Clause d'exclusion cyber-guerre
Clause contractuelle excluant de la couverture les pertes causées par des cyberattaques attribuées à des États ou des acteurs étatiques, dont la rédaction et l'application soulèvent des difficultés juridiques majeures.
La clause d'exclusion cyber-guerre est une disposition contractuelle insérée dans les polices cyber stand-alone pour exclure de la couverture les pertes résultant de cyberattaques commanditées ou conduites par des États ou des acteurs en lien avec des États (state-sponsored). Elle est distincte des clauses d'exclusion de guerre classiques héritées du XXe siècle (conçues pour les conflits armés cinétiques), dont l'arrêt Merck de 2023 a montré les limites : la cour d'appel du New Jersey a jugé que l'exclusion d'action hostile ou belliqueuse de la police de Merck ne s'appliquait pas à NotPetya. Lloyd's of London a imposé en août 2022, via le Market Bulletin Y5381, l'insertion obligatoire de telles clauses dans toutes les polices cyber autonomes souscrites par ses syndicats à partir du 31 mars 2023. La Lloyd's Market Association a publié en novembre 2021 quatre clauses modèles (LMA 5564 à LMA 5567), qui se distinguent par l'étendue de la couverture conservée, de l'exclusion totale (LMA 5564) aux réintégrations les plus larges (LMA 5567), puis les a remplacées en janvier 2023 par une version A et une version B de chacune. Les versions A contiennent un accord sur l'attribution : l'assuré et l'assureur examinent les éléments de preuve objectivement raisonnables, dont une attribution officielle par le gouvernement de l'État où se trouve le système touché, et la charge de la preuve reste à l'assureur ; ce sont elles qui satisfont au bulletin Y5381. Les versions B n'en contiennent aucun, et l'attribution se prouve alors selon le droit applicable au contrat. La principale difficulté d'application tient au problème d'attribution : certains États parrainent délibérément des groupes criminels (Corée du Nord, Russie) en maintenant une ambiguïté sur leur statut, rendant la frontière entre crime organisé et opération étatique volontairement floue. Cette zone d'incertitude constitue un réservoir de litiges anticipés pour la prochaine décennie. À ne pas confondre avec l'exclusion de guerre classique, qui demande une guerre ou des hostilités, ni avec l'exclusion de sanctions, qui ne s'intéresse pas à l'auteur de l'attaque mais au bénéficiaire du paiement. Où le mot se lit : dans les exclusions générales de la police cyber autonome, souvent sous le numéro de la clause reprise (par exemple LMA 5567A) ; c'est la lettre A ou B qui dit si un accord sur l'attribution existe.
L'attaque NotPetya de 2017 a été attribuée par les gouvernements américain et britannique au GRU russe. Pourtant, lors des litiges avec Merck et Mondelez, les assureurs ont tenté d'invoquer les clauses de guerre classiques pour refuser les indemnisations. La cour d'appel du New Jersey a écarté cette lecture en 2023 pour la clause de Merck, et l'affaire Mondelez s'est close par une transaction en 2022, sans jugement. C'est précisément pour éviter ce type de vide que Lloyd's a introduit Y5381 : une clause cyber-guerre explicitement rédigée est juridiquement plus défendable que la clause guerre générique, mais la question de l'attribution reste son talon d'Achille.
- LMA, bulletin LMA21-042-PD, 25 novembre 2021 (LMA 5564 à 5567)
- Lloyd's, Market Bulletin Y5381, 16 août 2022
- Merck & Co. c. ACE American Insurance Co., New Jersey Appellate Division, 1er mai 2023
acte de guerre cyber, Lloyd's Y5381, LMA 5564-5567, state-sponsored cyber exclusion, cyber war exclusion, LMA5567, state-backed cyber attack exclusion
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.