prudentiel pour y intégrer explicitement les risques informatiques et cyber, invitant les superviseurs nationaux à les inscrire au coeur de leur examen6. Là où le premier pilier peine à fixer un chiffre, le deuxième organise une vigilance qualitative et continue, reconnaissance implicite que le cyber se gouverne mieux qu'il ne se capitalise.
La directive révisée du 4 décembre 2024, qui amende Solvabilité II, entrera en application le 30 janvier 2027, accompagnée d'un règlement délégué adopté en octobre 20257. Cette revue renforce la proportionnalité, intègre des exigences relatives au risque climatique et muscle les outils macroprudentiels, mais elle ne crée pas de module de capital cyber au sein de la formule standard. Le choix assumé du régulateur est de progresser par la transparence et la gouvernance plutôt que par une charge en capital dont la calibration serait, en l'état des données, largement arbitraire. Cette prudence est cohérente avec un risque dont la distribution n'est pas encore estimable, mais elle laisse subsister un décalage entre la sophistication de l'exposition et la rusticité de sa traduction en capital.
Un traitement prudentiel cyber-native supposerait de lever plusieurs verrous. Il faudrait d'abord des données sectorielles mutualisées, suffisamment riches et homogènes pour calibrer des scénarios d'accumulation crédibles, ce à quoi le reporting S.14.03 commence à contribuer. Il faudrait ensuite des modèles capables de représenter explicitement la corrélation de queue entre souscription, opérations et actifs, là où la formule modulaire la dissout. Il faudrait enfin trancher une question de fond, celle de savoir si une part du risque d'accumulation cyber, comme une part du risque climatique évoquée précédemment dans cette série, relève d'une capacité que le seul marché peut porter, ou si elle appelle un mécanisme de place ou un filet public, à l'image des dispositifs envisagés pour les catastrophes naturelles extrêmes.
La trajectoire de Solvabilité II face au cyber illustre une vérité plus générale sur la régulation financière, un cadre prudentiel ne peut capitaliser que ce qu'il sait mesurer, et il ne sait mesurer que ce dont il possède l'histoire. Le risque cyber, parce qu'il est jeune, mouvant et systémique, met cette limite à nu. La réponse européenne, faite de transparence accrue, de tests de résistance et de gouvernance renforcée, n'est pas un aveu d'impuissance mais l'expression d'une prudence méthodologique, refuser de chiffrer une queue de distribution que l'on ne maîtrise pas, et construire d'abord les conditions de sa mesurabilité future. La vraie question des prochaines années ne sera pas de savoir si le cyber finira par entrer dans la formule standard, mais de déterminer si l'industrie et le superviseur sauront accumuler, assez vite et assez collectivement, la connaissance qui rendra cette intégration autre chose qu'un exercice d'arbitraire calibré.
Économie souterraine, marchés de la rançon et tarification par les assureurs : comment le ransomware est devenu une industrie structurée dont la croissance est partiellement financée par les indemnisations des polices cyber.
Retour sur la directive Lloyd's LMA 21-042 et les implications pour les traités de réassurance Property & Casualty
Le marché des Insurance-Linked Securities représente une révolution silencieuse de la finance mondiale : pour la première fois, le risque de catastrophe naturelle quitte le bilan des assureurs pour rejoindre les portefeuilles des fonds de pension et des investisseurs institutionnels.
Un matin, une lettre vous apprend que votre logement ne sera pas réassuré. Vous n'avez rien fait de mal, votre maison n'a pas changé. Ce qui a changé, c'est que le hasard, sur lequel repose toute assurance, a discrètement quitté votre code postal.