Un lundi matin, des serveurs chiffrés
Un négociant de quarante salariés trouve ses serveurs chiffrés un lundi matin. Facturation arrêtée, entrepôt à l'aveugle, une semaine pour repartir. Le dirigeant sort sa multirisque professionnelle : incendie, dégât des eaux, vol, bris de machine, perte d'exploitation. Tout y est, sauf ce qui vient de lui arriver.
La perte d'exploitation d'une multirisque suit en général un dommage matériel garanti. Un fichier chiffré n'a ni brûlé ni pris l'eau, et la plupart des contrats ne le traitent pas comme un dommage matériel. Le volet qui devait payer la semaine d'arrêt ne se déclenche donc pas, sauf si le contrat a prévu le cas.
D'où vient la question : le cyber « silencieux »
Pendant vingt ans, les polices dommages ont été écrites pour le feu et l'eau, et ne disaient rien du risque informatique. Ni inclus, ni exclu : c'est ce que le régulateur britannique a appelé le risque cyber « non affirmatif », dans sa déclaration de supervision SS4/17 du 5 juillet 2017, en demandant aux assureurs de le mesurer dans toutes leurs branches dommages et responsabilité (PRA, SS4/17).
NotPetya a montré ce que coûtait ce silence. En juin 2017, le laboratoire Merck perd environ 1,4 milliard de dollars et se tourne vers ses polices dommages « tous risques », pas vers une police cyber. Ses assureurs opposent l'exclusion de guerre, les juges du New Jersey la jugent inapplicable, et l'affaire se règle à l'amiable en janvier 2024, à quelques jours de l'audience devant la Cour suprême de l'État (Cybersecurity Dive, The Record). Une police écrite pour l'incendie a failli payer une attaque informatique à l'échelle d'un groupe mondial.
Ce que Londres a écrit en 2019
En juillet 2019, le bulletin de marché Y5258 du Lloyd's a interdit le silence : toute police doit dire si elle couvre les pertes d'origine cyber ou si elle les exclut. La règle a commencé par les dommages aux biens, pour les contrats nouveaux et renouvelés prenant effet à partir du 1er janvier 2020, y compris quand les dommages sont combinés à d'autres branches ; les autres branches ont suivi par phases (bulletin Y5258, Insurance Business).
Le 13 novembre 2019, la Lloyd's Market Association a publié les libellés types qui répondent au bulletin pour les dommages : LMA 5400 et LMA 5401, avec leurs équivalents marine (bulletin LMA19-031-PD). La LMA 5401 est l'exclusion absolue : elle retire l'attaque malveillante comme l'incident accidentel, sans rien rendre, données comprises. La LMA 5400 exclut aussi, mais rend le dommage matériel causé par un incendie ou une explosion qui suit un incident informatique non malveillant (Hinshaw, BMS). Elles ont pris la place des avenants NMA 2914 et 2915 de 2001. La LMA les dit illustratives : chaque contrat peut les modifier, et c'est le texte signé qui compte.
Et dans une multirisque française
Le marché français des TPE et PME a suivi le même chemin, à sa manière. Les conditions générales récentes portent le plus souvent une exclusion des atteintes aux systèmes informatiques et aux données, rédigée par l'assureur plutôt que reprise d'un libellé de Londres. Certaines la tempèrent en rendant l'incendie ou l'explosion qui en découle. D'autres adossent au contrat un volet cyber, en option, avec son plafond, ses sous-limites et souvent un délai de carence avant que la perte d'exploitation ne compte.
La qualité de ces exclusions n'est pas acquise. En septembre 2022, la direction générale du Trésor, dans son rapport sur l'assurance du risque cyber, appelait à diffuser de meilleures pratiques de rédaction des clauses d'exclusion, pour qu'elles restent formelles et limitées et lèvent les ambiguïtés (Actu-Juridique). Une exclusion floue, en droit français, ne s'applique pas : l'article L. 113-1 du code des assurances la veut formelle et limitée.
La plainte, une condition qui vaut pour tout contrat
La loi du 24 janvier 2023 d'orientation et de programmation du ministère de l'Intérieur (LOPMI) a créé l'article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023. Toute indemnité d'assurance d'une atteinte à un système de traitement automatisé de données y est subordonnée à une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte. Le texte vise les personnes morales et les personnes physiques dans leur activité professionnelle, et les infractions des articles 323-1 à 323-3-1 du code pénal ; une panne accidentelle n'y entre pas (DAC Beachcroft, Squire Patton Boggs, FAQ de la DG Trésor).
La règle ne distingue pas selon le contrat. Une multirisque qui rend l'incendie consécutif à une attaque n'indemnise rien de cet incendie si la plainte manque. Le calendrier complet est sur la page après une cyberattaque, qui prévenir dans les 72 premières heures ?
Ce qu'il faut retenir
Lire le contrat, pas sa plaquette. D'abord la date des conditions générales : un texte antérieur à 2020 peut encore être muet. Puis la clause d'exclusion elle-même, avec ses définitions de « données » et de « système informatique », et la frontière qu'elle trace entre l'attaque malveillante et l'incident accidentel. Ensuite ce qu'elle rend, s'il y a quelque chose : incendie, explosion, bris du matériel. Puis le déclencheur de la perte d'exploitation, presque toujours un dommage matériel. Enfin, si un volet cyber existe, son plafond propre, ses sous-limites, son délai de carence et ses conditions de sécurité. AlgoPolis étudie ces textes ; cette page ne dit pas quelle garantie choisir. L'histoire du cyber silencieux est dans l'article « Silent Cyber : de la zone grise à la clause explicite ».