Réflexion américaine sur un filet public contre le cyber catastrophique

Le marché de l'assurance cyber peut absorber des sinistres individuels et des événements de taille moyenne. Il ne peut pas porter seul une cyberattaque systémique qui paralyserait simultanément un secteur entier, un réseau électrique ou un système de paiement : l'accumulation dépasserait ses fonds propres, et les exclusions de guerre et d'infrastructure laissent déjà une large part de ces scénarios sans couverture. Aux États-Unis, le régime public contre le terrorisme couvre les actes cyber qui seraient certifiés comme terroristes, mais cette certification n'a jamais été prononcée pour une cyberattaque et ne vise pas les actes d'un État. En septembre 2022, le bureau fédéral de l'assurance, rattaché au département du Trésor, a lancé une consultation sur l'opportunité d'une réponse fédérale aux incidents cyber catastrophiques, à la suite d'une recommandation de l'organe de contrôle du Congrès. Les travaux ont examiné les options : réassurance publique au-delà d'un seuil, pool de marché, mécanisme de type terrorisme. Aucun dispositif n'a été créé à ce jour. La question se pose dans d'autres pays, où des régimes comme le pool britannique du terrorisme couvrent déjà certains actes cyber. Elle touche le cap d'AlgoPolis : lorsque le risque cyber devient politique par son auteur ou par son ampleur, qui le porte, et à quel prix ?