La mise à jour dépend de deux États

Erratum du 6 octobre 2026. La section 3 lit les LMA 5565 à 5567 dans leur rédaction du 25 novembre 2021. La Lloyd's Market Association les a remplacées en janvier 2023 par des versions A et B, qui retirent l'exclusion des opérations cyber de représailles entre sept États nommés et ajoutent celle de l'opération menée dans la préparation immédiate d'une guerre (note n° 4, qui paraît le 19 octobre 2026 ; date corrigée le 9 octobre 2026). Pour une police souscrite aujourd'hui, la troisième lecture de la section 3 ne vaut donc plus telle qu'elle est écrite : hors de toute guerre et de sa préparation, la mise à jour détournée n'est exclue sous ces clauses que si elle atteint le fonctionnement d'un État, ses services essentiels ou sa sécurité. Le corps et la décision restent tels qu'ils ont été décidés : une note décidée se relit, elle ne se réécrit pas.

Cette note est devenue une décision le 29 septembre 2026. Elle instruit un dossier, pose ce qu'une grille aurait rendu, et proposait trois décisions complètes. L'option A, recommandée par le rédacteur, a été retenue : elle figure à la section 6, avec son motif, et les deux autres restent écrites.

Relecture proposée le 4 avril 2027. À cette date, la note sera relue contre ce qui s'est passé, et la relecture sera publiée en tête, qu'elle donne raison ou tort à la décision retenue.

Relue le 1er octobre 2026, avant parution, au niveau d'un souscripteur senior. Quatre ajouts, aucun mot retiré du fond : l'exposition bornée sur des hypothèses dites (section 1), le texte des clauses de guerre et d'opérations cyber et ce qu'il fait des deux scénarios du dossier (section 3), le cumul et le scénario qui ferait mal à un portefeuille (section 3), et les seuils datés qui feraient changer la décision avant la prise d'effet (section 6). La décision est inchangée : l'analyse ne mène pas au refus, elle borne ce que l'option A achète. Les faits ajoutés sont relus en section 9.

Le cas est public, l'assuré est fabriqué. Les actes des États, les décisions de justice et les déclarations de l'éditeur cités ici sont réels et datés. L'entreprise qui demande sa couverture n'existe pas : elle assemble des configurations de marché courantes. La note dit ce qu'un souscripteur déciderait ; elle ne dit à personne quoi acheter ni où, et ne porte aucune recommandation de garantie, de capital, de franchise ou de prime.

0. Pourquoi ce cas

La note n° 1 était du côté cyber : un scénario de dommage collatéral et une exclusion de guerre qui ne décide qu'après coup. Celle-ci est la jonction que le cap du site désigne comme son argument central : un acte d'État qui, sans qu'aucune attaque ait eu lieu, retire à un assuré le contrôle de sécurité sur lequel repose sa couverture cyber.

Parmi les cas possibles, c'est le mieux documenté des deux côtés. Il existe un acte juridique primaire publié au journal officiel américain, deux décisions de justice allemandes sur une mise en garde administrative, une résolution du Parlement européen, la réponse de la Commission qui dit n'avoir aucune preuve, et les déclarations contraires de l'éditeur. Un souscripteur n'a presque jamais un dossier politique aussi sourcé ; il a rarement, surtout, les deux versions.

1. Le risque

Le fait public

Le 20 juin 2024, le Bureau of Industry and Security du département du Commerce américain a rendu une détermination finale (affaire ICTS-2021-002, publiée au Federal Register le 24 juin 2024, 89 FR 52434) qui interdit à Kaspersky Lab, Inc., à ses sociétés affiliées et à ses sociétés mères de fournir des logiciels antivirus et des produits ou services de cybersécurité aux États-Unis ou à des personnes américaines. L'interdiction joue en deux temps : plus aucun contrat nouveau à compter du 20 juillet 2024, et plus aucune mise à jour de signatures ni de code, plus aucun fonctionnement du Kaspersky Security Network, à compter du 29 septembre 2024. Les utilisateurs ne sont pas sanctionnés s'ils continuent à se servir du produit ; ils cessent simplement d'être protégés par lui. Les produits de renseignement sur la menace, de formation et de conseil purement informatif en sont exclus.

Le motif tient en une phrase du texte : l'éditeur, soumis à la juridiction russe, doit se conformer aux demandes d'assistance ou d'information du gouvernement russe, et son logiciel, qui fonctionne au niveau du noyau, donne un accès étendu aux systèmes qu'il protège. Le lendemain, le 21 juin 2024, l'OFAC a désigné douze dirigeants de la société au titre du décret présidentiel 14024. Trois entités du groupe ont été inscrites sur l'Entity List le même mois.

L'éditeur conteste. Il a écrit que la décision reposait sur « le climat géopolitique actuel et des préoccupations théoriques » plutôt que sur une évaluation de l'intégrité de ses produits, et il avait proposé en janvier 2024 un dispositif de vérification par un tiers de confiance, jugé insuffisant par l'administration. Il a réduit ses activités américaines à compter du 20 juillet 2024. Le 19 septembre 2024, une mise à jour a remplacé automatiquement son logiciel par un produit tiers sur les postes de particuliers américains ; une partie d'entre eux a dit n'avoir pas été prévenue, l'éditeur affirmant les avoir informés à partir du 5 septembre.

En Europe, la situation est différente et plus instable. Le 15 mars 2022, l'office fédéral allemand de la sécurité informatique (BSI) a publié une mise en garde au titre de l'article 7 de la loi BSIG, recommandant de remplacer ces logiciels. L'éditeur l'a attaquée ; le tribunal administratif de Cologne a rejeté sa demande en référé le 1er avril 2022 (1 L 466/22), et la cour administrative d'appel de Münster a confirmé le 28 avril 2022 (4 B 473/22). Le Parlement européen avait déjà demandé, dans sa résolution du 13 juin 2018 sur la cyberdéfense, d'exclure des institutions les programmes « confirmés comme malveillants, tels que Kaspersky Lab » ; la Commission a répondu en 2019 n'être en possession d'aucune preuve en ce sens. À ma connaissance, à la date de cette note, aucune interdiction contraignante à l'échelle de l'Union ne vise les entreprises privées : le produit se vend et se met à jour en Europe.

L'assuré, fabriqué

Un fabricant de composants hydrauliques pour machines agricoles et de chantier, dont le siège est en France. 410 millions d'euros de chiffre d'affaires, 2 600 salariés, six usines : trois en France, une en Allemagne, une en Pologne, et une filiale de droit américain qui assemble et distribue dans le Midwest.

Le groupe a déployé la solution de protection des postes et serveurs de cet éditeur en 2016, sur l'ensemble de son parc. En septembre 2024, la filiale américaine, personne américaine au sens de la détermination, a dû migrer ses quelque 400 postes vers un autre produit. Le parc européen, environ 3 100 postes et 240 serveurs, dont les automates de supervision des lignes de production, est resté sur la solution d'origine. Le groupe tient donc deux consoles d'administration, de deux éditeurs, gouvernées par deux droits différents. Un centre opérationnel de sécurité externalisé surveille les deux.

La demande est le renouvellement d'une police cyber autonome au 1er janvier 2027. Le questionnaire est bon : authentification multifacteur sur les accès distants et la messagerie, protection des postes et serveurs sur 100 % du parc, sauvegardes hors ligne testées en mars 2026, aucun sinistre sur cinq ans.

L'exposition, bornée

Les chiffres qui suivent sont des hypothèses dites, pas des données de l'assuré, qui n'existe pas. Ils servent à savoir de quel ordre est l'enjeu, et à quel endroit il se loge.

L'acte d'État lui-même ne coûte rien à la police. Un retrait imposé n'est ni une intrusion, ni une défaillance de sécurité, ni une extorsion : la migration, les licences nouvelles et les heures de l'équipe informatique restent à la charge de l'assuré. Aucune garantie cyber ordinaire ne se déclenche le jour où un éditeur cesse de mettre à jour. Toute l'exposition est dans ce qui arrive pendant la fenêtre, et elle prend deux formes.

Premier scénario, le probable : un rançongiciel ordinaire pendant la fenêtre. Hypothèses : le parc européen porte environ 85 % du chiffre d'affaires, soit 350 millions d'euros, un peu moins d'un million par jour ; l'attaque arrête 60 % de la production des cinq usines européennes pendant vingt et un jours ; la marge sur coûts variables est de 40 %. La perte d'exploitation est alors d'environ 4,8 millions d'euros, et la reprise de 3 100 postes et 240 serveurs (investigation, reconstruction, renfort) en ajoute deux à trois. De l'ordre de 7 à 8 millions d'euros : c'est la sévérité d'un sinistre de rançongiciel ordinaire pour un industriel de cette taille, et l'acte d'État ne la change guère. Ce qu'il change, c'est la probabilité pendant quatre-vingt-dix jours. Si l'on suppose une fréquence annuelle de base de 3 % pour le segment, et qu'elle double pendant la fenêtre, la probabilité annuelle gagne environ trois quarts de point, soit une perte attendue supplémentaire de l'ordre de 55 000 euros. C'est peu : sur ce scénario, l'option B paierait cher un écart faible.

Second scénario, le sévère : le canal de mise à jour est en cause. Une mise à jour détourne le produit de niveau noyau, sur tout le parc européen à la fois, automates de supervision compris. Hypothèses : quarante-cinq jours d'arrêt à 80 % sur les cinq usines, même marge, reconstruction complète. La perte est alors d'environ 18 à 20 millions d'euros, deux fois et demie la précédente. Aucune pièce publique ne documente ce scénario, et la note ne le tient pas pour probable ; elle le borne, parce que c'est lui que les clauses de guerre et d'opérations cyber décident, et qu'elles le décident de façon opposée selon la variante (section 3).

2. Ce qui manque

Où tourne la console européenne, et comment elle reçoit ses mises à jour. Serveur interne ou service hébergé par l'éditeur, liaison directe avec ses serveurs ou relais interne, et avec quels comptes. C'est le canal par lequel un produit de niveau noyau reçoit ses instructions : je dois savoir qui le contrôle.

Si le réseau de réputation de l'éditeur est actif. C'est le service que la détermination américaine vise nommément, parce qu'il fait remonter des données des postes vers l'éditeur. Actif ou désactivé, avec quelles données.

Le retour d'expérience de la migration américaine. Combien de temps elle a pris, combien de postes sont restés sans protection et pendant combien de jours, ce qui a cassé. C'est la pièce la plus précieuse du dossier, parce qu'elle mesure la capacité de l'assuré à faire, sous contrainte d'un État, ce que l'Europe pourrait un jour lui demander.

Les automates. La protection de lignes de production ne se change pas comme celle d'un poste de bureau : certains fournisseurs d'automates ne qualifient qu'une liste courte de produits de sécurité. Je ne sais pas si un remplacement est possible sans arrêt de ligne.

La formulation exacte des questions posées à l'assuré. En droit français, l'assureur ne peut se prévaloir d'une fausse déclaration que si elle répond à une question qu'il a posée (Cass., ch. mixte, 7 février 2014, n° 12-85.107). Si la question est « protection des postes déployée : oui ou non », la réponse reste exacte le jour où l'éditeur cesse de mettre à jour. Si elle est « déployée et à jour », l'arrêt des mises à jour est une circonstance nouvelle que l'assuré doit déclarer dans les quinze jours (article L. 113-2, 3° du code des assurances). La portée juridique de l'acte d'État sur le contrat dépend d'une phrase du questionnaire, et je ne l'ai pas.

3. Les signaux

Retenus

Le contrôle peut disparaître en cours de contrat, par un acte que ni l'assuré ni l'assureur ne maîtrisent. C'est le cœur de la note. Un questionnaire photographie les contrôles au jour de la souscription ; il ne dit rien de leur survie pendant douze mois. Ici, la survie dépend de deux États : d'un côté l'Union ou un État membre qui peut imposer un retrait, comme les États-Unis l'ont fait ; de l'autre l'État dont l'éditeur relève, qui peut restreindre l'activité de ses entreprises à l'étranger ou peser sur elles. Le précédent américain a montré la forme exacte du risque : une date, un préavis de trois mois, puis un parc qui cesse d'être protégé, sans une ligne de code malveillante.

L'assuré a déjà vécu l'événement, sur une partie de son parc. C'est un signal dans les deux sens. Il prouve que le groupe sait migrer sous contrainte ; il prouve aussi que le groupe a choisi, en 2024, de ne pas migrer l'Europe. Ce choix n'est pas fautif. Il dit que le groupe a préféré attendre que le risque politique se matérialise plutôt que de le traiter, et c'est une information sur sa manière de décider.

Deux consoles, deux droits. Un parc scindé double la surface d'administration, et un centre de surveillance qui lit deux outils voit moins bien qu'un centre qui en lit un. Ce signal est technique, mais sa cause est politique : la frontière entre les deux consoles suit exactement la frontière de juridiction de la détermination américaine.

Le canal de mise à jour est un canal de confiance. C'est le chemin de NotPetya, déjà traité dans la note n° 1. Je ne retiens pas ici l'hypothèse d'une mise à jour malveillante, qu'aucune pièce publique ne documente ; je retiens que le jour où ce canal serait en cause, la question de l'imputation à un État se poserait immédiatement, et avec elle celle des exclusions d'actes étatiques du marché. L'assuré perdrait alors par le contrôle même que le questionnaire a récompensé.

Écartés

La nationalité de l'éditeur, prise seule. Un éditeur n'est pas un risque parce qu'il est russe, chinois ou américain. Il le devient quand un État a agi, ou a fait savoir qu'il agirait. Ici, un État a agi, par un texte publié et motivé. Je retiens l'acte, j'écarte le passeport.

La qualité technique du produit. Elle n'est pas en cause dans la détermination, qui porte sur la juridiction et non sur la détection, et je n'ai aucune raison de la mettre en doute. Un contrôle excellent qui peut être coupé par décret n'est pas un contrôle faible ; c'est un contrôle à durée incertaine, et c'est une autre catégorie.

La mise en garde allemande comme preuve. Elle est une recommandation, pas une interdiction, et les juges l'ont validée sur le fondement d'un danger plausible, non d'un défaut constaté. Elle me renseigne sur la probabilité d'un acte européen, pas sur la dangerosité du produit.

Le remplacement forcé du 19 septembre 2024. Il est spectaculaire, et il ne concerne que des particuliers américains. Il montre qu'un éditeur contraint de partir peut agir sur les postes par son canal de mise à jour ; je le garde en mémoire, je ne le mets pas au dossier d'un groupe industriel européen.

Le texte qui compte : les clauses de guerre et d'opérations cyber

La Lloyd's Market Association a publié fin 2021 quatre clauses modèles, LMA 5564 à 5567, qui forment une échelle. La LMA 5564 exclut toute opération cyber, définie comme l'usage d'un système informatique par un État, ou sous sa direction ou son contrôle, pour perturber, empêcher, dégrader, manipuler ou détruire l'information d'un système d'un autre État. Les LMA 5565 et 5566 n'excluent plus que la guerre, les opérations cyber de représailles entre la Chine, la France, l'Allemagne, le Japon, la Russie, le Royaume-Uni et les États-Unis, et celles qui ont un « major detrimental impact » sur le fonctionnement d'un État, ses services essentiels ou sa sécurité ; la 5565 avec des limites, la 5566 sans. La LMA 5567 y ajoute la réintégration des systèmes dits spectateurs, situés hors de l'État touché (note n° 4). L'attribution se lit d'abord dans la parole du gouvernement de l'État où se trouve physiquement le système touché ; en attendant, l'assureur peut s'appuyer sur une inférence « objectively reasonable » ; si ce gouvernement ne dit rien dans un délai raisonnable, la preuve de l'attribution reste à l'assureur.

Appliqué au dossier, ce texte donne trois lectures qu'un comité doit avoir sous les yeux :

1. Le retrait imposé n'est pas une opération cyber. Un acte réglementaire n'utilise aucun système informatique ; aucune des quatre clauses ne le vise, et aucune n'en a besoin, puisque l'acte ne déclenche aucune garantie (plus haut, l'exposition).
2. Le rançongiciel de la fenêtre est criminel et sans État. Aucune des quatre clauses ne joue. Le scénario probable est intégralement porté par la police, quelle que soit la variante retenue au marché.
3. La mise à jour détournée est le cas où tout se plaide. Sous la 5564, elle est exclue dès qu'elle est attribuée à un État. Sous les 5565 à 5567, une attaque visant un industriel isolé, hors de toute guerre, n'est exclue que si elle est une représaille entre deux des sept États nommés, la Russie et la France en faisant partie, ou si elle atteint le fonctionnement d'un État. Le même événement, de 18 à 20 millions d'euros, vaut donc zéro ou le tout selon la variante et selon ce que dira, ou taira, le gouvernement français, à qui revient l'attribution puisque les systèmes sont en France, en Allemagne et en Pologne. C'est pourquoi la note n° 1 tenait déjà que compter sur l'exclusion est un pari juridique.

Le droit du contrat fait le reste. En droit français, l'aggravation du risque en cours de contrat permet à l'assureur de résilier ou de proposer une nouvelle prime (article L. 113-4 du code des assurances), mais il ne peut plus s'en prévaloir quand, informé, il a manifesté son consentement au maintien de l'assurance, notamment en continuant à encaisser les primes. L'option A a donc un prix juridique que la note doit dire : en exigeant l'inventaire, le retour d'expérience et le plan de sortie, l'assureur sait, et le jour où un acte européen tombe, il ne pourra plus plaider qu'il ignorait la dépendance. Il achète l'information au prix de l'argument. C'est le bon échange, parce que l'argument, sans question précise au questionnaire, ne valait rien (section 2).

Le cumul, et le scénario qui ferait mal

Le cumul de ce dossier ne se mesure ni au secteur ni au pays, mais à l'éditeur : combien d'assurés du portefeuille européen protègent leurs postes avec ce produit, et combien en reçoivent les mises à jour par la même chaîne. Les deux scénarios jouent alors en sens opposé :

1. Si un acte européen tombe, tous ces assurés migrent dans la même fenêtre de trois mois. Le cumul est un cumul de fréquence : chacun voit sa probabilité de sinistre ordinaire monter un trimestre, sans catastrophe. Il se lit en points de sinistralité, et l'option A le réduit, puisque ses conditions mesurent la durée de la fenêtre.
2. Si le canal est en cause, tous ces assurés sont touchés le même jour. Le cumul est un cumul de sévérité, du type de NotPetya, et il se décide alors par les clauses : si l'exclusion tient, le portefeuille hérite d'une série de litiges sur l'attribution ; si elle tombe, il paie tous ces assurés d'un coup. C'est le scénario qui ferait mal, et la seule condition de l'option A qui le touche est la quatrième : des comptes d'administration et des sauvegardes qui ne dépendent pas de la console compromise réduisent la sévérité de chacun, pas leur nombre.

Ce qu'un portefeuille doit donc tenir, et que ce dossier seul ne dit pas : le décompte de ses assurés par éditeur de protection des postes. Le dossier d'un assuré se décide sur l'option A ; le nombre de dossiers semblables se décide au niveau du portefeuille, et c'est la part de vérité de l'option C.

4. Ce qu'un moteur aurait décidé

La grille

Une grille d'appétit ordinaire pour le segment, du type de celles qui alimentent les plateformes de cotation automatique, aurait lu ceci :

secteur              fabrication industrielle     aléa moyen
taille               410 M EUR                    dans la bande
authentification     MFA distant et messagerie    conforme
protection postes    100 % du parc                conforme
sauvegardes          hors ligne, testées 03/2026  conforme
surveillance         SOC externalisé              conforme
sinistralité         nulle sur cinq ans           favorable
------------------------------------------------------------
résultat             catégorie préférée, acceptation dans les
                     délégations, sans renvoi au souscripteur

secteur

fabrication industrielle

aléa moyen

taille

410 M EUR

dans la bande

authentification

MFA distant et messagerie

conforme

protection postes

100 % du parc

conforme

sauvegardes

hors ligne, testées 03/2026

conforme

surveillance

SOC externalisé

conforme

sinistralité

nulle sur cinq ans

favorable

résultat

catégorie préférée, acceptation dans les délégations, sans renvoi au souscripteur

Certaines grilles demandent le nom de l'éditeur. Aucune de celles dont je connais la logique ne le note sur un critère de juridiction ; et si l'une le faisait, elle le trouverait conforme, puisqu'aucune interdiction ne s'applique en Europe. Un score de surface d'attaque externe n'en dirait rien non plus : le produit est invisible de l'extérieur.

Le moteur accepte, et il a de bonnes raisons de le faire. Sur les données qu'il lit, ce dossier est meilleur que la moyenne du segment.

Où le jugement s'en écarte, et pourquoi

À un seul endroit, et il est précis : la ligne « protection des postes : 100 % du parc ». Le moteur la lit comme un état. Je la lis comme une promesse sur douze mois dont la tenue dépend d'un acte politique, et dont la probabilité n'est pas nulle puisque le même acte a déjà été pris par un autre État, contre le même éditeur, sur une partie du même parc.

Trois raisons font que cet écart n'est pas un scrupule :

1. Le moteur ne connaît pas le temps du contrat. Il note un contrôle présent ; il ne sait pas qu'un contrôle peut avoir une date de fin fixée par un tiers. Un acte européen calqué sur le texte américain laisserait environ trois mois entre l'annonce et l'arrêt des mises à jour, soit un quart de la période d'assurance.
2. Le moteur ne connaît pas le droit du contrat. Selon la phrase du questionnaire, l'arrêt des mises à jour est soit une aggravation que l'assuré doit déclarer, soit un non-événement contractuel. Dans le premier cas, un oubli de déclaration devient au jour du sinistre une dispute sur la réduction de l'indemnité (L. 113-9) ; dans le second, l'assureur porte un risque aggravé sans le savoir. Le précédent de Travelers c. International Control Services (tribunal fédéral du district central de l'Illinois, action introduite en juillet 2022, police annulée par jugement d'accord le 26 août 2022, sur une authentification multifacteur déclarée et absente) montre ce que devient un contrôle déclaré quand il manque au jour du sinistre : une question de validité du contrat, et plus de souscription.
3. Le moteur ne voit pas la jonction. Il classe l'éditeur dans une case technique. Le fait qui décide est politique, et il est public depuis le 20 juin 2024.

Ce que la relecture tranchera. Le 4 avril 2027, on saura si un acte européen ou national est intervenu, et si la ligne « 100 % du parc » a tenu. Si rien ne s'est produit, la grille avait raison sur la période, et le jugement devra dire si son écart était une prudence justifiée ou un coût inutile. Cette réponse sera écrite, quelle qu'elle soit.

5. Les trois décisions possibles

Chacune est complète et défendable. Aucune ne porte sur les termes du contrat : elles disent si l'on accepte, et sur quelle information.

Option AOui, sous conditions d'information et de réversibilité

On accepte, et l'on transforme l'incertitude politique en une capacité mesurée. Avant la prise d'effet, l'assuré remet :

1. l'inventaire du parc européen par pays et par console, avec l'emplacement de la console, le chemin des mises à jour et l'état du réseau de réputation de l'éditeur ;
2. le retour d'expérience daté de la migration américaine de 2024 : durée, nombre de postes et de jours sans protection, incidents ;
3. un plan de sortie écrit pour le parc européen, exécutable en moins de quatre-vingt-dix jours, avec un produit de remplacement déjà qualifié sur un échantillon de postes et sur au moins une ligne de production ;
4. des comptes d'administration de la console distincts des comptes d'administration de l'annuaire, et des sauvegardes qui ne dépendent pas de cette console.

Si l'une manque, la décision devient non. Ce ne sont pas des recommandations faites à l'assuré ; ce sont les faits sans lesquels je ne sais pas combien de temps son contrôle principal peut disparaître.

Option BNon, tant que le parc européen n'a pas migré

On refuse le renouvellement sur cette base, et l'on dit pourquoi : le contrôle central du dossier a une durée de vie fixée par des États, l'assuré le sait depuis 2024 puisqu'il l'a subi aux États-Unis, et il a choisi de ne pas le traiter en Europe. Le dossier est rouvert dès que la migration est faite. C'est la décision la plus simple à défendre devant un comité, et la plus coûteuse commercialement.

Option COui, aux conditions du moteur

On accepte comme la grille. L'éditeur est légal en Europe, le produit n'est pas en cause, la mise en garde allemande est une recommandation que la Commission n'a pas étayée, et pénaliser un fournisseur sur un motif politique qu'aucun législateur européen n'a retenu est un biais, pas une prudence. Le risque de retrait simultané est réel, mais il se traite au niveau du portefeuille, en mesurant combien d'assurés dépendent du même éditeur, et non dossier par dossier.

6. Ce qui ferait tort à chaque option

A aurait tort si un acte européen ou national imposait le retrait avant que le plan de sortie ait été éprouvé, et que la migration réelle prenne plus du double du délai annoncé, ou arrête une ligne de production. Les conditions auraient alors mesuré une intention, pas une capacité. Elle aurait tort aussi, dans l'autre sens, si l'assuré ne parvenait pas à produire le retour d'expérience américain dans les trente jours : c'est que la migration de 2024 n'a pas été pilotée, et le « oui » annoncé aurait été prématuré.

B aurait tort si, au 4 avril 2027, aucun acte contraignant n'a été pris en Europe, le produit a continué d'être mis à jour, et aucun incident public n'a mis en cause son canal de mise à jour. On aurait refusé un dossier meilleur que la moyenne sur un risque qui ne s'est pas produit, et le refus aurait mesuré un titre de presse plutôt qu'une probabilité.

C aurait tort si, pendant la période, un État membre de l'Union ou l'Union elle-même adoptait une mesure imposant le retrait ou l'arrêt des mises à jour pour des entreprises privées ; ou si l'État dont relève l'éditeur restreignait ses activités hors de Russie au point d'interrompre les mises à jour ; ou si un incident public était attribué, par un gouvernement, à ce canal de mise à jour. Dans chacun de ces cas, le contrôle récompensé par la grille aurait cessé d'exister en cours de contrat, et la question de la garantie se serait posée sur une déclaration devenue inexacte.

Ce qui me ferait changer d'avis avant la prise d'effet

La décision reste A. Quatre faits, chacun vérifiable avant le 1er janvier 2027, la feraient basculer :

1. Un acte contraignant de l'Union, ou de la France, de l'Allemagne ou de la Pologne, qui impose le retrait ou l'arrêt des mises à jour chez des entreprises privées, publié avant la prise d'effet alors que le plan de sortie n'est pas engagé : B, parce que la fenêtre serait ouverte avant que la capacité ait été mesurée.
2. Un retour d'expérience américain qui montre plus de trente jours sans protection sur plus d'un dixième des 400 postes : B, parce que la grandeur que A achète, la durée de la fenêtre, serait mesurée et mauvaise.
3. Une console européenne hébergée par l'éditeur, et non chez l'assuré, sans comptes d'administration séparables : B, parce que la quatrième condition, la seule qui touche le scénario sévère, ne pourrait pas être tenue.
4. Dans l'autre sens, une migration européenne achevée avant la prise d'effet : le dossier devient ordinaire, et l'écart avec la grille disparaît. C'est l'issue que l'option C attendait sans la demander.

La recommandation du rédacteur

Option A. Motif : elle est la seule qui porte sur ce que le souscripteur a réellement besoin de savoir, combien de temps l'assuré reste sans protection si un État décide, et c'est une grandeur que l'assuré peut prouver, puisqu'il l'a déjà vécue aux États-Unis. B surpaie un risque de juridiction qui n'a produit aucun incident documenté ; C ignore qu'un contrôle peut s'éteindre par un acte que ni l'assuré ni l'assureur ne maîtrisent, alors que ce précédent-là est documenté, daté et récent.

Ce que la recommandation n'est pas : une décision. Si la décision retient B ou C, elle prévaut, et la note publiée portera les deux, le désaccord compris.

Décision : Option A, oui sous conditions d'information et de réversibilité, retenue sur la recommandation du rédacteur.

Motif en une phrase : Elle porte sur la seule grandeur qui décide ce dossier, combien de temps l'assuré reste sans protection si un État décide, et l'assuré peut la prouver puisqu'il l'a déjà vécue aux États-Unis en 2024.

Date de la décision : 29 septembre 2026

Date de relecture : 4 avril 2027 (proposée, et modifiable)

7. La relecture

Le 4 avril 2027, ou à la date qui aura été retenue. On cherchera, dans cet ordre, cinq faits vérifiables :

1. Un acte contraignant européen ou national visant les produits de cet éditeur chez des entreprises privées, adopté entre le 4 octobre 2026 et la date de relecture. Oui ou non, avec sa référence.
2. L'état de la mise en garde du BSI : maintenue, retirée ou transformée en obligation.
3. Une interruption des mises à jour en Europe, quelle qu'en soit la cause, d'une durée supérieure à sept jours.
4. Une attribution publique, par un gouvernement, d'un incident passé par le canal de mise à jour d'un éditeur de sécurité, quel qu'il soit.
5. Une décision de justice ou une sentence publiée dans laquelle l'arrêt imposé d'un contrôle de sécurité a été invoqué contre un assuré cyber.

La relecture dira lequel est survenu, ce qu'il fait de l'option retenue, et qui avait raison, de la grille ou du jugement. Si aucun des cinq n'est survenu, elle le dira aussi, et l'option C sera créditée de sa victoire.

8. Objections

Relecture adverse, jouée par un relecteur de risque politique dans la posture d'un souscripteur senior du marché de Londres en risques politiques. Ses trois objections les plus dures, et les réponses.

Objection 1 · « Ce n'est pas du risque politique. »

« Mon métier couvre la confiscation, l'expropriation, la nationalisation, la privation, l'inconvertibilité, la violence politique et la rupture de contrat par un État. Aucun de ces faits générateurs ne vise un assuré dont le fournisseur de logiciel perd sa licence dans un pays tiers. Vous appelez risque politique un risque de chaîne d'approvisionnement, et c'est exactement la confusion qui fait passer un généraliste pour un spécialiste. »

Réponse. L'objection est juste sur le produit, et la note ne prétend pas qu'une police de risque politique répondrait. Elle prétend autre chose : que le fait qui décide du contrat cyber est un acte d'État, et qu'il s'analyse avec les outils du risque politique, pas avec ceux du cyber. Le fait générateur a un auteur identifié, une date, un fondement juridique publié et un recours épuisé ou non ; c'est exactement la grille de qualification d'un retrait de licence dans une police de risque politique, appliquée à un contrat qui n'en est pas une. La jonction n'est pas une confusion de produits ; c'est le constat que le souscripteur cyber qui n'a pas cette grille ne voit pas le fait, et que la section 4 montre où il ne le voit pas.

Objection 2 · « Vous tarifez un titre de presse. »

« Rien dans votre dossier ne montre un dommage causé par ce produit. Le texte américain parle de capacité, pas d'incident ; la Commission a dit ne disposer d'aucune preuve ; la cour de Münster a jugé un danger plausible. Vous faites porter à un assuré européen le coût d'une décision américaine prise pour des raisons de politique étrangère. Un bon souscripteur sépare le bruit politique du risque assurable. »

Réponse. C'est l'objection la plus sérieuse, et c'est pourquoi l'option A ne parie ni sur la malveillance, ni sur le produit. Elle parie sur la continuité, qui est un fait mesurable : un État a déjà coupé ce contrôle, à une date annoncée, sur une partie de ce même parc. Ce qui est tarifé n'est pas l'hypothèse d'une mise à jour piégée, que la note écarte expressément faute de pièce ; c'est la durée pendant laquelle l'assuré serait sans protection si l'acte se répétait. Et l'option C, qui est la position de l'objection, est écrite en entier et reste disponible : si elle est retenue, la relecture dira si le bruit était du bruit.

Objection 3 · « Votre scénario de sinistre n'existe pas. »

« Suivez l'argent. Un acte européen tombe ; l'assuré a trois mois ; il migre, comme il l'a fait aux États-Unis. Où est la perte ? Et si l'éditeur était un jour contraint d'agir contre ses clients, la clause d'exclusion des opérations étatiques ferait son office. Vous décrivez une gêne, pas un sinistre. »

Réponse. La perte n'est pas dans l'acte, elle est dans ce qui se passe pendant la fenêtre : un parc industriel dont une partie est en migration, des lignes de production dont les automates ne supportent qu'une liste courte de produits, deux consoles pendant des semaines, et un rançongiciel ordinaire, criminel et sans État, qui tombe à ce moment-là. Ce sinistre-là n'est touché par aucune exclusion, et c'est lui que la condition 3 mesure. Quant à l'exclusion, la note n° 1 a déjà dit ce qu'il faut en penser : compter dessus est un pari juridique, pas une souscription, et le jour où un canal de mise à jour serait en cause, l'attribution arriverait tard, et la charge de la preuve resterait à l'assureur. L'objection rend cependant un service précis : elle oblige à écrire que si l'assuré prouve une migration américaine rapide et propre, l'écart entre A et C devient faible, et c'est pourquoi la condition 2 est la première pièce à lire.

9. Les faits ajoutés le 1er octobre 2026

Relus par recherche exacte : les pages officielles restent bloquées depuis la machine de relecture, et chaque fait ci-dessous est confirmé par deux sources concordantes, ou retiré.

1. 89 FR 52434 : la détermination finale ICTS-2021-002 est publiée au Federal Register du lundi 24 juin 2024 (vol. 89, n° 121), page 52434. Gardé. Sources : govinfo.gov (FR-2024-06-24, 2024-13532) ; federalregister.gov.
2. Le 29 septembre 2024 comme date d'arrêt des mises à jour et de la revente. Gardé. Sources : federalregister.gov ; Holland & Knight, juin 2024.
3. La déclaration de l'éditeur (« the current geopolitical climate and theoretical concerns »), 20 juin 2024. Gardé. Sources : The Hacker News, juin 2024 ; Help Net Security, 21 juin 2024.
4. OVG Münster, 28 avril 2022, 4 B 473/22, confirmant VG Köln du 1er avril 2022, 1 L 466/22, sur le fondement de l'article 7 BSIG ; décision non susceptible de recours. Gardé. Sources : Legal Tribune Online ; beck-aktuell, 29 avril 2022.
5. Cass., ch. mixte, 7 février 2014, n° 12-85.107 : l'assureur ne peut se prévaloir d'une réticence ou d'une fausse déclaration que si elles procèdent des réponses à ses questions. Gardé. Sources : notice Légifrance (JURITEXT000028574768) ; L'Argus de l'assurance.
6. *Travelers c. International Control Services* : action introduite le 6 juillet 2022, jugement d'accord du 26 août 2022 déclarant la police nulle depuis l'origine. Gardé, date d'introduction précisée. Sources : Insurance Journal, 30 août 2022 ; Lockton.
7. LMA 5564 à 5567 : l'échelle des quatre clauses, la liste des sept États, le critère du « major detrimental impact », publiées fin 2021. Gardé. Sources : Latham & Watkins, War Exclusion Developments in Cyber Insurance Policies ; DAC Beachcroft, War exclusions in cyber policies: an overview.
8. L'attribution par le gouvernement de l'État où se trouve physiquement le système, l'inférence raisonnable, la preuve à la charge de l'assureur faute d'attribution. Gardé. Sources : texte LMA 5567A publié par la LMA (lmalloyds.com) ; IBA, The LMA Cyber War Exclusions, 18 avril 2023.
9. Article L. 113-4 du code des assurances : résiliation ou nouvelle prime en cas d'aggravation, et perte de ce droit après consentement au maintien, notamment par l'encaissement des primes. Gardé. Sources : Doctrine (LEGIARTI000006792029) ; L'Argus de l'assurance.

Revérifié le 1er octobre 2026 : aucun acte contraignant de l'Union ne vise les entreprises privées utilisatrices du produit ; la mise en garde du BSI reste une recommandation. L'affirmation de la section 1 est donc maintenue, et sera revérifiée à la relecture (section 7, fait 1). Écarté : une liste d'États membres ayant restreint le produit dans leurs seuls marchés publics, trouvée dans une source unique de vulgarisation, faute d'une seconde.

Les chiffres de l'exposition (section 1) ne sont pas des faits : ce sont des hypothèses, dites comme telles, sur un assuré fabriqué.

Sources publiques citées. U.S. Department of Commerce, Bureau of Industry and Security, Final Determination: Case No. ICTS-2021-002, Kaspersky Lab, Inc., 20 juin 2024, publiée au Federal Register le 24 juin 2024, 89 FR 52434. U.S. Department of the Treasury, OFAC, désignation de douze dirigeants d'AO Kaspersky Lab au titre de l'E.O. 14024, 21 juin 2024. Kaspersky, Statement on the U.S. Commerce Department Determination, juin 2024, et déclaration sur la mise en conformité, juillet 2024. Remplacement automatique chez les particuliers américains le 19 septembre 2024, rapporté notamment par TechCrunch le 23 septembre 2024 et The Register le 24 septembre 2024. Bundesamt für Sicherheit in der Informationstechnik, avertissement au titre de l'article 7 BSIG, 15 mars 2022. Verwaltungsgericht Köln, 1er avril 2022, 1 L 466/22 ; Oberverwaltungsgericht Nordrhein-Westfalen, 28 avril 2022, 4 B 473/22. Parlement européen, résolution du 13 juin 2018 sur la cyberdéfense ; réponse de la Commission à la question P-001206/2019. Travelers Property Casualty Co. of America v. International Control Services, Inc., U.S. District Court, Central District of Illinois, 2022, jugement du 26 août 2022. Cour de cassation, chambre mixte, 7 février 2014, n° 12-85.107. Code des assurances, articles L. 113-2 et L. 113-9.

Vérification. Les sources ont été recoupées le 26 septembre 2026 par recherche, les sites officiels (Federal Register, BIS, OVG NRW) étant inaccessibles depuis la machine de rédaction. Les trois références primaires, 89 FR 52434, 4 B 473/22 et 12-85.107, ont été identifiées le 1er octobre 2026 par leur notice et deux sources concordantes (section 9), sans lecture intégrale du texte.