Silent cyber

Le silent cyber désigne l'exposition au risque cyber contenue de façon implicite dans des polices traditionnelles, dommages, responsabilité civile ou pertes d'exploitation, conçues avant que le cyber ne soit traité comme un risque distinct, et dont les conditions ne le mentionnent ni ne l'excluent explicitement. Une telle police peut alors se trouver engagée à la suite d'un sinistre d'origine cyber que ni l'assureur ni l'assuré n'avaient tarifé. Le problème est double pour l'assureur, qui supporte une exposition non mesurée donc non provisionnée, ainsi qu'un risque d'accumulation, puisqu'un même évènement cyber peut déclencher des sinistres simultanés sur de multiples branches. La réponse du marché, impulsée par Lloyd's à partir de 2019, a consisté à exiger que chaque police affirme sa position sur le cyber, soit en l'incluant et en le tarifant, ce qu'on nomme l'affirmation cyber, soit en l'excluant sans ambiguïté. Le silent cyber n'est donc pas une garantie mais un défaut de clarté contractuelle que la régulation et les directives de souscription cherchent à éliminer. La frontière reste contestée en contentieux, car qualifier un sinistre de cyber suppose souvent d'établir la cause technique première du dommage, exercice rarement trivial. À ne pas confondre avec l'affirmation cyber : le silent cyber est l'état d'une police qui se tait, l'affirmation est la réponse qui la fait parler, en couvrant ou en excluant. Où le mot se lit : nulle part dans la police, par définition ; on lit sa disparition dans une clause d'exclusion des attaques informatiques, comme la CL380 de 2003, ou dans une extension cyber nommée et tarifée.