Couvertures cyber, exclusions et silent cyber

Sciences actuarielles · Master 1

Polices cyber : garanties, exclusion de guerre, pannes d'infrastructure et silent cyber.

Introduction

Dans une police cyber, la valeur réelle de la protection dépend moins du prix que des garanties, des exclusions et de la définition de l'événement couvert. Les litiges portent souvent sur la limite entre cyber et risques traditionnels (incendie, RC, vol).

La couverture silencieuse (silent cyber) désigne les expositions cyber présentes dans des polices qui n'en parlent ni pour les inclure ni pour les exclure. Les assureurs et superviseurs ont poussé à les clarifier, en rendant les garanties affirmatives ou en les excluant explicitement.

Le deck passe en revue la structure d'une police cyber, les exclusions typiques (guerre, infrastructures) et les enjeux de rédaction.

Objectifs d'apprentissage

Décrire les garanties types d'une police cyber
Définir silent cyber affirmatif et non affirmatif
Analyser l'exclusion de guerre et d'opérations étatiques
Identifier les points de vigilance en droit suisse du contrat d'assurance

Concepts clés

Garanties types: Assistance en cas d'incident (juristes, forensique, communication), restauration des données, interruption d'exploitation, extorsion, responsabilité pour atteinte à la sécurité des données, frais de notification.
Base de couverture: Beaucoup de polices fonctionnent sur la base des réclamations (claims-made) avec une période de notification : la garantie dépend de la date de la réclamation, pas seulement de celle de l'événement.
Silent cyber: Affirmatif : la police dit explicitement qu'elle couvre le cyber. Non affirmatif (silencieux) : elle ne dit rien et la question est tranchée par interprétation. Le silent cyber est risqué car l'exposition n'est ni tarifée ni limitée.
Exclusion de guerre: Elle exclut les pertes liées à la guerre ou à des opérations d'un État. L'attribution d'une cyberattaque à un État est difficile, ce qui rend la clause conflictuelle ; des rédactions plus précises ont été ajoutées après de grands incidents.
Infrastructure et pannes: Les pannes d'électricité, de télécommunication ou d'un fournisseur d'infrastructure sont fréquemment exclues ou sous-limitées. Les défaillances de fournisseurs cloud sont traitées par une garantie dédiée (contingent business interruption).

Conclusion

La clarté des polices cyber conditionne leur utilité et la maîtrise des engagements de l'assureur. Le silent cyber et les exclusions de guerre ont montré l'importance d'une rédaction précise.

L'actuaire doit donc coordonner tarification, rédaction contractuelle et suivi des expositions.

Cartes

Qu'est-ce qu'une garantie d'assistance en cas d'incident ?: Un accès à des experts (forensique, juristes, communication de crise) pour réagir rapidement.
Qu'est-ce que le silent cyber ?: Une exposition cyber non traitée explicitement (ni couverte ni exclue) dans une police.
Pourquoi est-il dangereux ?: Il génère une exposition non tarifée et non plafonnée, qui peut s'accumuler.
Silent cyber affirmatif ?: Garantie cyber expressément prévue dans une police traditionnelle, avec limite et prix.
Pourquoi l'exclusion de guerre est-elle délicate ?: L'attribution à un État est incertaine et l'impact peut dépasser le conflit visé.
Que signifie claims-made ?: La couverture dépend de la réclamation faite pendant la période de la police.
Qu'est-ce que la contingent business interruption ?: Perte d'exploitation causée par la défaillance d'un fournisseur dont dépend l'assuré.
Un assuré paie une rançon : y a-t-il un problème juridique ?: Il faut vérifier les sanctions applicables et la licéité du paiement ; les polices imposent généralement une procédure préalable avec l'assureur.
Quel texte régit le contrat d'assurance en Suisse ?: La loi fédérale sur le contrat d'assurance (LCA) ainsi que le Code des obligations pour les points non régis.
Pourquoi un questionnaire de souscription est-il important ?: Les réponses fondent l'appréciation du risque ; des déclarations inexactes peuvent entraîner des conséquences sur la couverture selon la LCA.

Glossaire

Silent cyber: Exposition cyber non traitée explicitement dans une police.
Claims-made: Base de couverture fondée sur la date de réclamation.
Exclusion de guerre: Clause excluant les pertes liées à un conflit armé ou à un État.
Interruption d'exploitation dépendante: Garantie pour la perte causée par la défaillance d'un fournisseur.
Couverture affirmative: Garantie cyber explicite avec limite et prime.
LCA: Loi fédérale sur le contrat d'assurance.