L'exclusion de guerre reposait sur une guerre identifiable. La guerre hybride efface la déclaration, l'attribution, les frontières et le caractère cinétique, rendant l'exclusion presque inapplicable. De NotPetya au retrait de Lloyd's, comment assurer un risque conçu pour rester sans auteur.
De toutes les exclusions que comporte un contrat d'assurance, celle de la guerre est la plus ancienne et la plus stable. Elle remonte aux grands conflits du vingtième siècle et n'a jamais été sérieusement remise en cause, car la guerre incarne ce que la théorie assurantielle nomme le risque fondamental, par opposition au risque particulier. Un incendie isolé frappe un assuré sans toucher les autres, et la mutualisation joue pleinement. Une guerre, au contraire, frappe simultanément un très grand nombre d'assurés, détruit des actifs entiers, échappe à toute loi statistique stable et résulte d'une volonté humaine délibérée que nul assureur ne peut contrôler ni prévoir. Aucune prime ne saurait financer une telle accumulation de pertes corrélées, et c'est pourquoi la guerre a toujours été tenue pour structurellement inassurable1.
Si l'exclusion de guerre a si bien fonctionné pendant un siècle, ce n'est pas seulement parce que la guerre était grave, c'est parce qu'elle était identifiable. La guerre classique possédait quatre propriétés qui permettaient de dire, sans trop d'hésitation, qu'un sinistre relevait ou non de la guerre. Elle était déclarée, ou du moins ouvertement assumée par un État. Elle était attribuable, le belligérant étant connu et revendiquant ses actes. Elle était bornée, dans l'espace par des fronts et dans le temps par un début et une fin. Elle était enfin cinétique, faite d'explosifs, de blindés et de troupes, laissant des traces matérielles indiscutables. Ces quatre propriétés faisaient de l'exclusion une clause applicable, car la question de savoir si un dommage résultait de la guerre admettait une réponse. C'est précisément cette réponse que la guerre hybride rend introuvable.
La guerre hybride, parfois appelée conflit de zone grise, désigne l'ensemble des opérations qui restent en deçà du conflit ouvert tout en imposant des coûts et une incertitude considérables à l'adversaire. Elle se mène par cyberattaques, par sabotage d'infrastructures, par brouillage des signaux de navigation, par désinformation, par tout moyen qui blesse sans franchir le seuil formel de la guerre. Depuis le début de 2024, au moins onze câbles sous-marins de communication et d'énergie ont été endommagés en mer Baltique, et des sources informelles de l'OTAN évoquent une part importante des câbles transatlantiques affectés par des causes suspectes2. Ces atteintes, conduites au moyen d'une flotte fantôme de navires sous pavillon de complaisance traînant leurs ancres sur les fonds marins, illustrent une stratégie délibérément ambiguë, à faible coût et à fort rendement.
L'enjeu pour l'assurance est que la guerre hybride efface méthodiquement les quatre propriétés sur lesquelles reposait l'exclusion. Elle n'est pas déclarée, puisqu'elle se tient sous le seuil du conflit assumé. Elle n'est pas attribuable, ses auteurs recourant à des intermédiaires, des navires sous pavillon tiers, des groupes criminels ou diasporiques, pour brouiller la responsabilité. Elle n'est pas bornée, car une cyberopération se propage sans frontière et un sabotage de câble produit des effets en chaîne très au-delà de sa cible. Elle n'est pas cinétique, ne laissant souvent qu'une ligne de code ou une ancre que l'on peut dire traînée par accident. L'épisode du navire saisi puis relâché par la Suède au début de 2025, faute de pouvoir prouver l'intention, résume cette indétermination3. La question fondatrice de l'exclusion, ce dommage relève-t-il de la guerre, devient alors une question sans réponse certaine.
À ces quatre effacements s'ajoute une confusion plus insidieuse, celle qui brouille la limite entre la criminalité, l'espionnage et la guerre. Les rançongiciels offrent l'exemple le plus net de cette zone trouble. Une attaque peut être menée par un groupe criminel agissant pour le profit, mais toléré, abrité ou orienté par un État qui y trouve un intérêt stratégique. Faut-il alors la traiter comme un acte de délinquance, couvert par la police cyber, ou comme une opération étatique, qu'une exclusion écarte. La réalité se présente moins comme une frontière nette que comme un continuum, où chaque attaque mêle des degrés variables de motivation lucrative et d'intérêt étatique. Or l'exclusion suppose une coupure binaire, l'attaque est étatique ou elle ne l'est pas, là où le phénomène est par nature graduel. Cette inadéquation entre la logique binaire de la clause et la nature continue de la menace est l'une des sources les plus profondes de l'incertitude de couverture.
Cette dissolution n'est pas une abstraction, elle a déjà coûté des milliards et failli faire vaciller le marché. Le 27 juin 2017, à la veille de la fête nationale ukrainienne, un logiciel malveillant baptisé NotPetya, introduit par la mise à jour d'un logiciel comptable ukrainien, s'est propagé à plus de soixante pays en quelques heures, causant environ dix milliards de dollars de dommages mondiaux4. Les États-Unis l'ont attribué en 2018 au renseignement militaire russe, et la justice américaine a inculpé en 2020 six officiers du GRU. Le laboratoire pharmaceutique Merck a perdu environ 1,4 milliard de dollars, le groupe Mondelez plus de cent millions, le transporteur Maersk, qui assure près d'un cinquième du commerce mondial, entre deux cent cinquante et trois cents millions. Une arme conçue pour frapper l'Ukraine avait débordé sur l'économie mondiale, exposant des assureurs qui n'avaient jamais tarifé un tel risque.
La paralysie de Maersk illustre concrètement ce débordement. En quelques heures, l'armateur a vu s'éteindre la quasi-totalité de ses systèmes informatiques à travers le monde, contraignant ses terminaux portuaires à l'arrêt et perturbant une fraction notable du commerce maritime mondial, alors même que l'entreprise n'avait aucun lien avec le conflit ukrainien. Cet effet de propagation incontrôlée est la signature du risque cyber de guerre, car une cyberarme, contrairement à un missile, ne connaît pas de cible bornée et se diffuse aveuglément à travers les chaînes logicielles interconnectées. Le sinistre de guerre, jadis circonscrit à un théâtre d'opérations, devient ainsi planétaire, et c'est cette absence de frontière qui interdit toute mutualisation classique.
Merck a réclamé l'indemnisation au titre de ses polices dommages tous risques, dotées de 1,75 milliard de dollars de garanties, et ses huit assureurs, parmi lesquels figuraient des syndicats de Lloyd's, ont refusé de payer près de 700 millions en invoquant l'exclusion d'actes hostiles ou guerriers5. En janvier 2022, la Cour supérieure du New Jersey leur a donné tort, jugeant que cette exclusion, rédigée pour le conflit armé classique, ne pouvait viser une cyberattaque, et que l'assuré ne pouvait raisonnablement s'attendre à ce qu'elle écarte un tel sinistre. La cour d'appel a confirmé ce raisonnement en 2023, qualifiant NotPetya de cyberattaque non militaire dirigée contre un fournisseur de logiciel comptable, et non d'acte hostile ou guerrier au sens de la clause. Les assureurs ont finalement transigé début 2024 pour éviter qu'un arrêt de principe défavorable ne s'impose à tout le marché.
La réponse de la place de Londres a été à la mesure de l'alerte. Par son bulletin de marché Y5381 du 16 août 2022, Lloyd's a imposé qu'à compter du 31 mars 2023, toute police cyber autonome comporte une clause excluant les pertes résultant d'une cyberattaque soutenue par un État6. La clause devait écarter les pertes nées d'une guerre, déclarée ou non, à défaut d'exclusion de guerre distincte, ainsi que les cyberattaques étatiques de nature à compromettre gravement le fonctionnement d'un État ou ses capacités de sécurité, et reposer sur un mécanisme d'attribution robuste. Cette directive n'était pas une simple précaution de rédaction, elle traduisait une crainte plus profonde, celle de l'accumulation systémique.
Le chiffre qui hante les souscripteurs est connu. Selon une modélisation conduite par Lloyd's avec le Cambridge Centre for Risk Studies, une cyberattaque sur un grand système de paiement pourrait coûter à l'économie mondiale jusqu'à 3 500 milliards de dollars sur cinq ans, dont 1 100 milliards pour les seuls États-Unis, là où le marché mondial de l'assurance cyber ne pesait qu'environ 9 milliards de dollars de primes9. Cette disproportion vertigineuse, entre une perte potentielle de plusieurs milliers de milliards et une capacité assurantielle de quelques milliards, explique le repli. Pour modéliser le risque, l'Association du marché de Lloyd's a publié une série de clauses types, dont la gradation révèle la difficulté de l'exercice7.
Cette gradation montre que Lloyd's n'a pas voulu exclure toute cyberattaque étatique, ce que la clause la plus large aurait permis mais que le marché n'utilise pas, mais seulement les plus dévastatrices, celles qui atteignent un État dans son fonctionnement. Un bulletin ultérieur, Y5433, a affiné ce dispositif en 2024 sans le relâcher, étendant son champ aux polices multibranches et exigeant, pour couvrir une cyberattaque menée dans le cadre d'une guerre conventionnelle, une garantie distincte et explicite8. Le marché a ainsi redessiné, clause par clause, la frontière de ce qu'il accepte de porter.
Ce mouvement constitue un second front, après celui du cyber silencieux. La place de Londres avait d'abord cherché, par les clauses dites de cyber affirmé, à chasser le risque cyber des polices traditionnelles qui le couvraient sans le nommer, sujet déjà traité dans cette série12. L'exclusion de la guerre étatique prolonge cette logique d'un cran, en s'attaquant non plus au cyber ordinaire mais à sa frange la plus catastrophique, celle d'origine étatique. Dans les deux cas, la démarche est la même, transformer une exposition implicite et non tarifée en une garantie explicite et délimitée, quitte à en exclure la part jugée trop lourde. La gestion du risque de guerre hybride s'inscrit donc dans un effort plus large de clarification, par lequel le marché tente de reprendre le contrôle de ce qu'il assure réellement.
Toute cette construction repose sur un présupposé fragile, à savoir que l'on saura dire, le moment venu, qu'une attaque émane bien d'un État. Or l'attribution est l'opération la plus difficile de tout le champ cyber, et la guerre hybride est précisément conçue pour la rendre impossible. Les clauses retiennent comme facteur principal l'attribution émise par le gouvernement de l'État où se trouve le système affecté, mais les gouvernements n'attribuent publiquement que de rares attaques, par réticence à dévoiler leurs sources et par crainte des répercussions diplomatiques10. À défaut, les clauses se rabattent sur une inférence objectivement raisonnable, formule qui transfère à l'assureur et à l'assuré le fardeau d'une qualification que les États eux-mêmes esquivent.
Cette mécanique place l'assureur dans une position singulière, presque souveraine. En s'arrogeant le droit de décider qu'une attaque émane d'un État, faute d'attribution gouvernementale, il s'érige en juge d'une question éminemment politique, qui engage les relations entre nations et que les chancelleries manient avec une extrême prudence. Un souscripteur londonien devrait ainsi trancher, pour refuser une indemnité, ce qu'un ministère des affaires étrangères se garde d'affirmer publiquement. Cette confusion des rôles, où le technicien de l'assurance se trouve sommé de porter un jugement géopolitique, fragilise la clause autant qu'elle expose l'assureur à des contestations interminables, chaque attribution devenant un terrain de litige.
S'ajoute un décalage temporel ruineux. NotPetya n'a été officiellement attribué à la Russie qu'en 2018, soit près d'un an après les faits, et l'inculpation des officiers responsables a pris trois ans. Comment régler un sinistre dont la qualification, et donc la couverture, dépend d'une attribution qui n'interviendra peut-être jamais, ou seulement des années plus tard. La déniabilité qui définit la guerre hybride n'est pas un effet secondaire, c'est son arme principale, et c'est aussi ce qui désarme l'exclusion. En refusant de se déclarer, l'adversaire prive l'assureur du fait sur lequel reposait toute la clause. Les sabotages de câbles en Baltique, où l'on hésite encore à distinguer l'acte de guerre de la simple négligence maritime, montrent cette impasse à l'œuvre en temps réel.
Si la guerre hybride excède la capacité du marché, la question devient celle de savoir qui en portera la charge. L'histoire de l'assurance offre un précédent éclairant, celui du terrorisme. Après des vagues d'attentats devenus inassurables par le seul marché, plusieurs États ont mis en place des dispositifs publics ou mixtes de dernier ressort, le Pool Re au Royaume-Uni, le programme TRIA aux États-Unis, le GAREAT en France, par lesquels la puissance publique reprend à sa charge la part catastrophique du risque que les assureurs ne peuvent absorber11. Ces mécanismes reposent sur une idée simple, certains risques sont trop corrélés et trop massifs pour la mutualisation privée, et seule la collectivité peut en être l'assureur en dernier ressort.
Un débat identique s'est ouvert pour le cyber catastrophique. L'idée d'un filet public fédéral, qui interviendrait après les attaques les plus dévastatrices, a été évoquée jusque dans la stratégie nationale de cybersécurité américaine, mais elle n'en est qu'au stade de l'exploration11. Cette interrogation prolonge un motif récurrent de cette série, déjà rencontré à propos du risque climatique et des obligations catastrophes, celui du recours à un soutien public pour la part inassurable d'un risque devenu trop grand. Le retrait de Lloyd's de la guerre hybride n'est, dans cette perspective, ni une démission ni un aveu d'impuissance, mais la délimitation lucide de l'endroit où l'assurabilité privée s'arrête et où la solidarité collective doit prendre le relais.
Un tel filet se heurterait toutefois au même obstacle que l'exclusion qu'il viendrait compléter. Pour qu'un dispositif public se déclenche, il faut bien définir l'événement qui l'active, et toute définition d'une cyberguerre catastrophique bute à nouveau sur l'attribution et sur la qualification. Un filet trop large reviendrait à subventionner l'imprudence des organisations les moins protégées, créant un aléa moral, tandis qu'un filet trop étroit laisserait sans secours les victimes d'une attaque dont l'origine étatique resterait indémontrable. La conception d'un soutien public au risque cyber ne fait donc pas disparaître la difficulté centrale, elle la déplace de la police d'assurance vers la loi, sans la résoudre.
Au terme de cette analyse se dessine une vérité plus profonde sur la nature même de l'assurance. La frontière de l'assurable a toujours coïncidé avec la frontière du connaissable, car on ne tarife que ce que l'on peut mesurer, et l'on n'indemnise que ce que l'on peut qualifier. La guerre classique, si terrible fût-elle, demeurait connaissable, et son exclusion praticable. La guerre hybride est tout entière construite pour être inconnaissable, indéclarée pour échapper au droit de la guerre, inattribuable pour échapper à la responsabilité, ambiguë pour échapper à la qualification. En se retirant de ce terrain, le marché ne fuit pas un risque trop lourd, il reconnaît qu'il ne peut assurer l'ambiguïté elle-même. La véritable question des années à venir n'est donc pas de savoir si l'on saura mieux rédiger les exclusions, mais de savoir qui assumera un risque dont l'auteur a fait de l'indétermination sa stratégie, et jusqu'où une société peut laisser sans garant la part de la guerre qui se cache désormais sous les apparences de la paix.
Comment une mise à jour endpoint devient un single point of failure mondial et réécrit les modèles de PML cyber des réassureurs
Retour sur la directive Lloyd's LMA 21-042 et les implications pour les traités de réassurance Property & Casualty
Économie souterraine, marchés de la rançon et tarification par les assureurs : comment le ransomware est devenu une industrie structurée dont la croissance est partiellement financée par les indemnisations des polices cyber.
Un réseau électrique s'éteint, un hôpital se fige sous une rançon. Crime, catastrophe, ou acte de guerre. De la réponse dépend tout, car si c'est un crime votre police paie, et si c'est la guerre elle ne paie pas. Et ceux qui ont lancé l'attaque se sont arrangés pour que nul ne puisse trancher.
Un matin, une lettre vous apprend que votre logement ne sera pas réassuré. Vous n'avez rien fait de mal, votre maison n'a pas changé. Ce qui a changé, c'est que le hasard, sur lequel repose toute assurance, a discrètement quitté votre code postal.
Une analyse à chaque nouvelle publication, sur l'assurance, la réassurance, le cyber et l'IA. Sans compte, sans bruit.
Pas de spam, désinscription en un clic, aucune donnée revendue.