Quand assurer la guerre devient impossible

L'assurance a toujours refusé de couvrir la guerre, et c'est justement pour cela que le sujet paraît clos. Depuis toujours, les polices excluent les actes de guerre, on croit donc l'affaire réglée. Elle ne l'est pas, et pour une raison qui n'a rien à voir avec l'ancienne. Ce qui a changé n'est pas que la guerre soit devenue plus destructrice, c'est que nous ne savons plus où elle commence. La guerre classique était visible, attribuable, déclarée, des chars, des frontières, des drapeaux. La guerre d'aujourd'hui est une cyberattaque déniée, un sabotage sans signature, un acteur par procuration, une manœuvre hybride qui porte des habits civils. Elle a été conçue, délibérément, pour rester inclassable. Et une chose inclassable ne peut plus être proprement exclue.

Voici la thèse. Le problème de l'assurance n'est plus que la guerre soit inassurable, cela, on le sait depuis des siècles. Le problème est que la frontière de la guerre, la ligne la plus ancienne et la plus nette de tout l'édifice assurantiel, a été effacée par une forme de conflit faite pour brouiller les catégories. L'exclusion de guerre supposait une guerre reconnaissable. La guerre moderne a appris à se cacher à l'intérieur des catégories mêmes qui servaient à la tenir dehors. La guerre est devenue inassurable non parce qu'elle est trop grande, mais parce qu'elle est devenue trop ambiguë pour être située.

Le poste-frontière et l'infiltré

Il faut d'abord comprendre pourquoi l'exclusion de guerre existe. La guerre viole tout ce qui rend un risque assurable. Elle est corrélée, elle frappe des milliers d'assurés au même instant, elle est catastrophique par son ampleur, et elle est délibérée, façonnée par une volonté humaine qui cherche le dommage maximal. Aucun capital privé ne peut la porter, aussi l'assureur la met-il hors du contrat, comme il met dehors tout ce qui détruirait la mutualité. Jusqu'ici, rien que de très ancien, et de très sain.

Mais cette exclusion repose sur un mécanisme précis, l'attribution. Pour exclure un acte de guerre, il faut pouvoir affirmer qu'un État l'a commis, volontairement, comme un acte de conflit. La guerre classique rendait cette affirmation facile, on voyait l'armée franchir la frontière, on entendait la déclaration. L'ancienne exclusion de guerre était un poste-frontière, on apercevait les troupes passer, on savait nommer l'ennemi. La guerre hybride est une infiltration en civil, pas d'uniforme, pas de drapeau, pas de déclaration, et elle rend le poste-frontière inutile. Le mécanisme sur lequel l'assurance compte pour tenir la guerre dehors, l'attribution, est précisément celui que l'attaquant moderne s'est donné pour mission de défaire.

Ce n'est pas une spéculation, les tribunaux en ont déjà fait l'expérience. Lorsqu'une cyberattaque mondiale a frappé de grandes entreprises à la fin des années 2010, certains assureurs ont refusé de payer en invoquant l'exclusion de guerre, plusieurs États ayant attribué l'attaque à un acteur étatique. Il a fallu des années de procédure pour trancher le sens d'un seul mot, guerre, dans un contrat rédigé pour un monde où la guerre se voyait. Instruit par ces batailles, le marché de Londres a fini par imposer dans les polices cyber des clauses d'exclusion plus explicites, subordonnant le refus de garantie à une attribution étatique. Mais rédiger la clause ne résout pas le fond, elle ne fait que transférer la difficulté à celui qui devra, un jour, affirmer ou nier qu'un État se tenait derrière l'écran.

L'inversion qui protège de l'amateur et abandonne face au professionnel

De cette dépendance à l'attribution naît une inversion perverse, et c'est le cœur de l'argument. Plus une attaque est sophistiquée, étatique, dangereuse, plus elle est conçue pour être déniable, donc plus elle est difficile à attribuer, donc plus elle est difficile à exclure. Il s'ensuit que les pires risques, les attaques de niveau étatique, sont précisément ceux qui ont le plus de chances de tomber, dans l'ambiguïté, à l'intérieur de la couverture. L'exclusion de guerre défend donc l'assureur contre le conflit d'amateur, celui qu'on peut nommer, et l'abandonne face au conflit de professionnel, celui qui sait se rendre innommable. La défense de l'assurance contre le risque catastrophique échoue exactement là où le risque est le plus catastrophique, parce que c'est là qu'il est le mieux dissimulé. L'intuition est renversée, ce n'est pas la petite attaque qui glisse dans la faille, c'est la plus grande.

Cette ambiguïté impose alors un choix qui n'est plus actuariel mais politique. Quelqu'un doit décider où la guerre commence, et ce quelqu'un devient un État, par ses déclarations d'attribution, ou un juge, par les procès qui s'ouvrent sur le sens des exclusions. L'assurance, face à la frontière dissoute, se trouve à sous-traiter la définition de la guerre à des gouvernements et à des tribunaux. Le marché de Londres a bien tenté de redessiner la ligne, en imposant dans les polices cyber des exclusions de guerre plus explicites, adossées à l'attribution par un État. Mais cette tentative ne supprime pas l'ambiguïté, elle la déplace vers une autre question, qui tient la plume de l'attribution. Décider qu'un État était derrière l'attaque devient l'acte qui décide qui paie, et cet acte n'appartient plus à l'assureur.

S'ajoute une difficulté que la réassurance redoute par-dessus tout, l'accumulation invisible. Un même logiciel, une même faille, un même prestataire compromis peuvent relier des milliers de polices que rien ne semblait rassembler, si bien qu'un événement unique traverse tout un portefeuille comme un incendie saute d'un toit à l'autre. La guerre hybride aggrave ce péril, car elle vise précisément les infrastructures partagées dont dépendent des secteurs entiers. L'assureur ne redoute donc pas seulement de ne pouvoir qualifier l'attaque, il redoute qu'elle le frappe partout à la fois, transformant un sinistre isolé en une déflagration corrélée que ni son bilan ni celui de son réassureur n'a été calibré pour absorber.

Le trou que seul l'État peut combler

Reste le débat que tout cela ouvre, et il est grave. Faut-il que les assureurs couvrent le cyber de niveau étatique, systémique, corrélé, potentiellement ruineux pour tout un portefeuille d'un seul coup. S'ils le couvrent, ils logent dans leurs bilans une bombe qu'aucun capital ne peut absorber si elle explose vraiment. S'ils l'excluent, ils laissent un vide de protection béant, au moment même où les sociétés dépendent le plus de leurs infrastructures numériques. Ce vide ne peut être comblé que par la puissance publique, par un filet étatique de dernier ressort, exactement comme pour les catastrophes climatiques les plus extrêmes. La frontière de la guerre rejoint ainsi la question, déjà rencontrée ailleurs, de ce que le marché ne peut porter seul et que seul l'État peut garantir.

Cette logique n'est pas neuve, la réassurance en connaît déjà le modèle. Pour le terrorisme, après des attentats qui menaçaient d'assécher le marché, plusieurs pays ont créé des pools adossés à la garantie de l'État, où les assureurs mutualisent le risque et où la puissance publique intervient au-delà d'un certain seuil. Le même schéma se dessine pour le cyber de niveau étatique, un risque trop corrélé pour un bilan privé, car une seule attaque bien conçue peut frapper des milliers d'assurés au même instant, exactement la concentration que la réassurance cherche d'ordinaire à fuir. La frontière dissoute de la guerre pousse donc vers une architecture à trois étages, l'assureur pour le courant, le réassureur pour l'exceptionnel, et l'État pour l'inassurable, chacun ne prenant le relais que là où le précédent ne peut plus porter. Ce qui se joue derrière la définition de la guerre est aussi une redistribution silencieuse du risque entre le privé et le public.

Entre-temps, c'est une victime concrète qui reste au milieu du gué. L'hôpital paralysé, le distributeur d'énergie mis à l'arrêt, l'usine bloquée découvrent qu'ils pourraient bien n'être indemnisés par personne, l'assureur cyber opposant l'exclusion de guerre, et aucun autre dispositif ne prenant le relais tant que la qualification reste en suspens. Le vide de protection n'est pas une abstraction de juriste, il a une adresse, il tombe sur une organisation précise, un jour précis, au moment où elle a le plus besoin de secours. Et cette organisation n'a commis aucune faute, elle a seulement eu le tort d'être frappée par une attaque trop bien déniée pour entrer dans une case. La frontière dissoute de la guerre se paie, au bout de la chaîne, en soins non prodigués et en machines à l'arrêt.

Et derrière ce débat s'en cache un autre, plus troublant. Celui qui contrôle le sens du mot guerre contrôle qui paie. Si un gouvernement qualifie une cyberattaque d'acte de guerre, il déclenche les exclusions et décharge les assureurs, faisant retomber le coût sur les victimes ou sur le contribuable. S'il s'en abstient, il maintient la couverture et fait peser le poids sur le marché. La qualification, geste en apparence descriptif, est en réalité une décision de répartition, elle désigne le payeur. La définition de la guerre est devenue un enjeu financier autant que stratégique, et c'est une nouveauté que l'assurance, discipline des frontières nettes, encaisse de plein fouet.

Les guerres que l'on ne déclare plus

La frontière qui se dissout n'est pas seulement un problème d'assurance, elle est le miroir d'un monde où la ligne entre la guerre et la paix a elle-même été brouillée à dessein. Les conflits contemporains se mènent sans déclaration, dans une zone grise permanente où l'on peut frapper sans jamais s'avouer belligérant. L'assurance, qui vit de tracer des lignes claires autour du risque, est parmi les premières institutions à sentir le sol bouger, car sa plus vieille exclusion ne sait plus où tomber.

Cette ambiguïté n'est pas un accident, elle est un choix stratégique. Un État qui frappe sans se déclarer obtient une partie des effets de la guerre sans en payer le prix, ni la riposte ouverte, ni la condamnation internationale, ni la mobilisation de l'adversaire. Le flou est devenu une arme, précisément parce qu'il paralyse la réponse, on ne sait ni qui accuser ni comment qualifier l'agression. L'assurance n'est qu'un dommage collatéral de cette stratégie, prise dans une ambiguïté que d'autres cultivent pour de tout autres raisons. Mais ce dommage collatéral est révélateur, car il montre qu'un monde qui brouille volontairement la frontière de la guerre rend du même coup inopérants tous les dispositifs, juridiques, financiers, assurantiels, qui reposaient sur la netteté de cette frontière.

La question n'est donc plus de savoir si la guerre est assurable, elle ne l'a jamais été. Elle est de savoir qui décidera, dans un monde de conflits déniés, où la guerre commence, car cette décision détermine désormais qui supporte le coût des guerres nouvelles, celles que l'on mène sans jamais les déclarer. Tant que cette question restera ouverte, chaque grande cyberattaque rouvrira le même procès, celui du sens d'un mot, et l'on découvrira que l'assurance, en excluant la guerre, s'était reposée sur une évidence, savoir la reconnaître, que l'adversaire lui a précisément retirée. La guerre n'est pas devenue plus assurable ni moins, elle est devenue invisible, et l'on n'exclut pas ce qu'on ne voit pas venir.

Il faudra bien, un jour, que quelqu'un tranche, non pas au cas par cas dans un prétoire des années après les faits, mais en amont, par une convention claire sur ce qui compte comme guerre à l'ère numérique. Tant que cette convention manquera, chaque attaque majeure sera à la fois un sinistre et un procès, et l'incertitude elle-même deviendra un coût, celui de ne pas savoir, en souscrivant, ce que l'on a réellement acheté. L'assurance a besoin de frontières nettes pour fonctionner, et la guerre moderne s'emploie à les effacer, si bien que la question de l'assurabilité de la guerre est devenue, sans qu'on y prenne garde, une question sur notre capacité collective à nommer ce que nous vivons.