Les polices d'assurance cyber rejettent souvent catégoriquement les demandes d'indemnisation liées à la guerre et au terrorisme. En effet, indemniser les entreprises pour les dégâts considérables causés par une cyberguerre entraînerait la faillite de nombreux assureurs. Mais certaines formes courantes de risques catastrophiques, dont le lien avec la guerre est actuellement nié, pourraient bientôt relever de la responsabilité du gouvernement en matière d'atténuation.
En juillet, le Bureau de la responsabilité gouvernementale des États-Unis ( , GAO) a recommandé que les ministères de la Sécurité intérieure et du Trésor évaluent s’il était nécessaire de mettre en place un « filet de sécurité » fédéral — à l’instar de l’assurance publique couvrant les mauvaises récoltes — pour les polices d’assurance cyber qui protègent contre les cyberattaques visant les infrastructures critiques. Les assureurs privés cherchent de plus en plus à se soustraire à la prise en charge des pertes liées aux rançongiciels et autres cyberattaques en les qualifiant d'actes de guerre.
Pour les assureurs, les cyberattaques visant les infrastructures critiques s'apparentent à une forme de guerre lorsque ce sont des États qui en sont à l'origine et qui orchestrent ces actes de violence.
« Les assureurs ne sont pas en mesure d’offrir une couverture contre les actes de guerre », déclare Sridhar Manyem, directeur de la recherche et de l’analyse sectorielles chez AM Best, une agence de notation internationale spécialisée dans le secteur de l’assurance. « C’est pourquoi les clauses d’exclusion relatives aux actes de guerre sont la norme depuis plus de 100 ans. » Les exclusions relatives aux conflits armés ont été introduites dans la loi 1930s en réaction à la guerre civile espagnole.
Par exemple, les assureurs refusent de plus en plus souvent de prendre en charge les sinistres liés à des cyberattaques provenant d'Ukraine et de Russie, car ces deux pays sont engagés dans un conflit armé. Les avocats des organismes américains chargés des infrastructures critiques soulignent toutefois que les États-Unis ne sont techniquement en guerre avec aucun pays, du moins pas au sens traditionnel du terme. À ce titre, affirment-ils, les attaques provenant de Russie devraient être considérées sous le même angle que toute autre source de menace.
Les batailles juridiques déterminent les exclusions
Insurers already depend on reimbursement from the federal Terrorism Risk Insurance Program (TRIP), which was established after 11/09 to underwrite acts of terrorism and cyberattacks that are “violent or coercive in nature.” Le problème avec le programme TRIP : la plupart des cyberattaques ne sont pas considérées comme des actes de guerre ou de terrorisme au sens de ce programme, même si elles entraînent des pertes catastrophiques.
«Les assureurs ne sont pas en mesure d’offrir une couverture contre les actes de guerre. »Sridhar Manyem, directeur de la recherche et de l'analyse sectorielles chez AM Best
Un différend majeur concernant l'interprétation des limites de couverture a donné lieu à une procédure judiciaire en 2017 , lorsque le géant pharmaceutique Merck a poursuivi des assureurs au sujet de la prise en charge de 1,4 milliards de dollars de pertes liées à l'attaque du logiciel malveillant NotPetya , de type « », qui a été attribuée à des pirates informatiques de l'armée russe. Dans l'affaire « janvier 2022 » ( ), Merck a obtenu gain de cause : un tribunal du New Jersey a en effet statué que la clause d'exclusion relative à la guerre ne s'appliquait qu'à la guerre armée, et non à la cyberguerre. Merck avait demandé le remboursement des coûts liés à la cyberattaque dans le cadre d'une police d'assurance multirisques, et non d'une police dédiée aux risques cyber.
Il est peu probable que cette décision marque la fin de cette affaire. Alors que les attaques par ransomware de type « » ( ) et les cas de « business email compromise » (BEC) () ont connu une forte augmentation, les assureurs ont constaté une hausse des sinistres tant au titre des polices cyber autonomes que de celles associées à d’autres types d’assurance. ( ) Pour chaque dollar de couverture qu'ils proposent, les assureurs perdent désormais environ 65 cents sur les assurances cyber autonomes et les formules combinées.
C'est plus du double des « taux de sinistralité » observés en 2017, qui s'élevaient à 27,5 centimes pour les contrats groupés et à 35,4 centimes pour les contrats individuels, selon l'étude « » publiée par AM Best. Des taux de sinistralité de 65 centimes pour chaque dollar sont bien supérieurs au seuil de tolérance de la plupart des assureurs.
« L’assurance, telle qu’elle est pratiquée aujourd’hui, est généralement un système où, quoi qu’il arrive, les assureurs sont gagnants », explique Eric Gyasi, expert en cybersécurité et avocat qui dirige, pour le compte de Stroz Friedberg (une société du groupe Aon), les enquêtes de réponse aux incidents menées au nom d’entreprises victimes de cyberattaques et d’intrusions à grande échelle. « Le cyberespace a considérablement bouleversé ce modèle. »
Le risque lié à l'assurance cyber présente l'inconvénient de ne pas pouvoir être diversifié aussi facilement que d'autres types de couverture. Pensez à souscrire une assurance contre les inondations. Si une inondation majeure touche un État, les revenus générés dans les États non touchés par des inondations importantes contribuent à compenser les pertes subies par l'assureur.
Mais les cyberattaques se limitent rarement à un seul endroit. Lorsque des attaques à grande échelle telles que NotPetya touchent des infrastructures critiques, toute organisation disposant de matériel ou de logiciels vulnérables peut être affectée. Les assureurs ne peuvent pas se prémunir contre ce type de risque par la diversification.
Les assureurs spécialisés dans la cybercriminalité répercutent la charge
Face à la hausse spectaculaire de la cybercriminalité, certains assureurs ont augmenté leurs tarifs et leurs franchises, tout en renforçant les exclusions et en réduisant les types d'entreprises qu'ils sont disposés à couvrir. Certains assureurs, dont Lloyd’s of London, ont annoncé qu’ils ne couvriraient plus aucune cyberattaque imputable à des États-nations. Le Lloyd's aurait également commencé cette année à dissuader ses quelque 100 membres de syndicats de souscrire des contrats d'assurance cyber. De même, Chubb a annoncé publiquement sa stratégie visant à limiter la couverture des incidents de cybersécurité à grande échelle.
«L’assurance, telle qu’elle est pratiquée aujourd’hui, est généralement un jeu où, que ce soit pile ou face, ils sont toujours gagnants. » Le cyberespace a considérablement bouleversé ce modèle. »Eric Gyasi, vice-président chargé de la gestion des missions chez Stroz Friedberg
Gyasi affirme que c’est pour cette raison qu’il estime que les litiges concernant les exclusions liées à la guerre et au terrorisme risquent de s’aggraver avant de s’améliorer. L'assurance cyber est une forme de couverture encore balbutiante et, d'une certaine manière, les assureurs avancent à l'aveuglette. Les modèles actuariels « » utilisés par les assureurs pour évaluer les risques sont en pleine évolution. Elles souffrent également d'un manque de données, car de nombreuses entreprises victimes de cyberattaques, voire la plupart d'entre elles, évitent de signaler ces incidents. Les règles et les obligations applicables aux assurés, quant à elles, ne cessent d'évoluer.
Par ailleurs, selon le GAO, les tentatives de piratage visant les infrastructures critiques sont devenues plus sophistiquées et plus fréquentes. Cela est apparu de manière cruelle lorsque l'attaque par un rançongiciel contre Colonial Pipeline a interrompu l'approvisionnement en pétrole de la côte Est en 2021.
[À lire également : Les ransomwares mettent à mal le secteur de la cyberassurance]
Des observateurs tels que M. Gyasi, de Stroz Friedberg, affirment que ces incidents dramatiques expliquent pourquoi le gouvernement fédéral doit mettre en place un système, à l'instar de l'assurance-dépôts proposée par la FDIC aux banques, afin de garantir que l'assurance cybercouverture couvre les attaques visant les infrastructures critiques, qu'elles soient ou non considérées comme liées à un conflit armé.
« Si j’ai raison, le gouvernement fédéral va devoir mettre en place un filet de sécurité pour certaines de ces questions », affirme-t-il. « L’impact vaste et profond d’une défaillance d’une infrastructure critique nécessite une forme de responsabilité partagée entre les pouvoirs publics et les opérateurs. »
Pour ce faire, la Fed devra se prononcer sur la définition des infrastructures critiques nationales : « Le véritable enjeu, c'est que ce domaine évolue très rapidement », explique Gyasi. « C'est comme si on essayait d'enfoncer un piquet dans le sol et qu'on se rendait compte qu'il s'agit de sables mouvants. »
