Le serveur est à Varsovie

Relecture prévue le 27 mars 2027. À cette date, cette note sera relue contre ce qui s'est passé, et la relecture sera publiée en tête, qu'elle me donne raison ou tort.

Amendée le 26 septembre 2026, avant parution. La relecture cyber a objecté, l'objection a tenu en partie, et la décision porte désormais quatre conditions au lieu de trois. L'objection et la réponse sont en section 7, telles qu'écrites : on doit pouvoir voir ce qui a changé et pourquoi.

Le risque est fabriqué. Il assemble des configurations de marché réelles ; aucune entreprise existante n'est décrite. La note dit ce qu'un souscripteur déciderait. Elle ne dit à personne quoi acheter, ni où : elle ne porte aucune recommandation de garantie, de capital, de franchise ou de prime.

1. Le risque

Un transitaire et logisticien dont le siège est en France. 340 millions d'euros de chiffre d'affaires, 2 100 salariés, onze plateformes en Europe, dont quatre en Pologne orientale, sur l'axe qui achemine le fret vers l'Ukraine. Deux d'entre elles sont des entrepôts sous douane.

Trois choses structurent l'exposition. Les déclarations en douane polonaises passent par un seul logiciel, édité localement et mis à jour automatiquement. L'ERP et le système de gestion d'entrepôt de tout le groupe sont hébergés dans un centre de données à Varsovie, choix historique de l'équipe informatique polonaise, et leurs sauvegardes sont répliquées dans le même bâtiment. Enfin, un annuaire Active Directory unique couvre les onze sites.

La demande est le renouvellement d'une police cyber autonome. Le Lloyd's impose depuis le 31 mars 2023 à ses agents gérants d'inclure, dans toute police cyber autonome, une clause excluant les pertes dues aux attaques étatiques (bulletin de marché Y5381, 16 août 2022), sur la base des clauses modèles publiées par la Lloyd's Market Association le 25 novembre 2021 (LMA 5564 à 5567), révisées depuis en versions A et B. Le renouvellement se discute donc sous l'une de ces familles de rédaction, et c'est là que le risque politique entre dans le contrat cyber.

2. Ce qui manque

L'inventaire physique des systèmes. Je sais où est l'ERP. Je ne sais pas où tournent la messagerie, l'annuaire, les sauvegardes hors ligne s'il en existe, ni les postes d'administration. Or dans ces clauses, le critère n'est pas le siège de l'assuré ni la nationalité de l'attaquant : c'est l'endroit où se trouve physiquement le système touché. L'attribution se lit d'abord dans les déclarations du gouvernement de cet État, et certaines variantes réintègrent en garantie l'actif dit « spectateur » (bystanding cyber asset), défini comme un système qui n'est pas physiquement situé dans l'État touché. Sans l'inventaire, je ne sais pas quelle part du groupe serait dans l'État touché et quelle part serait spectatrice.

Le processus de mise à jour du logiciel de douane. Mise à jour poussée par l'éditeur ou validée en interne, depuis quel réseau, avec quels droits.

Un test de restauration daté. Pas une politique de sauvegarde : un test, avec sa date et sa durée mesurée.

La relation avec l'éditeur. Un accès de télémaintenance permanent, ou ponctuel et ouvert à la demande.

Chacun de ces manques pèse plus que tout le questionnaire standard, parce qu'ils décident à la fois de la probabilité du sinistre grave et de la qualification du contrat le jour où il survient.

3. Les signaux

Retenus

Le logiciel métier local unique, mis à jour automatiquement. C'est le chemin de NotPetya en juin 2017 : un logiciel de comptabilité fiscale ukrainien compromis à la source, dont la mise à jour a porté une charge destructrice chez tous ses utilisateurs, y compris des groupes qui n'étaient la cible de personne. Le Royaume-Uni et les États-Unis ont attribué l'attaque à l'armée russe en février 2018. Un transitaire dont les déclarations douanières dépendent d'un seul éditeur local, dans un pays voisin d'une guerre, est dans cette configuration.

La concentration à Varsovie. Elle joue deux fois. En fréquence, parce qu'un seul site porte l'ERP, le WMS et leurs sauvegardes. En qualification, parce qu'une opération étatique ayant un effet majeur sur les services essentiels de la Pologne ferait de ce centre un système situé dans l'État touché. Le même incident serait exclu pour les systèmes de Varsovie et potentiellement garanti pour ceux de Lyon. L'emplacement d'un serveur, décidé il y a dix ans par une équipe informatique, fixe aujourd'hui la frontière entre le risque cyber et le risque politique.

L'annuaire unique. Il fait d'une compromission locale une compromission de groupe. C'est ce qui transforme un sinistre polonais en sinistre à onze sites.

Les sanctions. Si l'attaque se double d'une extorsion, le destinataire d'une rançon peut être une personne sanctionnée. Le Trésor américain l'a écrit dans son avis sur les paiements de rançon (OFAC, 1er octobre 2020, mis à jour le 21 septembre 2021). La capacité de l'assuré à se relever ne peut donc pas reposer sur un paiement : elle repose sur la restauration, et c'est pourquoi le test daté est une condition et non une question.

Le cumul sur l'éditeur. Tous les utilisateurs du logiciel de douane partagent le même chemin. Ce signal ne se demande pas à l'assuré : il se lit dans le portefeuille de celui qui souscrit, et il peut à lui seul changer la réponse. (Retenu après l'objection de la relecture cyber, section 7.)

Écartés

La proximité géographique du conflit, prise seule. Être en Pologne orientale n'augmente pas en soi la probabilité d'être visé. Ce qui l'augmente, c'est le chemin : un logiciel partagé, un annuaire plat, un fournisseur compromis. Je retiens le chemin, j'écarte la carte. Et ce qui fait viser l'assuré, c'est son métier sur l'axe de l'aide, pas sa position sur la carte (section 7).

L'absence de sinistre sur cinq ans. Elle renseigne sur la fréquence des incidents ordinaires, pas sur un événement de queue corrélé. NotPetya a frappé des entreprises qui n'avaient jamais déclaré de sinistre cyber.

La note externe de surface d'attaque. Elle mesure ce qu'on voit de l'extérieur. Le vecteur retenu ici entre par la porte de confiance, une mise à jour signée ; une bonne note externe n'en dit rien.

L'exclusion elle-même, comme motif d'accepter. C'est le signal le plus tentant, et je l'écarte délibérément. Merck a obtenu en appel, le 1er mai 2023 devant la cour d'appel du New Jersey, que l'exclusion d'« action hostile ou guerrière » de ses polices dommages ne s'applique pas à NotPetya ; le litige s'est clos par une transaction en janvier 2024. Mondelez avait transigé en 2022 sur la même question. Un souscripteur qui accepte un risque parce qu'il compte sur l'exclusion de guerre fait un pari juridique, pas une souscription. Les clauses récentes ont précisé l'attribution, elles n'ont pas supprimé la dispute : la charge de la preuve reste sur l'assureur, et une attribution officielle peut arriver tard, ou jamais.

4. La décision

Oui, sous conditions. Et je décide comme si l'exclusion ne jouait pas.

Les scénarios que je crains, une mise à jour compromise ou un compte volé qui se propagent par l'annuaire jusqu'à l'ERP de Varsovie, sont des scénarios dont la qualification sera disputée. Je ne les laisse pas à l'exclusion ; je les réduis à la source. Les conditions portent sur l'information et sur le risque, jamais sur les termes du contrat :

1. L'inventaire physique des systèmes critiques, remis avant la prise d'effet : ERP, WMS, annuaire, messagerie, sauvegardes, avec le pays et le bâtiment de chacun.
2. Une copie des sauvegardes critiques hors de Varsovie, immuable ou hors ligne, et un test de restauration daté de moins de six mois, avec la durée mesurée.
3. Le logiciel de douane isolé : mises à jour reçues sur un segment séparé et validées avant déploiement, sans relation d'approbation avec l'annuaire du groupe ; télémaintenance de l'éditeur ouverte à la demande seulement.
4. L'identité tenue, et vérifiée : une authentification multifacteur sur tout accès distant et sur la messagerie, des comptes d'administration de l'annuaire distincts des comptes courants, et une revue des droits d'accès aux boîtes de messagerie datée de moins de trois mois, qui dise si des délégations inconnues y ont été trouvées. (Ajoutée après l'objection de la relecture cyber, section 7.)

Si l'une des quatre manque à la prise d'effet, la décision devient non. Ce ne sont pas des recommandations faites à l'assuré : ce sont les faits sans lesquels je ne sais pas ce que j'accepte.

5. Ce qui me ferait tort

Que l'assuré soit la cible d'une opération destructrice, et non d'une opération d'espionnage. Qu'il soit une cible tout court est un fait acquis à la date de cette note, et je l'avais d'abord manqué (section 7) : des logisticiens de cet axe sont visés, publiquement, depuis 2022. Ce que je suppose encore, c'est que ce ciblage cherche à savoir et non à détruire. Si, d'ici le 27 mars 2027, le gouvernement polonais ou un gouvernement allié attribue publiquement à un État une opération destructrice visant directement un opérateur logistique privé établi en Pologne, alors les logisticiens de cet axe sont passés du renseignement à la destruction. Mes quatre conditions ne suffisent plus, la fréquence que j'ai supposée est fausse, et la décision aurait dû être non.

Et un second signal, plus modeste : si l'assuré ne peut pas produire de test de restauration daté dans les trente jours, c'est que ses sauvegardes sont une politique et non une capacité. Le « oui » tombe, et j'aurai eu tort de l'annoncer avant de l'avoir vu.

6. La relecture

Le 27 mars 2027. On y cherchera trois choses, dans cet ordre : une attribution publique d'une opération destructrice visant un logisticien en Pologne ; une décision de justice ou une sentence publiée appliquant l'une des clauses de la famille LMA 5564 à 5567 à un dommage collatéral ; une compromission à la source d'un logiciel métier régional, dans n'importe quel pays voisin du conflit. La relecture dira lequel est survenu, et ce qu'il fait de la décision.

7. L'objection de la relecture cyber, et la réponse

L'objection, samedi 26 septembre

Ta note se trompe de vecteur dominant, et une pièce publique le dit. Le 21 mai 2025, la CISA, le FBI et la NSA ont publié avec leurs partenaires un avis conjoint (AA25-141A) sur une campagne de l'unité 26165 du renseignement militaire russe contre les entreprises de logistique et de technologie qui acheminent l'aide à l'Ukraine. Parmi les signataires : l'Agence de sécurité intérieure polonaise (ABW) et le Service de contre-espionnage militaire (SKW). La Pologne figure parmi les pays des entités compromises. Ton assuré est exactement dans ce périmètre. Il n'est donc pas un spectateur hypothétique : son métier est une cible documentée et attribuée, depuis plus de trois ans à la date de l'avis.

Et les techniques décrites ne passent pas par une mise à jour logicielle : pulvérisation de mots de passe, hameçonnage ciblé, modification des droits d'accès aux boîtes de messagerie. Le chemin, c'est l'identité. Tu retiens l'annuaire unique comme signal et tu n'en fais aucune condition.

J'ajoute l'argument de fréquence, qui vaut même sans aucun État : pour un logisticien de cette taille, le sinistre le plus probable est un rançongiciel criminel entré par un accès distant ou un compte volé. Lui aussi passe par l'identité, lui aussi s'attaque aux sauvegardes de Varsovie, et lui n'est touché par aucune exclusion de guerre. Ta note décide sur la queue et laisse le corps de la distribution sans condition.

Enfin, la corrélation. Le logiciel de douane unique n'est pas seulement le risque de cet assuré ; c'est le risque de tous ceux qui l'utilisent. Un souscripteur qui dit oui ici ajoute une ligne à un cumul qu'il doit mesurer.

La réponse du rédacteur risque politique

Sur le ciblage, l'objection tient et je la prends entière. J'ai écrit « que l'assuré soit une cible » comme condition de réfutation d'un fait qui était déjà public. C'est l'erreur exacte qu'une note doit éviter : prendre pour une incertitude future ce qui est une information du jour. La rubrique 5 est réécrite en conséquence. Ce que je maintiens, c'est la distinction qui compte pour la qualification : l'avis décrit de l'espionnage. Un accès qui sert à lire ne produit pas de sinistre ; le même accès peut servir un jour à détruire, et ce jour-là la question de l'attribution se posera sur une opération déjà attribuée dans sa phase de renseignement. C'est pour cela que la revue des droits de messagerie devient une condition : elle ne cherche pas un risque futur, elle cherche une présence possible aujourd'hui.

Sur l'identité et la fréquence, l'objection tient. La quatrième condition en est la conséquence directe. Elle sert les deux scénarios, l'étatique et le criminel, ce qui est la meilleure raison d'en faire une condition.

Sur la corrélation, elle est juste mais elle ne vise pas l'assuré. Le cumul sur un éditeur régional est le travail du souscripteur sur son propre portefeuille, pas une information que l'assuré peut fournir. Je la retiens comme signal, pas comme condition : si le portefeuille porte déjà d'autres utilisateurs de ce logiciel, la réponse peut devenir non pour une raison qui n'a rien à voir avec ce dossier, et c'est une décision qu'on prend à part.

Ce que je ne change pas : décider comme si l'exclusion ne jouait pas. La relecture cyber ne l'a pas contesté, et l'avis de 2025 le renforce : une campagne attribuée à un État dans sa phase d'espionnage rendrait la dispute sur une phase destructrice plus probable, pas moins.

Sources publiques citées. Lloyd's, bulletin de marché Y5381, 16 août 2022. Lloyd's Market Association, clauses LMA 5564 à 5567, 25 novembre 2021, et leurs révisions A et B. Superior Court of New Jersey, Appellate Division, Merck & Co. v. ACE American Insurance Co., 1er mai 2023 ; transaction déposée en janvier 2024. Gouvernement du Royaume-Uni et Maison-Blanche, attributions de NotPetya, février 2018. U.S. Department of the Treasury, OFAC, Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments, 1er octobre 2020, mis à jour le 21 septembre 2021. CISA, FBI, NSA et partenaires, dont l'ABW et le SKW polonais, avis conjoint AA25-141A, Russian GRU Targeting Western Logistics Entities and Technology Companies, 21 mai 2025.