Silent cyber

Le silent cyber désigne l'exposition au risque cyber contenue de façon implicite dans des polices traditionnelles, dommages, responsabilité civile ou pertes d'exploitation, conçues avant que le cyber ne soit traité comme un risque distinct, et dont les conditions ne le mentionnent ni ne l'excluent explicitement. Une telle police peut alors se trouver engagée à la suite d'un sinistre d'origine cyber que ni l'assureur ni l'assuré n'avaient tarifé. Le problème est double pour l'assureur, qui supporte une exposition non mesurée donc non provisionnée, ainsi qu'un risque d'accumulation, puisqu'un même évènement cyber peut déclencher des sinistres simultanés sur de multiples branches. La réponse du marché, impulsée par Lloyd's à partir de 2019, a consisté à exiger que chaque police affirme sa position sur le cyber, soit en l'incluant et en le tarifant, ce qu'on nomme l'affirmation cyber, soit en l'excluant sans ambiguïté. Le silent cyber n'est donc pas une garantie mais un défaut de clarté contractuelle que la régulation et les directives de souscription cherchent à éliminer. La frontière reste contestée en contentieux, car qualifier un sinistre de cyber suppose souvent d'établir la cause technique première du dommage, exercice rarement trivial.

Lors de l'attaque NotPetya en 2017, des entreprises comme Mondelez ont cherché à activer leur police dommages tous risques classique, qui ne mentionnait pas le cyber. Le contentieux Mondelez contre Zurich a cristallisé l'enjeu, l'assureur invoquant une exclusion d'acte de guerre tandis que l'assuré en contestait l'application à une cyberattaque.

cyber silencieux, cyber non affirmatif, non-affirmative cyber