Pourquoi la question se pose
Une exclusion de guerre traditionnelle retire de la garantie les pertes dues à une guerre, déclarée ou non, et aux actes « hostiles ou belliqueux » d'un gouvernement ou d'un pouvoir souverain. Elle a été écrite pour des chars et des bombardements. Une cyberattaque menée par un service d'État ne ressemble à rien de cela : pas de déclaration, pas de front, et un auteur que l'on ne connaît souvent qu'au bout de plusieurs mois.
Le cas qui a tout fixé : NotPetya
En juin 2017, le logiciel NotPetya, diffusé par la mise à jour d'un logiciel comptable ukrainien, a détruit des dizaines de milliers d'ordinateurs dans le monde. Le 15 février 2018, le Royaume-Uni puis la Maison-Blanche l'ont attribué à l'armée russe (The Register, Axios).
Le groupe pharmaceutique Merck réclamait plus de 1,4 milliard de dollars au titre de ses polices dommages « tous risques ». Ses assureurs ont opposé l'exclusion des actions hostiles ou belliqueuses. Le 1er mai 2023, la division d'appel de la Cour supérieure du New Jersey a confirmé que l'exclusion ne s'appliquait pas : une « action hostile ou belliqueuse » suppose, au minimum, une action de nature militaire, et pas seulement l'intention de nuire d'un gouvernement (décision, njcourts.gov, Justia). Les parties ont transigé le 3 janvier 2024, juste avant l'audience devant la Cour suprême de l'État, sans publier les termes (Cybersecurity Dive, Claims Journal).
Un second litige NotPetya, celui de Mondelez contre son assureur dommages, s'est réglé à l'amiable en novembre 2022, lui aussi sans termes publics (Insurance Journal, Infosecurity Magazine). Aucun juge n'a donc dit qu'une cyberattaque d'État était une guerre au sens de ces clauses.
Ce que le marché a écrit depuis
Le 25 novembre 2021, la Lloyd's Market Association a publié quatre clauses types pour les polices cyber autonomes, LMA 5564 à 5567, de l'exclusion la plus large à des versions qui laissent des garanties limitées (DAC Beachcroft, LMA). Leur innovation est de définir l'opération cyber : l'usage d'un système informatique par un État, ou pour son compte, pour perturber, détruire ou manipuler l'information d'un autre État.
Le 16 août 2022, le bulletin Y5381 du Lloyd's a exigé qu'à partir du 31 mars 2023 toute police cyber autonome de son marché exclue les attaques soutenues par un État, sauf accord exprès, et que la clause pose « une base robuste » pour attribuer l'attaque (bulletin Y5381, Kennedys).
Où se joue la réponse : l'attribution
Ces clauses déplacent la question. Il ne s'agit plus de savoir si une cyberattaque est une guerre, mais qui l'a menée, et qui doit le prouver. Les clauses LMA s'appuient d'abord sur l'attribution publiée par le gouvernement de l'État touché ; à défaut, sur une déduction raisonnable de l'assureur, à qui revient la charge de prouver l'exclusion (LMA 5567A, DAC Beachcroft). Or une attribution publique arrive tard, parfois jamais : celle de NotPetya a demandé huit mois. Le faux drapeau, ou l'action d'un mandataire, brouille encore la piste.
La seconde clé est l'État touché : plusieurs variantes ne retirent que les pertes d'une opération qui atteint gravement le fonctionnement ou la sécurité d'un État, et laissent couverts les systèmes situés hors de cet État (le bulletin Y5381 exige que la clause le dise clairement). Le même événement peut donc être exclu pour une filiale et garanti pour une autre.
Ce qu'il faut retenir
Lire la clause, pas son titre : savoir si elle est d'avant ou d'après 2021, quelle variante LMA elle reprend, comment elle attribue l'attaque et ce qu'elle fait des systèmes hors de l'État touché. AlgoPolis étudie ces textes ; cette page ne dit pas quelle garantie choisir.
Où nous l'avons tranché
Notre note de souscription n° 1, « Le serveur est à Varsovie », parue le 27 septembre 2026, prend cette question sur un dossier : un logisticien dont les systèmes sont en Pologne. Elle conclut qu'un souscripteur qui compte sur l'exclusion de guerre fait un pari juridique, pas une souscription, et décide oui sous conditions. Le contexte de marché est dans l'article « Le retrait de Lloyd's des risques de guerre hybride ».