Le retrait de Lloyd's des risques de guerre hybride

II.La guerre hybride, ou la dissolution des catégories

Une guerre qui se tient sous le seuil

On parle de guerre hybride, ou de conflit de zone grise, pour toutes les opérations qui restent sous le seuil du conflit ouvert. Elles imposent pourtant à l'adversaire des coûts et une incertitude considérables. Elles passent par la cyberattaque, le sabotage d'infrastructures, le brouillage des signaux de navigation, la désinformation, tout moyen qui blesse sans franchir le seuil formel de la guerre. Depuis le début de 2024, au moins onze câbles sous-marins de communication et d'énergie ont été endommagés en mer Baltique, et des sources informelles de l'OTAN évoquent une part importante des câbles transatlantiques affectés par des causes suspectes². Les navires mis en cause, souvent d'une flotte fantôme sous pavillon de complaisance, ont traîné leur ancre sur les fonds. La stratégie est ambiguë à dessein, peu coûteuse et très rentable.

Les quatre propriétés effacées

Pour l'assurance, le problème est simple. La guerre hybride efface une à une les quatre propriétés sur lesquelles reposait l'exclusion. Elle n'est pas déclarée, puisqu'elle se tient sous le seuil du conflit assumé. Elle n'est pas attribuable, car ses auteurs passent par des intermédiaires pour brouiller la responsabilité : navires sous pavillon tiers, groupes criminels ou diasporiques. Elle n'est pas bornée, car une cyberopération se propage sans frontière et un sabotage de câble produit des effets en chaîne très au-delà de sa cible. Elle n'est pas cinétique. Elle ne laisse souvent qu'une ligne de code, ou une ancre dont on peut dire qu'elle a traîné par accident. Au début de 2025, la Suède a saisi un navire puis l'a relâché, faute de pouvoir prouver l'intention. L'épisode résume cette indétermination³. L'exclusion repose sur une question : ce dommage relève-t-il de la guerre ? Elle n'a plus de réponse certaine.

Du crime à la guerre, un continuum

S'y ajoute une confusion plus insidieuse. La limite entre la criminalité, l'espionnage et la guerre devient floue. Les rançongiciels offrent l'exemple le plus net de cette zone trouble. Une attaque peut être menée par un groupe criminel agissant pour le profit, mais toléré, abrité ou orienté par un État qui y trouve un intérêt stratégique. Faut-il la traiter comme un acte de délinquance, couvert par la police cyber ? Ou comme une opération étatique, qu'une exclusion écarte ? Dans les faits, il n'y a pas de frontière nette mais un continuum : chaque attaque mêle, à des degrés variables, l'appât du gain et l'intérêt d'un État. Or l'exclusion suppose une coupure binaire. L'attaque est étatique ou elle ne l'est pas. Le phénomène, lui, est graduel. Une clause binaire face à une menace continue : c'est l'une des sources les plus profondes de l'incertitude de couverture.

III.NotPetya, le précédent qui a tout déclenché

Une arme de guerre qui déborde le champ de bataille

Cette dissolution a déjà coûté des milliards et a failli faire vaciller le marché. Le 27 juin 2017, à la veille de la fête nationale ukrainienne, un logiciel malveillant baptisé NotPetya s'est glissé dans la mise à jour d'un logiciel comptable ukrainien. En quelques heures, il a gagné plus de soixante pays et causé environ dix milliards de dollars de dommages dans le monde⁴. Les États-Unis l'ont attribué en 2018 au renseignement militaire russe, et la justice américaine a inculpé en 2020 six officiers du GRU. Le laboratoire pharmaceutique Merck a perdu environ 1,4 milliard de dollars, le groupe Mondelez plus de cent millions. Le transporteur Maersk, qui achemine près d'un cinquième du commerce mondial, a perdu entre deux cent cinquante et trois cents millions. Une arme conçue pour frapper l'Ukraine avait débordé sur l'économie mondiale, exposant des assureurs qui n'avaient jamais tarifé un tel risque.

La paralysie de Maersk illustre concrètement ce débordement. En quelques heures, l'armateur a vu s'éteindre presque tous ses systèmes informatiques dans le monde. Ses terminaux portuaires se sont arrêtés et une part notable du commerce maritime mondial a été perturbée. L'entreprise n'avait pourtant aucun lien avec le conflit ukrainien. Cette propagation incontrôlée signe le risque cyber de guerre. Un missile vise une cible. Une cyberarme n'a pas de cible bornée et se diffuse à l'aveugle dans les chaînes logicielles interconnectées. Le sinistre de guerre, autrefois limité à un théâtre d'opérations, devient planétaire. Et sans frontière, la mutualisation classique ne joue plus.

Le jugement qui a sonné l'alarme

Merck a réclamé l'indemnisation au titre de ses polices dommages tous risques, dotées de 1,75 milliard de dollars de garanties. Ses huit assureurs, dont des syndicats de Lloyd's, ont refusé de payer près de 700 millions en invoquant l'exclusion d'actes hostiles ou guerriers⁵. En janvier 2022, la Cour supérieure du New Jersey leur a donné tort. Pour elle, cette exclusion rédigée pour le conflit armé classique ne pouvait viser une cyberattaque. L'assuré ne pouvait pas raisonnablement s'attendre à ce qu'elle écarte un tel sinistre. La cour d'appel a confirmé en 2023. Pour elle, NotPetya était une cyberattaque non militaire dirigée contre un fournisseur de logiciel comptable, et pas un acte hostile ou guerrier au sens de la clause. Les assureurs ont finalement transigé début 2024 pour éviter qu'un arrêt de principe défavorable ne s'impose à tout le marché.

IV.La réponse de Lloyd's, redessiner la frontière

L'exclusion des cyberattaques étatiques

La réponse de la place de Londres a été à la mesure de l'alerte. Par son bulletin de marché Y5381 du 16 août 2022, Lloyd's a imposé qu'à compter du 31 mars 2023, toute police cyber autonome comporte une clause excluant les pertes résultant d'une cyberattaque soutenue par un État⁶. La clause devait écarter les pertes nées d'une guerre, déclarée ou non, quand la police n'avait pas d'exclusion de guerre distincte. Elle devait aussi écarter les cyberattaques étatiques capables de compromettre gravement le fonctionnement d'un État ou ses capacités de sécurité. Et elle devait dire d'avance comment les parties établiraient qu'une attaque venait d'un État. Derrière cette directive, il y avait la peur de l'accumulation systémique.

La hantise du sinistre systémique

Le chiffre qui hante les souscripteurs est connu. Selon une modélisation conduite par Lloyd's avec le Cambridge Centre for Risk Studies, une cyberattaque sur un grand système de paiement pourrait coûter à l'économie mondiale jusqu'à 3 500 milliards de dollars sur cinq ans, dont 1 100 milliards pour les seuls États-Unis, là où le marché mondial de l'assurance cyber ne pesait qu'environ 9 milliards de dollars de primes en 2022, selon la même étude⁹. D'un côté, une perte potentielle de plusieurs milliers de milliards. De l'autre, une capacité assurantielle de quelques milliards. Cet écart explique le repli. Pour encadrer le risque, l'Association du marché de Lloyd's a publié une série de clauses types, dont la gradation révèle la difficulté de l'exercice⁷.

Cette gradation montre que Lloyd's n'a voulu exclure que les cyberattaques étatiques les plus dévastatrices, celles qui atteignent un État dans son fonctionnement. La clause la plus large aurait permis de les exclure toutes, mais le marché ne l'utilise pas. En 2024, le bulletin Y5433 a affiné ce dispositif sans le relâcher. Il l'a étendu aux polices multibranches. Et pour couvrir une cyberattaque menée dans le cadre d'une guerre conventionnelle, il exige désormais une garantie distincte et explicite⁸. Le marché a ainsi redessiné, clause par clause, la frontière de ce qu'il accepte de porter.

Ce mouvement constitue un second front, après celui du cyber silencieux. La place de Londres avait d'abord voulu chasser le risque cyber des polices traditionnelles, qui le couvraient sans le nommer, avec les clauses dites de cyber affirmé. Le sujet a déjà été traité dans cette série¹². L'exclusion de la guerre étatique va un cran plus loin. Elle vise désormais la frange la plus catastrophique du cyber, celle d'origine étatique. La démarche reste la même : transformer une exposition implicite et non tarifée en garantie explicite et délimitée, quitte à exclure la part jugée trop lourde. Avec la guerre hybride, le marché cherche donc, plus largement, à savoir de nouveau ce qu'il assure vraiment.

V.L'impasse de l'attribution

Exclure suppose de désigner un coupable

Toute cette construction repose sur un pari fragile. Il faudra pouvoir dire, le moment venu, qu'une attaque vient bien d'un État. Or l'attribution est l'opération la plus difficile de tout le champ cyber, et la guerre hybride est précisément conçue pour la rendre impossible. Les clauses s'appuient d'abord sur l'attribution faite par le gouvernement de l'État où se trouve le système touché. Mais les gouvernements attribuent rarement une attaque en public, parce qu'ils ne veulent pas dévoiler leurs sources et craignent les répercussions diplomatiques¹⁰. Sinon, les clauses se rabattent sur une inférence objectivement raisonnable. La formule laisse à l'assureur et à l'assuré une qualification que les États eux-mêmes esquivent.

Cette mécanique place l'assureur dans une position singulière, presque souveraine. Faute d'attribution gouvernementale, il décide lui-même qu'une attaque vient d'un État. Il tranche alors une question très politique, qui engage les relations entre nations et que les chancelleries manient avec une extrême prudence. Un souscripteur londonien devrait ainsi trancher, pour refuser une indemnité, ce qu'un ministère des affaires étrangères se garde d'affirmer publiquement. Le technicien de l'assurance doit porter un jugement géopolitique. Cette confusion des rôles fragilise la clause et expose l'assureur à des contestations sans fin, car chaque attribution devient un terrain de litige.

Le décalage entre le sinistre et son attribution

S'ajoute un décalage temporel ruineux. NotPetya n'a été officiellement attribué à la Russie que le 15 février 2018, huit mois après les faits, et l'inculpation des officiers responsables a pris trois ans. Comment régler un sinistre dont la qualification, et donc la couverture, dépend d'une attribution qui n'interviendra peut-être jamais, ou seulement des années plus tard ? La déniabilité est l'arme principale de la guerre hybride, et c'est aussi ce qui désarme l'exclusion. En refusant de se déclarer, l'adversaire prive l'assureur du fait sur lequel reposait toute la clause. Les sabotages de câbles en Baltique, où l'on hésite encore à distinguer l'acte de guerre de la simple négligence maritime, montrent cette impasse à l'œuvre en temps réel.

VI.Vers un filet public et la limite de l'assurable

Le précédent du terrorisme

Si la guerre hybride excède la capacité du marché, la question devient celle de savoir qui en portera la charge. L'histoire de l'assurance offre un précédent éclairant, celui du terrorisme. Après des vagues d'attentats devenus inassurables par le seul marché, plusieurs États ont mis en place des dispositifs publics ou mixtes de dernier ressort, le Pool Re au Royaume-Uni, le programme TRIA aux États-Unis, le GAREAT en France, par lesquels la puissance publique reprend à sa charge la part catastrophique du risque que les assureurs ne peuvent absorber¹¹. Ces mécanismes reposent sur une idée simple, certains risques sont trop corrélés et trop massifs pour la mutualisation privée, et seule la collectivité peut en être l'assureur en dernier ressort.

La question du filet cyber

Un débat identique s'est ouvert pour le cyber catastrophique. L'idée d'un filet public fédéral, qui interviendrait après les attaques les plus dévastatrices, a été évoquée jusque dans la stratégie nationale de cybersécurité américaine, mais elle n'en est qu'au stade de l'exploration¹¹. Cette interrogation prolonge un motif récurrent de cette série, déjà rencontré à propos du risque climatique et des obligations catastrophes, celui du recours à un soutien public pour la part inassurable d'un risque devenu trop grand. Vu ainsi, en se retirant de la guerre hybride, Lloyd's marque l'endroit où l'assurabilité privée s'arrête et où la solidarité collective doit prendre le relais.

Un tel filet se heurterait toutefois au même obstacle que l'exclusion qu'il viendrait compléter. Pour qu'un dispositif public se déclenche, il faut bien définir l'événement qui l'active, et toute définition d'une cyberguerre catastrophique bute à nouveau sur l'attribution et sur la qualification. Un filet trop large reviendrait à subventionner l'imprudence des organisations les moins protégées, créant un aléa moral, tandis qu'un filet trop étroit laisserait sans secours les victimes d'une attaque dont l'origine étatique resterait indémontrable. Un soutien public au risque cyber déplace donc la difficulté centrale de la police d'assurance vers la loi, sans la résoudre.

Assurer le connaissable, non l'ambigu

La frontière de l'assurable a toujours coïncidé avec la frontière du connaissable, car on ne tarife que ce que l'on peut mesurer, et l'on n'indemnise que ce que l'on peut qualifier. La guerre classique, si terrible fût-elle, demeurait connaissable, et son exclusion praticable. La guerre hybride est tout entière construite pour être inconnaissable, indéclarée pour échapper au droit de la guerre, inattribuable pour échapper à la responsabilité, ambiguë pour échapper à la qualification. En se retirant de ce terrain, le marché reconnaît qu'il ne peut assurer l'ambiguïté elle-même, quelle que soit la taille du risque. Mieux rédiger les exclusions n'y changera pas grand-chose. Il faudra désigner qui porte un risque dont l'auteur a fait de l'indétermination sa stratégie, et décider jusqu'où une société laisse sans garant la part de la guerre qui se cache désormais sous les apparences de la paix.

Corrigé le 31 octobre 2026 : l'attribution de NotPetya, le 15 février 2018, est venue huit mois après les faits, et non près d'un an ; les primes cyber mondiales d'environ 9 Md$ sont celles de 2022, et non de 2023 ; les versions B des clauses LMA ne sont pas « écartées » par le bulletin Y5381, elles n'y sont pas conformes sans accord préalable du Lloyd's.