Le jour où Solvabilité II a rencontré une rançon

Imaginez la scène dans les bureaux d'un assureur européen. Le superviseur pose sa question rituelle, celle qui fonde tout le régime prudentiel du continent, combien de capital devez-vous immobiliser pour encaisser votre pire année sur deux cents. Face au portefeuille de catastrophes naturelles, l'actuaire répond avec assurance, il dispose de siècles de relevés de tempêtes, d'une physique bien comprise, de modèles éprouvés. Puis on tourne la même question vers le portefeuille cyber, et un silence gêné s'installe. Car personne ne possède deux siècles de données sur les rançongiciels. Le rançongiciel a à peine une décennie d'existence, et il réécrit ses propres règles chaque année. La question du régulateur, parfaitement raisonnable pour un ouragan, devient presque absurde pour une rançon, et ce décalage est le sujet de ce numéro.

Voici la thèse. Solvabilité II est une machine magnifique pour transformer un risque en un chiffre de capital, mais elle fonctionne avec deux carburants, l'histoire et l'indépendance. Le cyber n'a ni l'un ni l'autre. Le rançongiciel est trop jeune pour offrir un passé sur lequel s'appuyer, et il est trop corrélé pour respecter la diversification que tout le régime présuppose. Quand Solvabilité II rencontre une rançon, elle produit un nombre qui a l'air solide et qui est en réalité une conjecture assurée sur de l'inconnaissable. Le danger n'est pas que ce nombre soit faux, c'est qu'il ait l'air juste.

Une digue calibrée sur un fleuve sans mémoire

Pour comprendre, il faut revenir au cœur de Solvabilité II, le capital de solvabilité requis. L'idée est d'une élégance limpide, un assureur doit détenir assez de fonds propres pour survivre à une perte qui n'arrive qu'une fois tous les deux cents ans, ce que les actuaires expriment par un seuil de quatre-vingt-dix-neuf virgule cinq pour cent sur un an. Pour calculer ce montant, on a besoin de deux ingrédients, une distribution des pertes possibles, tirée de l'histoire, et une hypothèse sur la façon dont les risques se combinent, généralement la diversification, l'idée que tout ne tourne pas mal en même temps.

Une bonne image est celle d'une digue construite pour résister à la plus haute crue en deux cents ans. On ne peut bâtir la digue de la bonne hauteur que si l'on possède deux siècles de relevés du fleuve. Pour les inondations, on les a. Pour le cyber, imaginez un fleuve qui n'a commencé à couler qu'il y a dix ans, dont le lit se déplace chaque printemps, et surtout en amont duquel se tient un adversaire intelligent qui conçoit délibérément de nouvelles crues pour vous surprendre. Deux problèmes surgissent alors, et chacun attaque un ingrédient du calcul.

Le premier problème est l'absence d'histoire. La distribution des pertes cyber repose sur des données rares, courtes et non stationnaires, c'est-à-dire dont les propriétés changent au fil du temps. Extrapoler une perte bicentenaire à partir de dix années volatiles revient à deviner la hauteur d'une crue millénaire en n'ayant vu que quelques printemps. Le second problème est l'absence d'indépendance. Le cyber s'accumule, une seule faille logicielle partagée, un seul fournisseur de cloud commun, un seul ver bien conçu peuvent frapper des milliers d'assurés à la fois. On l'a vu en juillet 2024, quand une mise à jour défectueuse a paralysé simultanément des millions de systèmes dans le monde. Or la diversification, cette magie qui permet à un assureur de détenir bien moins de capital que la somme des pires cas individuels, s'évapore dès lors que tout peut tomber en même temps. Les pertes ne se compensent plus, elles s'empilent.

Un nombre qui a l'air juste

La conséquence est que le capital exigé pour le cyber se retrouve dans une position inconfortable. Soit il sous-estime la queue de distribution, et l'assureur détient trop peu de fonds propres face à une catastrophe corrélée qui, le jour venu, frappera tout son portefeuille d'un coup. Soit, si l'on charge honnêtement le risque à hauteur de son potentiel réel, le capital exigé devient si lourd que le cyber paraît à peine assurable, non rentable, décourageant l'offre au moment précis où la demande explose. Entre ces deux écueils, il n'existe pas de position confortable, seulement un arbitrage permanent entre une prudence qui étouffe le marché et une confiance qui l'expose.

Le plus troublant tient à la fausse précision. Un pourcentage aussi net que quatre-vingt-dix-neuf virgule cinq appliqué à un risque que l'on ne sait pas modéliser habille l'incertitude d'un vernis de rigueur. Le chiffre paraît calculé, il est en grande partie deviné, et cette apparence de maîtrise est précisément ce qui endort la vigilance. Un assureur qui affiche un capital cyber calculé au décimal près semble sous contrôle, alors qu'il tient peut-être une estimation fragile d'un phénomène qui refuse de se laisser compter. La précision du nombre est inversement proportionnelle à la certitude qu'il devrait inspirer.

À cette difficulté s'ajoute une question d'horizon. Solvabilité II raisonne sur un an, elle demande combien de capital il faut pour encaisser la pire année. Or le cyber ne se déploie pas toujours en douze mois. Une faille peut être exploitée en silence pendant des mois, une vague de litiges peut naître longtemps après l'attaque, et une accumulation systémique peut se construire lentement, contrat après contrat, avant de se révéler d'un coup. Mesurer sur une année un risque qui se forme sur plusieurs revient à photographier une vague à l'instant où elle paraît la plus calme. L'horizon annuel, parfaitement adapté aux chocs de marché qui se dénouent vite, laisse filer précisément la dimension la plus dangereuse du cyber, sa capacité à s'accumuler dans l'ombre avant de déferler.

La monoculture des modèles

Il faut ici distinguer deux façons de calculer ce capital, car elles échouent différemment. Les plus grands assureurs emploient des modèles internes, taillés sur mesure et validés par le superviseur, plus fins mais aussi plus opaques, et parfois enclins à un optimisme que nul extérieur ne peut aisément contredire. Les autres s'en remettent à la formule standard, un calcul uniforme et prudent, mais grossier face à un risque aussi particulier que le cyber. Aucune des deux voies n'est satisfaisante, la première risque de flatter le risque, la seconde de le caricaturer, et le superviseur se retrouve à arbitrer entre une précision suspecte et une simplicité inadaptée, sans jamais disposer de la donnée qui trancherait.

Le débat qui s'ouvre ici est réel, et les deux camps ont des arguments sérieux. Les défenseurs du cadre rappellent qu'il est adaptable, on peut ajouter des modules cyber spécifiques, des scénarios de stress, des marges de prudence, et qu'un nombre imparfait vaut mieux que pas de nombre du tout, car il force au moins l'assureur à provisionner et le superviseur à surveiller. Un cadre perfectible reste un cadre, et l'alternative, l'absence de discipline prudentielle, serait bien pire.

Les critiques répondent qu'appliquer un centile précis à un risque non modélisable relève de la fausse précision, et surtout qu'il crée un angle mort systémique. Si tous les assureurs emploient des modèles semblables, nourris des mêmes données rares et des mêmes fournisseurs de modélisation, ils sous-estimeront tous le risque de la même façon, et seront donc surpris ensemble. C'est le danger d'une monoculture des modèles, où l'uniformité des méthodes recrée, à l'échelle du secteur, la corrélation même que chaque assureur croyait avoir diversifiée. À cela s'ajoute une incitation perverse, plus le cyber est difficile à capitaliser, plus les assureurs plafonnent les garanties, multiplient les exclusions ou se retirent, réduisant la couverture au pire moment. Un régime conçu pour rendre chaque assureur solide individuellement pourrait ainsi, face à un risque corrélé, rendre le système fragile collectivement, parce que tout le monde détient le même nombre sous-évalué.

Un dernier écueil mine le calcul par en dessous, l'incertitude sur ce qui est réellement couvert. Nombre de contrats cyber excluent les actes de guerre, or une attaque majeure a de fortes chances d'être le fait d'un État ou de son mandataire. L'assureur pourrait donc invoquer l'exclusion pour ne pas payer, mais l'attribution d'une cyberattaque à un État est notoirement incertaine et lente. Le capital calculé repose alors sur une garantie dont le périmètre reste flou, susceptible de se rétracter au pire moment ou, à l'inverse, d'obliger l'assureur à payer un sinistre qu'il croyait exclu. On tarife un risque dont on ignore jusqu'à l'étendue exacte de sa propre promesse, ce qui ajoute au flou de la fréquence celui, plus embarrassant encore, de la couverture elle-même.

L'affaire n'a rien d'hypothétique. En 2017, le logiciel malveillant NotPetya, parti d'Ukraine, s'est propagé en quelques heures à travers le monde, paralysant des géants de la logistique, de la pharmacie et de l'industrie, pour un coût global estimé à une dizaine de milliards de dollars. Lorsque l'un des groupes touchés a réclamé plus d'un milliard à ses assureurs, ceux-ci ont invoqué l'exclusion des actes de guerre, plusieurs États ayant attribué l'attaque à un acteur étatique. Il a fallu des années de procédure pour trancher, une juridiction américaine finissant par donner tort aux assureurs. Cet épisode résume tout le problème, un sinistre unique frappant simultanément des milliers d'entités, une accumulation massive et corrélée, et une bataille sur le sens même de la garantie, le tout à une échelle qu'aucun modèle bicentenaire n'avait vu venir. Le capital réglementaire calculé la veille de NotPetya n'avait pas la moindre idée de ce qui l'attendait.

Il y a plus grave encore qu'une erreur de mesure, il y a l'effet de la mesure sur le comportement. Un capital cyber qui a l'air maîtrisé n'est pas un artefact neutre posé dans un coin du bilan, il autorise l'action. Rassuré par un nombre net, un assureur se sentira fondé à développer son portefeuille cyber, à relever ses limites, à souscrire davantage, convaincu que la réglementation a validé sa prudence. La fausse précision ne se contente donc pas de mal mesurer le risque, elle l'amplifie, en donnant le feu vert à l'expansion même qu'un chiffre honnêtement incertain aurait freinée. Le nombre transforme ce qu'il prétend seulement décrire, et c'est peut-être le plus pervers de tous ses effets, car il fabrique la confiance qui gonfle l'exposition qu'il était censé contenir.

Deux philosophies de l'avenir

La rencontre entre Solvabilité II et une rançon est, au fond, la rencontre de deux philosophies de l'avenir. La première dit que le futur ressemble au passé, qu'il suffit de le mesurer et de détenir du capital contre lui. C'est la philosophie de toute la régulation prudentielle, un pari institutionnalisé sur le fait que demain ressemblera à hier. La seconde philosophie est celle de l'auteur de rançongiciel, pour qui l'avenir est précisément ce qu'il inventera ensuite. Le cyber est le premier grand risque façonné par un adversaire dont le métier consiste à rendre demain différent d'hier, à briser volontairement la régularité sur laquelle repose toute prévision.

La vraie question n'est donc pas de savoir si l'on peut calculer une charge de capital pour le cyber, on le peut, et on le fait tous les jours. Elle est de savoir si un nombre né de l'histoire peut jamais contenir un risque qui a déclaré la guerre à l'histoire. Tant que la réponse reste incertaine, le capital cyber demeurera le chiffre le plus soigné et le moins fiable du bilan d'un assureur, une digue impeccablement calculée au bord d'un fleuve dont personne ne connaît la prochaine crue.

Peut-être faut-il alors accepter que le cyber ne se laisse pas entièrement enfermer dans un chiffre, et que le rôle du capital réglementaire, pour ce risque, n'est pas de garantir la survie mais d'en abaisser la probabilité, tout en sachant qu'une marge d'inconnu subsistera toujours. Reconnaître cette limite serait déjà un progrès, car le vrai danger n'est pas de détenir un capital imparfait, c'est de croire qu'il est parfait. Un assureur lucide sur l'incertitude de son propre modèle est mieux armé qu'un assureur rassuré par la fausse netteté de son résultat, car il gardera cette prudence que les chiffres trop nets ont tendance à endormir.