Pourquoi l'avenant arrive maintenant
Le 16 août 2022, le bulletin Y5381 du Lloyd's a exigé que toute police cyber autonome de son marché exclue les attaques soutenues par un État, à compter du 31 mars 2023, à la prise d'effet ou au renouvellement de chaque police (bulletin Y5381, DAC Beachcroft). Une police signée avant cette date découvre donc le texte à l'échéance. Le Lloyd's n'impose aucun libellé, et les clauses de la Lloyd's Market Association sont des modèles que chaque marché peut retoucher (LMA). Le contexte juridique, NotPetya et l'affaire Merck, est sur notre page « L'exclusion de guerre s'applique-t-elle à une cyberattaque attribuée à un État ? ». Ici, on lit l'avenant.
La dernière ligne : quelle clause, de quelle date
Une clause LMA se termine par son numéro et sa date, par exemple « LMA5567A - 18 January 2023 ». Ce jour-là, la LMA a publié huit clauses, de 5564A et B à 5567A et B, et retiré les quatre de novembre 2021 (DAC Beachcroft). La lettre A signale une clause d'attribution ; la lettre B, son absence.
La grille va de la plus fermée à la plus ouverte. La 5564A retire toute perte née d'une opération cyber d'État, sans seuil. La 5565A retire la guerre, l'opération cyber menée dans une guerre et celle qui fait d'un État un « État impacté », puis enferme les autres opérations cyber dans deux montants à inscrire, par opération et pour la période ; laissés en blanc, le texte dit qu'aucune opération cyber n'est garantie. La 5566A garde les mêmes exclusions sans ces deux montants (Jenner & Block). La 5567A y ajoute la phrase sur les systèmes situés hors de l'État impacté, et c'est elle que le marché emploie le plus (Carrier Management).
La date compte autant que le numéro : un correctif publié dans la foulée a retiré de la 5565A et de la 5566A une phrase de réintégration qui n'appartenait qu'à la 5567A (bulletin LMA23-003-PD). Sans aucune référence LMA, la clause est maison, et rien de ce qui suit ne se présume : chaque définition se lit dans le texte.
La définition de l'opération cyber
Dans la 5567A, c'est l'usage d'un système informatique par un État, sur son ordre ou sous son contrôle, pour perturber un système, en bloquer l'accès ou en dégrader le fonctionnement, ou pour copier, retirer, manipuler ou détruire l'information qu'il contient (LMA 5567A). Un rançongiciel lancé par un groupe criminel n'en relève pas tant que personne ne le rattache à un État. Toute la clause tient donc à ce rattachement.
Deux mots de la première phrase pèsent plus que leur taille. « Nonobstant toute disposition contraire » fait primer l'exclusion sur le reste de la police. Et le texte retire « la part » de la perte qui découle de ces événements, pas la perte entière par principe. Dernier détail : si la définition du système informatique diffère de celle de la police, c'est celle de la police qui s'applique, d'où l'intérêt de relire les deux.
Le seuil de l'État impacté
Un État devient impacté quand une opération cyber a eu un effet préjudiciable majeur sur son fonctionnement, par l'interruption d'un service essentiel, ou sur sa sécurité ou sa défense. Les services essentiels sont énumérés sans être limités : institutions financières et infrastructures de marché, santé, services d'utilité publique. « Majeur » n'est chiffré nulle part.
Pour l'entreprise qui renouvelle, la conséquence est simple à poser et difficile à trancher. Une opération d'État visant une société de taille moyenne, sans effet sur le fonctionnement d'un pays, ne franchit pas ce seuil : dans la 5565A, la 5566A et la 5567A, le paragraphe 1.3 ne la vise pas. Dans la 5564A, elle tombe quand même, parce que cette clause n'a pas de seuil.
La phrase des systèmes situés hors de l'État impacté
La 5567A précise que le paragraphe 1.3 ne s'applique pas à l'effet d'une opération cyber sur un système informatique utilisé par l'assuré ou ses prestataires tiers et qui n'est pas physiquement situé dans un État impacté. Les versions de 2021 parlaient de « bystanding cyber asset », terme défini que le texte de 2023 n'emploie plus.
Trois expressions se lisent à la loupe. « Utilisé par », et non « appartenant à » : le serveur loué compte. « Prestataires tiers » : l'hébergeur et l'infogéreur entrent dans la phrase. « Physiquement situé » : pour un service en nuage, la question devient celle du centre de données, que le contrat d'hébergement dit parfois et parfois pas. Cette phrase ne joue que sur le paragraphe 1.3 ; la guerre elle-même reste exclue partout.
L'attribution : qui prouve, et quand
Les clauses de 2021 posaient une mécanique en trois temps. L'attribution par le gouvernement de l'État où se trouve le système touché en était le facteur premier ; en attendant, l'assureur pouvait s'appuyer sur une inférence « objectivement raisonnable », et aucun sinistre n'était payé pendant cette période ; si ce gouvernement tardait de façon déraisonnable, s'abstenait ou se déclarait incapable d'attribuer, c'était à l'assureur de prouver l'attribution par d'autres éléments (The Register). Pour NotPetya, l'attribution officielle a demandé huit mois.
La 5567A de janvier 2023 écrit autre chose : la charge de la preuve de l'assureur « reste inchangée », et les deux parties examinent les éléments objectivement raisonnables dont elles disposent, parmi lesquels l'attribution officielle par le gouvernement de l'État où se trouve le système (LMA 5567A). La phrase qui suspendait le paiement n'y figure plus. Une version B, elle, n'a pas de clause d'attribution du tout : la question retombe sur le droit commun de la preuve de la police. Si votre avenant contient « pending attribution » ou « no loss shall be paid », il reprend la logique de 2021, quel que soit son numéro.
L'ancien texte, posé à côté
Un avenant prévaut sur les conditions antérieures pour ce qu'il modifie, et seulement pour cela. La lecture utile est donc une comparaison, paragraphe par paragraphe. L'ancienne police portait-elle une exclusion de guerre classique, rédigée pour des « actions hostiles ou belliqueuses », celle que le juge du New Jersey a refusé d'étendre à NotPetya ? L'avenant la remplace-t-il, ou s'y ajoute-t-il ? Dans le second cas, deux textes s'appliquent et chacun se lit pour lui-même. Enfin, une clause qui n'existait pas l'an dernier, ou une définition de l'opération cyber qui s'élargit, déplace la frontière de votre contrat même si le reste de la police n'a pas bougé d'une virgule.
Ce qu'il faut retenir
On lit l'avenant de bas en haut : la référence et sa date, puis les définitions, puis le seuil d'État impacté, la phrase des systèmes situés hors de cet État et la clause d'attribution. On le lit ensuite contre l'ancien texte. AlgoPolis étudie ces clauses ; cette page dit ce que chaque phrase change, pas ce qu'il faut signer.
Où nous l'avons tranché
Notre note de souscription n° 1, « Le serveur est à Varsovie », parue le 27 septembre 2026, met ces clauses à l'épreuve d'un dossier : un logisticien dont les systèmes sont en Pologne. Elle décide oui sous conditions. Le contexte de marché est dans l'article « Le retrait de Lloyd's des risques de guerre hybride ».