État impacté
Seuil des clauses LMA cyber war : au-delà, une opération cyber étatique est réputée avoir eu un impact préjudiciable majeur sur un État souverain.
Le 12 décembre 2023, une attaque que les services ukrainiens attribuent au groupe Sandworm, du renseignement militaire russe, coupe le réseau de Kyivstar, premier opérateur mobile du pays. Environ 24 millions d'abonnés n'ont plus ni téléphone ni internet pendant plusieurs jours. C'est la situation que décrit l'état impacté (impacted state), notion des clauses LMA 5565, 5566 et 5567, versions A et B, reprise parmi les définitions de la police cyber. Un État devient impacté quand une opération cyber a eu un impact préjudiciable majeur sur lui. Deux voies y mènent. Soit l'opération touche son fonctionnement, par une atteinte à la disponibilité, à l'intégrité ou à la fourniture d'un service essentiel (institutions financières, santé, services d'utilité publique). Soit elle touche sa sécurité ou sa défense. Ce double critère fixe un seuil de criticité systémique. Hors la guerre et les représailles entre les sept États que les clauses nomment (Allemagne, Chine, États-Unis, France, Japon, Royaume-Uni, Russie), une opération étatique n'est exclue que si elle atteint ce seuil. En deçà, elle reste couverte dans la limite de la police, sous réserve des autres exclusions. La LMA 5565 soumet cette couverture résiduelle à des limites fixées au contrat, la 5566 non, et la 5567 réintègre en plus les systèmes situés hors de l'État impacté. Un point se lit souvent de travers. Sous 5565 et 5566, l'exclusion joue dès qu'un État est impacté, où que se trouve le système de l'assuré. Seule la 5567 tient compte de cet emplacement, et la nationalité de l'assuré ne compte dans aucune des trois. L'État impacté est celui qui subit l'opération, jamais celui qui la mène. Le seuil reste flou. Ni l'« impact majeur » ni la frontière avec un incident sectoriel ordinaire ne sont définis, et le Market Bulletin Y5381 d'août 2022, qui a rendu ces exclusions obligatoires au Lloyd's, ne tranche pas ce point. Kyivstar le montre à sa façon : en pleine guerre entre la Russie et l'Ukraine, c'est l'exclusion de guerre elle-même qui a toutes les chances de jouer avant l'état impacté.
Cas d'école : une cyberattaque étatique paralyse pendant 72 heures le système de clearing interbancaire d'un petit État membre de l'UE. Les virements deviennent impossibles. Les institutions financières sont un service essentiel selon les définitions LMA, donc cet État devient un état impacté. Les assurés dont les systèmes sont situés dans cet État voient leur sinistre exclu sous LMA 5566 et 5567 (mais pas le write-back bystanding sous 5567A pour les systèmes situés hors de cet État). Cas daté : le 12 décembre 2023, une attaque attribuée par les services ukrainiens au groupe Sandworm du renseignement militaire russe a coupé le réseau de Kyivstar, premier opérateur mobile d'Ukraine. Environ 24 millions d'abonnés ont perdu téléphone et internet pendant plusieurs jours.
impacted state, état impacté, seuil d'impact systémique
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.