Quand assurer la guerre devient impossible

Le 23 décembre 2015, trois distributeurs d'électricité ukrainiens sont pris en main à distance, et environ 225 000 clients perdent le courant pendant plusieurs heures. Le 27 juin 2017, NotPetya part d'une mise à jour du logiciel comptable ukrainien M.E.Doc et arrête en quelques heures Maersk, Merck, Mondelez et les hôpitaux de Heritage Valley, en Pennsylvanie. Washington et Londres attribuent la seconde attaque au renseignement militaire russe le 15 février 2018 ; le 19 octobre 2020, la justice américaine inculpe six officiers de son unité 74455 pour les deux. Entre-temps, les victimes ont demandé à leurs assureurs si c'était la guerre.

L'assurance a toujours refusé de couvrir la guerre, et c'est justement pour cela que le sujet paraît clos. Depuis toujours, les polices excluent les actes de guerre, on croit donc l'affaire réglée. Elle ne l'est pas, et pour une raison qui n'a rien à voir avec l'ancienne. Ce qui a changé, c'est que nous ne savons plus où la guerre commence. La guerre classique était visible, attribuable, déclarée, des chars, des frontières, des drapeaux. La guerre d'aujourd'hui est une cyberattaque déniée, un sabotage sans signature, un acteur par procuration, une manœuvre hybride qui porte des habits civils. Elle a été conçue, délibérément, pour rester inclassable. Et une chose inclassable ne peut plus être proprement exclue.

Voici la thèse. Le problème de l'assurance n'est plus que la guerre soit inassurable, cela, on le sait depuis des siècles. Le problème est que la frontière de la guerre, la ligne la plus ancienne et la plus nette de tout l'édifice assurantiel, a été effacée par une forme de conflit faite pour brouiller les catégories. L'exclusion de guerre supposait une guerre reconnaissable. La guerre moderne a appris à se cacher à l'intérieur des catégories mêmes qui servaient à la tenir dehors. La guerre est devenue inassurable non parce qu'elle est trop grande, mais parce qu'elle est devenue trop ambiguë pour être située.

Le poste-frontière et l'infiltré

Il faut d'abord comprendre pourquoi l'exclusion de guerre existe. La guerre viole tout ce qui rend un risque assurable. Elle est corrélée, elle frappe des milliers d'assurés au même instant, elle est catastrophique par son ampleur, et elle est délibérée, façonnée par une volonté humaine qui cherche le dommage maximal. Aucun capital privé ne peut la porter, aussi l'assureur la met-il hors du contrat, comme il met dehors tout ce qui détruirait la mutualité. Jusqu'ici, rien que de très ancien, et de très sain.

Mais cette exclusion repose sur un mécanisme précis, l'attribution. Pour exclure un acte de guerre, il faut pouvoir affirmer qu'un État l'a commis, volontairement, comme un acte de conflit. La guerre classique rendait cette affirmation facile, on voyait l'armée franchir la frontière, on entendait la déclaration. L'ancienne exclusion de guerre était un poste-frontière, on apercevait les troupes passer, on savait nommer l'ennemi. La guerre hybride est une infiltration en civil, pas d'uniforme, pas de drapeau, pas de déclaration, et elle rend le poste-frontière inutile. Le mécanisme sur lequel l'assurance compte pour tenir la guerre dehors, l'attribution, est précisément celui que l'attaquant moderne s'est donné pour mission de défaire.

Les tribunaux en ont déjà fait l'expérience. Après NotPetya, Merck réclame 1,4 Md$ à ses assureurs dommages, qui opposent l'exclusion des actions « hostiles ou guerrières ». Le 13 janvier 2022, le juge Thomas Walsh, de la Cour supérieure du New Jersey, leur donne tort : la clause vise la guerre que mènent des armées, pas un logiciel malveillant lâché sur des entreprises civiles. La division d'appel confirme le 1er mai 2023, et les parties transigent le 3 janvier 2024, avant que la Cour suprême de l'État ne se prononce. Mondelez, qui réclamait environ 100 M$ à Zurich American devant un tribunal de l'Illinois, transige en 2022, en plein procès, sans jugement au fond. Six ans et demi pour un mot, guerre, dans des contrats écrits pour un monde où la guerre se voyait. Instruit par ces batailles, le marché de Londres publie le 25 novembre 2021 quatre clauses d'exclusion de guerre et d'opération cyber, LMA 5564 à 5567, et le Lloyd's exige, par son bulletin Y5381 du 16 août 2022, que toute police cyber autonome exclue à compter du 31 mars 2023 les attaques soutenues par un État. Mais rédiger la clause ne résout pas le fond, elle ne fait que transférer la difficulté à celui qui devra, un jour, affirmer ou nier qu'un État se tenait derrière l'écran.

L'inversion qui protège de l'amateur et abandonne face au professionnel

De cette dépendance à l'attribution naît une inversion perverse, et c'est le cœur de l'argument. Plus une attaque est sophistiquée, étatique, dangereuse, plus elle est conçue pour être déniable, donc plus elle est difficile à attribuer, donc plus elle est difficile à exclure. Il s'ensuit que les pires risques, les attaques de niveau étatique, sont précisément ceux qui ont le plus de chances de tomber, dans l'ambiguïté, à l'intérieur de la couverture. L'exclusion de guerre défend donc l'assureur contre le conflit d'amateur, celui qu'on peut nommer, et l'abandonne face au conflit de professionnel, celui qui sait se rendre innommable. La défense de l'assurance contre le risque catastrophique échoue exactement là où le risque est le plus catastrophique, parce que c'est là qu'il est le mieux dissimulé. L'intuition est renversée : c'est la plus grande attaque qui passe par la faille.

Cette ambiguïté impose alors un choix qui n'est plus actuariel mais politique. Quelqu'un doit décider où la guerre commence, et ce quelqu'un devient un État, par ses déclarations d'attribution, ou un juge, par les procès qui s'ouvrent sur le sens des exclusions. L'assurance, face à la frontière dissoute, se trouve à sous-traiter la définition de la guerre à des gouvernements et à des tribunaux. Les clauses LMA 5564 à 5567 ont bien redessiné la ligne : pour dire si une opération cyber est le fait d'un État, elles regardent d'abord si le gouvernement de l'État où se trouve le système touché l'attribue, et laissent l'assureur raisonner sur les indices disponibles tant que ce gouvernement se tait. Mais cette tentative ne supprime pas l'ambiguïté, elle la déplace vers une autre question, qui tient la plume de l'attribution. Décider qu'un État était derrière l'attaque devient l'acte qui décide qui paie, et cet acte n'appartient plus à l'assureur.

S'ajoute une difficulté que la réassurance redoute par-dessus tout, l'accumulation invisible. Un même logiciel, M.E.Doc en 2017, un même satellite, KA-SAT de Viasat le 24 février 2022, peuvent relier des milliers de polices que rien ne semblait rassembler. L'attaque du premier matin de l'invasion de l'Ukraine visait des modems ukrainiens ; elle a coupé au passage la télésurveillance de 5 800 éoliennes d'Enercon en Allemagne, si bien qu'un événement unique traverse tout un portefeuille comme un incendie saute d'un toit à l'autre. La guerre hybride aggrave ce péril, car elle vise précisément les infrastructures partagées dont dépendent des secteurs entiers. L'assureur ne redoute donc pas seulement de ne pouvoir qualifier l'attaque, il redoute qu'elle le frappe partout à la fois, transformant un sinistre isolé en une déflagration corrélée que ni son bilan ni celui de son réassureur n'a été calibré pour absorber.

Le trou que seul l'État peut combler

Reste le débat que tout cela ouvre, et il est grave. Faut-il que les assureurs couvrent le cyber de niveau étatique, systémique, corrélé, potentiellement ruineux pour tout un portefeuille d'un seul coup. S'ils le couvrent, ils logent dans leurs bilans une bombe qu'aucun capital ne peut absorber si elle explose vraiment. S'ils l'excluent, ils laissent un vide de protection béant, au moment même où les sociétés dépendent le plus de leurs infrastructures numériques. Ce vide ne peut être comblé que par la puissance publique, par un filet étatique de dernier ressort, exactement comme pour les catastrophes climatiques les plus extrêmes. La frontière de la guerre rejoint ainsi la question, déjà rencontrée ailleurs, de ce que le marché ne peut porter seul et que seul l'État peut garantir.

Cette logique n'est pas neuve, la réassurance en connaît déjà le modèle. Pour le terrorisme, après des attentats qui menaçaient d'assécher le marché, plusieurs pays ont créé des pools adossés à la garantie de l'État : Pool Re au Royaume-Uni en 1993, après les bombes de l'IRA à la Baltic Exchange en avril 1992 et à Bishopsgate en avril 1993 ; le GAREAT en France et le TRIA américain en 2002, après le 11 septembre. Les assureurs y mutualisent le risque, et la puissance publique intervient au-delà d'un certain seuil. Le même schéma se dessine pour le cyber de niveau étatique, un risque trop corrélé pour un bilan privé, car une seule attaque bien conçue peut frapper des milliers d'assurés au même instant, exactement la concentration que la réassurance cherche d'ordinaire à fuir. Pool Re couvre depuis avril 2018 les dommages d'un acte de cyberterrorisme ; la guerre, elle, reste dehors. La frontière dissoute de la guerre pousse donc vers une architecture à trois étages, l'assureur pour le courant, le réassureur pour l'exceptionnel, et l'État pour l'inassurable, chacun ne prenant le relais que là où le précédent ne peut plus porter. Ce qui se joue derrière la définition de la guerre est aussi une redistribution silencieuse du risque entre le privé et le public.

Entre-temps, c'est une victime concrète qui reste au milieu du gué. Le 27 juin 2017, les hôpitaux de Heritage Valley reportent des interventions parce que NotPetya a bloqué leurs postes. L'hôpital paralysé, le distributeur d'énergie mis à l'arrêt, l'usine bloquée découvrent qu'ils pourraient bien n'être indemnisés par personne, l'assureur cyber opposant l'exclusion de guerre, et aucun autre dispositif ne prenant le relais tant que la qualification reste en suspens. Le vide de protection n'est pas une abstraction de juriste, il a une adresse, il tombe sur une organisation précise, un jour précis, au moment où elle a le plus besoin de secours. Et cette organisation n'a commis aucune faute, elle a seulement eu le tort d'être frappée par une attaque trop bien déniée pour entrer dans une case. La frontière dissoute de la guerre se paie, au bout de la chaîne, en soins non prodigués et en machines à l'arrêt.

Et derrière ce débat s'en cache un autre, plus troublant. Celui qui contrôle le sens du mot guerre contrôle qui paie. Si un gouvernement qualifie une cyberattaque d'acte de guerre, il déclenche les exclusions et décharge les assureurs, faisant retomber le coût sur les victimes ou sur le contribuable. S'il s'en abstient, il maintient la couverture et fait peser le poids sur le marché. Le 15 février 2018, la Maison-Blanche parle d'une attaque de l'armée russe sans prononcer le mot de guerre ; c'est un juge du New Jersey qui l'écarte, quatre ans plus tard. La qualification, geste en apparence descriptif, est en réalité une décision de répartition, elle désigne le payeur. La définition de la guerre est devenue un enjeu financier autant que stratégique, et c'est une nouveauté que l'assurance, discipline des frontières nettes, encaisse de plein fouet.

Les guerres que l'on ne déclare plus

La frontière qui se dissout n'est pas seulement un problème d'assurance, elle est le miroir d'un monde où la ligne entre la guerre et la paix a elle-même été brouillée à dessein. Les conflits contemporains se mènent sans déclaration, dans une zone grise permanente où l'on peut frapper sans jamais s'avouer belligérant. L'assurance, qui vit de tracer des lignes claires autour du risque, est parmi les premières institutions à sentir le sol bouger, car sa plus vieille exclusion ne sait plus où tomber.

Cette ambiguïté n'est pas un accident, elle est un choix stratégique. Un État qui frappe sans se déclarer obtient une partie des effets de la guerre sans en payer le prix, ni la riposte ouverte, ni la condamnation internationale, ni la mobilisation de l'adversaire. Le flou est devenu une arme, précisément parce qu'il paralyse la réponse, on ne sait ni qui accuser ni comment qualifier l'agression. Le 26 septembre 2022, trois des quatre conduites de Nord Stream sautent en mer Baltique ; la Suède et le Danemark ferment leurs enquêtes en février 2024 sans poursuivre personne. Le 25 décembre 2024, le câble Estlink 2 est coupé entre la Finlande et l'Estonie, les autorités finlandaises arraisonnent l'Eagle S, et aucun État ne revendique rien. L'assurance n'est qu'un dommage collatéral de cette stratégie, prise dans une ambiguïté que d'autres cultivent pour de tout autres raisons. Mais ce dommage collatéral est révélateur, car il montre qu'un monde qui brouille volontairement la frontière de la guerre rend du même coup inopérants tous les dispositifs, juridiques, financiers, assurantiels, qui reposaient sur la netteté de cette frontière.

La question n'est donc plus de savoir si la guerre est assurable, elle ne l'a jamais été. Elle est de savoir qui décidera, dans un monde de conflits déniés, où la guerre commence, car cette décision détermine désormais qui supporte le coût des guerres nouvelles, celles que l'on mène sans jamais les déclarer. Tant que cette question restera ouverte, chaque grande cyberattaque rouvrira le même procès, celui du sens d'un mot, et l'on découvrira que l'assurance, en excluant la guerre, s'était reposée sur une évidence, savoir la reconnaître, que l'adversaire lui a précisément retirée. La guerre n'est pas devenue plus assurable ni moins, elle est devenue invisible, et l'on n'exclut pas ce qu'on ne voit pas venir.

Il faudra bien, un jour, que quelqu'un tranche, non pas au cas par cas dans un prétoire des années après les faits, mais en amont, par une convention claire sur ce qui compte comme guerre à l'ère numérique. Le Manuel de Tallinn, dont la deuxième édition date de 2017, s'y est essayé pour le droit international ; c'est un travail d'experts, qui n'engage aucun État. Tant que cette convention manquera, chaque attaque majeure sera à la fois un sinistre et un procès, et l'incertitude elle-même deviendra un coût, celui de ne pas savoir, en souscrivant, ce que l'on a réellement acheté. L'assurance a besoin de frontières nettes pour fonctionner, et la guerre moderne s'emploie à les effacer, si bien que la question de l'assurabilité de la guerre est devenue, sans qu'on y prenne garde, une question sur notre capacité collective à nommer ce que nous vivons.