Merck c. ACE American
Procès du New Jersey où l'exclusion d'« action hostile ou guerrière » d'une police dommages n'a pas suffi à refuser 1,4 milliard de dollars de pertes causées par NotPetya.
L'affaire Merck c. ACE American oppose le laboratoire pharmaceutique à une trentaine de ses assureurs dommages après l'attaque NotPetya de juin 2017, que les gouvernements américain et britannique ont attribuée à l'armée russe. Les assureurs refusaient la garantie au titre de l'exclusion d'« action hostile ou guerrière », rédigée pour la guerre conventionnelle et jamais adaptée au cyber. Le tribunal de première instance, en janvier 2022, puis la cour d'appel du New Jersey, le 1er mai 2023, ont jugé que cette clause visait l'emploi de la force militaire et non une attaque informatique contre une entreprise civile, même commise par un État. L'affaire a été transigée en janvier 2024, avant l'audience de la Cour suprême de l'État. Sa leçon pour la souscription tient en une phrase : une exclusion qui ne nomme pas le cyber ne l'exclut pas, et c'est ce jugement qui a précipité les clauses de guerre cyber du marché de Londres.
Merck réclamait environ 1,4 milliard de dollars au titre de polices tous risques dommages. Le 16 août 2022, pendant l'appel, le Lloyd's publie le bulletin Y5381, qui impose à toute police cyber autonome souscrite à compter du 31 mars 2023 une exclusion expresse des attaques d'État : le marché n'a pas attendu l'arrêt pour en tirer la conséquence.
affaire Merck NotPetya, Merck v. ACE, Merck & Co. v. ACE American Insurance
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.