Clause contractuelle excluant de la couverture les pertes causées par des cyberattaques attribuées à des États ou des acteurs étatiques, dont la rédaction et l'application soulèvent des difficultés juridiques majeures.
La clause d'exclusion cyber-guerre est une disposition contractuelle insérée dans les polices cyber stand-alone pour exclure de la couverture les pertes résultant de cyberattaques commanditées ou conduites par des États ou des acteurs en lien avec des États (state-sponsored). Elle est distincte des clauses d'exclusion de guerre classiques héritées du XXe siècle (conçues pour les conflits armés cinétiques), dont l'arrêt Merck de 2023 a démontré l'inapplicabilité aux cyberattaques. Lloyd's of London a imposé en août 2022, via le Market Bulletin Y5381, l'insertion obligatoire de telles clauses dans toutes les polices cyber autonomes souscrites par ses syndicats à partir du 31 mars 2023. La Lloyd's Market Association a publié quatre clauses modèles (LMA 5615 à LMA 5618), différant principalement sur le traitement de l'attribution. Les versions A exigent qu'une autorité compétente reconnaisse formellement l'imputabilité étatique avant que l'exclusion ne s'applique ; les versions B permettent à l'assureur d'invoquer l'exclusion sur la base d'une attribution raisonnable sans nécessiter de reconnaissance officielle. La principale difficulté d'application tient au problème d'attribution : certains États parrainent délibérément des groupes criminels (Corée du Nord, Russie) en maintenant une ambiguïté sur leur statut, rendant la frontière entre crime organisé et opération étatique volontairement floue. Cette zone d'incertitude constitue un réservoir de litiges anticipés pour la prochaine décennie.
L'attaque NotPetya de 2017 a été attribuée par les gouvernements américain et britannique au GRU russe. Pourtant, lors des litiges avec Merck et Mondelez, les assureurs ont tenté d'invoquer les clauses de guerre classiques pour refuser les indemnisations. La décision Merck de 2023 a invalidé cette approche pour les clauses héritées du XXe siècle. C'est précisément pour éviter ce type de vide que Lloyd's a introduit Y5381 : une clause cyber-guerre explicitement rédigée est juridiquement plus défendable que la clause guerre générique, mais la question de l'attribution reste son talon d'Achille.
war exclusion, acte de guerre cyber, Lloyd's Y5381, LMA 5615-5618, state-sponsored cyber exclusion