الخطر السيبراني في محك التأمين وإعادة التأمين العالميين

مقدمة

في 27 يونيو 2017، انتشر برنامج خبيث مخفي في تحديث لبرنامج محاسبة أوكراني، في غضون ساعات، إلى شبكات شركات متعددة الجنسيات قائمة في جميع القارات. وقد كشفت واقعة NotPetya، التي تُقدَّر كلفتها العالمية عادةً بنحو عشرة مليارات دولار²، عن ثلاث حقائق لم يكن قانون التأمين قد استوعبها بعد: أن واقعة منشئة واحدة يمكن أن تصيب في آن واحد آلاف المؤمَّن لهم دون اعتبار للحدود؛ وأن الخطر المعلوماتي قد استقر، دون أن يخضع للتسعير، في وثائق تأمين الأضرار والمسؤولية التي لم تكن تستهدفه؛ وأخيرًا، أن نسبة هجوم إلى دولة تطرح مسألة تغطية يُحتسب رهانها بمئات ملايين الدولارات لكل مؤمَّن له.

وبعد ما يقارب عشر سنوات، أصبح التأمين السيبراني سوقًا قائمة بذاتها. إذ تقدر Munich Re الأقساط العالمية بما يقارب 15 مليار دولار سنة 2025 وتتوقع تضاعفها في أفق 2030³. غير أن هذه السوق تظل فتية ومركَّزة ومتحولة من الناحية القانونية. فعقودها ليست موحدة على غرار عقود التأمين البحري؛ واستثناءاتها الكبرى أُعيدت صياغتها تحت ضغط منظم السوق اللندنية؛ وقواعد تسوية الحوادث فيها تستمد من تدبير الأزمات بقدر ما تستمد من قانون التأمين؛ وحوادثها تُفصل أمام محاكم وسلطات في عدة بلدان في آن واحد.

ويتمثل موضوع هذه الدراسة في اقتراح شبكة قراءة قانونية شاملة لهذا الخطر، من منظور المؤمَّن له والمؤمِّن ومعيد التأمين ومستشاريهم. فبعد تحديد خصائص الخطر السيبراني ومظاهره (I)، سنحلل الاكتتاب وبنية وثائق التأمين (II)، ثم مسألة هوية المؤمَّن لهم، من القطاعين العام والخاص، والنطاق الترابي للضمانات (III). وسندرس بعد ذلك المسطرة الخاصة بتسوية الحوادث بحسب طبيعة الهجوم (IV)، ومكانة الشكاية الجنائية والتبليغات إلى السلطات (V)، ودور المحامي في الدفاع وفي دعاوى الرجوع (VI). وسنتناول أخيرًا إعادة التأمين للخطر السيبراني وتحويله إلى أسواق الرساميل (VII)، قبل وضع القانون المغربي والأسواق الناشئة في سياقهما (VIII).

I. الخطر السيبراني، موضوع تأميني متفرد

أ. التعريف والخصائص

يمكن تعريف الخطر السيبراني بأنه خطر الخسائر أو النفقات أو المسؤولية الناتجة عن مساس بسرية نظم المعلومات وبيانات منظمة ما أو بسلامتها أو بتوافرها، سواء كان هذا المساس عمديًا أو عرضيًا. ويشير ممارسو الأمن إلى هذا الثالوث بالاختصار CIA (confidentiality, integrity, availability، أي السرية والسلامة والتوافر)، وهو الذي يوفر المعيار المادي المشترك لمعظم مسببات انعقاد الضمان.

وتجعل منه أربع خصائص موضوعًا تأمينيًا متفردًا. فالخطر، أولًا، غير مادي: إذ يصيب البيانات والخدمات لا الأموال المادية، مما يجعله يفلت من وثائق تأمين الأضرار اللاحقة بالأموال القائمة على مفهوم الضرر المادي. وهو، ثانيًا، مزدوج: فالهجوم الواحد يُلحق بالضحية ضررًا ذاتيًا (first-party loss، خسارة المؤمَّن له) ويثير مسؤوليتها تجاه الأغيار (third-party liability، المسؤولية تجاه الأغيار)، بحيث تجمع وثيقة التأمين السيبراني بالضرورة بين تأمين الأشياء وتأمين المسؤولية. وهو، ثالثًا، عدائي ومتطور: فخلافًا للخطر الطبيعي، ينتجه خصم يكيف استراتيجيته مع وسائل الدفاع، مما يجعل سجلات الحوادث متجاوزة بسرعة. وهو، أخيرًا، قابل لأن يكون نظاميًا: إذ يمكن لثغرة برمجية، أو لاختراق مقدم خدمة مشترك، أو لعطل لدى مورد للمعلوميات السحابية، أن يتسبب في تراكم حوادث مترابطة، وهي ظاهرة تراكم تشكل الشاغل الأول لمعيدي التأمين.

وقد تأكدت هذه الخاصية الأخيرة في 19 يوليوز 2024، حينما شلَّ تحديث معيب صادر عن ناشر برامج أمنية نحو 8,5 مليون جهاز يعمل بنظام Windows. وقد وصفت Verisk PCS هذا الحادث غير العمدي بأنه واقعة كارثية سيبرانية، وتراوحت تقديرات الخسائر المؤمَّنة بين بضع مئات من الملايين وحوالي 1,5 مليار دولار⁴. وقدرت Parametrix بـ 5,4 مليار دولار الخسائر المباشرة لأكبر 500 شركة أمريكية وحدها (باستثناء Microsoft)، قد لا يكون مغطى منها سوى 10 إلى 20 %، بسبب ارتفاع مبالغ التحمل (الفرنشيز) وضعف الحدود⁵. ويشكل الفارق بين الخسارة الاقتصادية والخسارة المؤمَّنة، أو protection gap (عجز الحماية)، أحد المعطيات البنيوية للسوق.

ب. تصنيف الهجمات والحوادث

يتحكم التكييف التقني للحادث في الضمان الممكن تفعيله وفي مسطرة التسوية وفي الالتزامات القانونية للمؤمَّن له. ولذلك يتعين وضع تصنيف دقيق، يقابل الجدول 1 بينه وبين الضمانات المعنية.

الجدول 1. تصنيف الحوادث السيبرانية والضمانات المفعَّلة

وتفرض ملاحظتان نفسيهما. فمن جهة، تتداخل الفئات: إذ إن برنامج الفدية الحديث يكاد يكون دائمًا انتهاكًا للبيانات أيضًا، مما يُفعِّل على نحو تراكمي ضمانات الأضرار الذاتية وضمانات المسؤولية، وكذا التزامات التبليغ. ومن جهة أخرى، لا يتطابق التكييف القانوني (انتهاك البيانات بمفهوم قانون حماية البيانات، والمس بنظام للمعالجة الآلية بمفهوم القانون الجنائي) بالضرورة مع التكييف التعاقدي (security breach، privacy event، cyber event، بحسب مصطلحات كل وثيقة تأمين). ولما كان قانون التأمين محكومًا بإرادة الأطراف في حدود النظام العام، فإن التعريف التعاقدي للواقعة المُفعِّلة هو الذي يسود، ومن هنا تبرز أهمية التفاوض على التعريفات في مرحلة الاكتتاب.

ويستحق مفهوم انتهاك البيانات عناية خاصة، لأنه يتخلل مجموع المنازعات. فقد عرَّفه النظام العام لحماية البيانات (RGPD) بأنه انتهاك للأمن يؤدي، بصورة عرضية أو غير مشروعة، إلى إتلاف البيانات ذات الطابع الشخصي أو فقدانها أو تغييرها أو إفشائها دون ترخيص، أو إلى الولوج إليها دون ترخيص⁶. ويستدعي هذا التعريف، الذي أخذت به معظم وثائق التأمين أو وسعته ليشمل المعلومات السرية للمقاولة، أربع ملاحظات: فمجرد الولوج كافٍ، دون حاجة إلى إثبات استغلال البيانات؛ والمساس بالتوافر وحده (التشفير دون استخراج) يعد انتهاكًا؛ والخطأ البشري مشمول على قدم المساواة مع الفعل العمدي؛ وأخيرًا، قد ينتج الحادث عن فعل مناول، مما يفتح الباب أمام دعاوى الرجوع.

ج. السوق العالمية: الأحجام والفاعلون والدينامية

تمثل السوق العالمية للتأمين السيبراني حوالي 15 مليار دولار من الأقساط سنة 2025 حسب Munich Re، التي تسجل تباطؤًا واضحًا في النمو خلال السنوات الثلاث الأخيرة بعد ارتفاع قوي بصورة استثنائية⁷؛ وتتوقع Swiss Re من جهتها حوالي 16,4 مليار دولار سنة 2026⁸. وتظل السوق خاضعة لهيمنة أمريكا الشمالية، التي تستأثر بحوالي ثلثي الأقساط، بينما تتقدم أوروبا وتبقى إفريقيا وأمريكا اللاتينية وجزء كبير من آسيا دون المستوى الكافي من التأمين. وقد انقلبت دورة التسعير: فبعد ارتفاعات 2021-2022 التي أعقبت موجة برامج الفدية، انخفضت الأسعار سنتي 2024 و2025 بفعل وفرة الطاقة الاستيعابية، رغم أن تواتر الحوادث ما زال مرتفعًا.

الجدول 2. أبرز الفاعلين في السوق العالمية للتأمين وإعادة التأمين السيبرانيين

ويعد تركز إعادة التأمين سمة جوهرية: فحسب Howden Re، يُعتقد أن أكبر خمسة معيدي تأمين سيبراني يستحوذون على 62 % من الأقساط وأكبر عشرة على 87 %⁹. ويمنح هذا التركز معيدي التأمين، وسوق اللويدز، سلطة معيارية فعلية على شروط الضمان التي يعرضها مجموع المؤمِّنين المباشرين: فالاستثناءات التي تفرضها إعادة التأمين هي التي تنعكس، على نحو متسلسل، في وثائق التأمين التي تكتتبها المقاولات في العالم بأسره.

II. الاكتتاب وبنية العقد

أ. الاكتتاب: من التصريح بالخطر إلى الافتحاص التقني

لقد عرف الاكتتاب في الخطر السيبراني تحولًا عميقًا. فالاستبيان التصريحي التقليدي (proposal form، مقترح التأمين) بات يُستكمل بتحليل تقني خارجي لتعرض المقاولة (مسح عناوينها على الإنترنت، والثغرات المعروفة، والمنافذ المفتوحة، وتهيئة البريد الإلكتروني) وبمتطلبات أمنية دنيا يتوقف عليها الولوج إلى الضمان: المصادقة متعددة العوامل (MFA) بالنسبة لعمليات الولوج عن بعد وللحسابات ذات الامتيازات، وأدوات الكشف والاستجابة على الأجهزة الطرفية (EDR)، ونسخ احتياطية منفصلة عن الشبكة ومختبَرة، وسياسة للتحديث، وتجزئة الشبكات، وتكوين المستخدمين في مواجهة التصيد الاحتيالي.

وليست هذه التصريحات مجرد إجراء شكلي. فالقانون العام للتصريح بالخطر يرتب عليها جزاءات صارمة في حالة عدم صحتها، وقد قدمت الممارسة الأمريكية مثالًا بارزًا على ذلك: ففي سنة 2022، طلب المؤمِّن Travelers أمام محكمة فيدرالية في إلينوي إبطال وثيقة تأمين سيبراني بدعوى أن المؤمَّن له صرح خطأً باستخدام المصادقة متعددة العوامل؛ وقد وافق المؤمَّن له على فسخ العقد بأثر رجعي¹⁰. والدرس مزدوج: فالتصريح الأمني عنصر جوهري في تقدير الخطر، ويجب أن تتحقق من صياغته الفرق التقنية للمؤمَّن له، لا مصالحه القانونية أو المالية وحدها.

ويرتب التصريح أيضًا آثارًا بخصوص الوقائع السابقة. فوثائق التأمين تستثني الحوادث التي علم بها المؤمَّن له قبل تاريخ السريان أو السابقة لتاريخ الأثر الرجعي (retroactive date). والحال أن اختراقًا ما قد يظل غير مكتشف طوال شهور: فالمهاجم الموجود في النظام يوم الاكتتاب يُنشئ خطر منازعة حول العلم المسبق، وهو ما يتيح تاريخ الاستمرارية (continuity date، تاريخ أول اكتتاب غير منقطع) تأطيره.

ب. انعدام «العقد النموذجي للويدز» وواقع الصيغ

خلافًا لفكرة شائعة، لا توجد وثيقة تأمين سيبراني نموذجية يفرضها اللويدز. فكل نقابة أو مؤمِّن يستعمل صيغته الخاصة (wording)، المحمية في الغالب بحق المؤلف، ولا يقوم اللويدز إلا بتأطير بعض عناصرها. ويمارس دوره المعياري عن طريق منشورات السوق (market bulletins)، التي تلزم الوكلاء المسيرين للنقابات، وعن طريق الشروط النموذجية الصادرة عن رابطة سوق اللويدز (Lloyd's Market Association, LMA)، التي يعد اعتمادها اختياريًا لكنها تشكل مرجعًا للسوق العالمية. وقد كان سجل صيغ اللويدز يضم سنة 2022 أكثر من ثلاثمائة شرط متعلق بالسيبراني¹¹.

وبالرغم من تنوع الصيغ، فقد فرضت بنية مشتركة نفسها. فوثيقة التأمين السيبراني المستقلة (standalone cyber policy) تجمع، في أقسام متمايزة لكل منها حدها وتحملها (الفرنشيز) وأحيانًا مسببها المُفعِّل، ضمانات الأضرار الذاتية وضمانات المسؤولية، تضاف إليها خدمة تدبير الأزمة. ويعرض الجدول 3 بنيتها النموذجية.

الجدول 3. البنية النموذجية لوثيقة تأمين سيبراني مستقلة

ج. الآليات التقنية للعقد

تجمع وثيقة التأمين السيبراني بين عدة أنظمة زمنية. فضمانات المسؤولية تعمل عمومًا على أساس المطالبة (claims-made and reported، مطالبة مقدمة ومصرح بها خلال فترة التأمين)، في حين تنعقد ضمانات الأضرار الذاتية باكتشاف الحادث (discovery trigger، الانعقاد عند الاكتشاف). ويشكل تعايش هذين المسببين في العقد نفسه مصدر صعوبات عندما يكتشف الحادث خلال فترة وتقدم مطالبات الأغيار خلال فترة أخرى، ولا سيما في حالة تغيير المؤمِّن.

وتخضع خسائر الاستغلال لمعايير خاصة: فترة انتظار (waiting period)، تمتد عمومًا لبضع ساعات، لا يعوَّض دونها عن أي خسارة وتعمل عمل تحمل (فرنشيز) زمني، وفترة تعويض (indemnity period) تحدد مدة التكفل. وخلال حادث يوليوز 2024، لاحظت Guy Carpenter أن فترات الانتظار المعمول بها في السوق تتراوح عادة بين أربع واثنتي عشرة ساعة، مما حدَّ بشكل كبير من الخسائر المؤمَّنة¹².

ويتأطر تدبير الحادث بشروط تمنح المؤمِّن سيطرة واسعة على الأزمة. فشرط مقدمي الخدمة المعتمدين (panel vendors) يُلزم المؤمَّن له، أو يحثه بقوة، على اللجوء إلى المحامين والمحققين التقنيين والمفاوضين ومقدمي خدمات التواصل الذين اختارهم المؤمِّن مسبقًا. وشرط الموافقة المسبقة (consent clause) يمنع المؤمَّن له من الالتزام بنفقات أو الإقرار بمسؤوليته أو إبرام صلح دون موافقة المؤمِّن. والشرط المسمى «المطرقة» (hammer clause) يحدد سقف تكفل المؤمِّن في مبلغ الصلح الذي أوصى به عندما يرفضه المؤمَّن له. وأخيرًا، فإن شرط الحادث الواحد (related claims / single claim clause) يجمع في حادث واحد الوقائع الصادرة عن السبب نفسه، بتحمل (فرنشيز) واحد وحد واحد، وهو ما قد يصب في صالح المؤمَّن له أو في غير صالحه بحسب التركيبة.

ويُعبَّر عن حدود الضمان بسقف إجمالي سنوي (aggregate limit) مقرون بحدود فرعية (sublimits) بحسب كل ضمان، وتدخل نفقات الدفاع في الغالب ضمن الحد (defence within limits)، بحيث تقتطع كلفة الدفاع من الطاقة المتاحة للتعويض. وبالنسبة للأخطار الكبرى، تُنظَّم الطاقة الاستيعابية في أبراج (towers) من الخطوط الأولية والخطوط الفائضة (excess layers) يكتتبها مؤمِّنون مختلفون، ويتبع كل منها مبدئيًا صيغة الخط الأولي (follow form). ويشكل انسجام البرج، ولا سيما بخصوص استثناءات الحرب، رهانًا كبيرًا في عملية التوظيف.

د. الاستثناءات، والمسألة الحاسمة للهجمات المنسوبة إلى دولة

تتضمن وثائق التأمين السيبراني الاستثناءات التقليدية لتأمين المسؤولية وتأمين الأضرار (الخطأ العمدي للمسيرين، والأضرار الجسدية والمادية المحالة على وثائق التأمين التقليدية، والمسؤولية التعاقدية التي تتجاوز المسؤولية القانونية، والملكية الفكرية خارج ضمان وسائل الإعلام، وتحسين النظام بما يتجاوز حالته السابقة أو betterment). وتضاف إليها استثناءات خاصة بهذا الخطر: عطل البنيات التحتية الأساسية (الشبكات الكهربائية، والاتصالات، والإنترنت، والأقمار الاصطناعية)، وعدم تصحيح ثغرة معروفة داخل أجل محدد، في بعض وثائق التأمين، وعلى الأخص استثناء الحرب والهجمات السيبرانية المدعومة من دولة.

وقد تشكل هذا الاستثناء الأخير بفعل منازعات NotPetya. ففي قضية Merck، تمسك مؤمِّنو الأضرار لهذه المجموعة الصيدلية باستثناء تقليدي للأعمال العدائية أو الحربية؛ وقد استبعدته محكمة الاستئناف في نيوجيرسي سنة 2023، بعلة أن الشرط، الذي وُضع للحرب التقليدية، لا يشمل العمليات السيبرانية¹³. وقد تصالح الأطراف عشية نظر المحكمة العليا لنيوجيرسي في القضية، في يناير 2024، تاركين القرار الاستئنافي على حاله¹⁴. أما القضية الموازية بين Mondelez وZurich، المتعلقة بمطالبة تناهز 100 مليون دولار برسم وثيقة تأمين أضرار، فقد انتهت بصلح أثناء سير المحاكمة في أكتوبر 2022، دون سابقة قضائية¹⁵.

وقد ردت السوق بالوسيلة المعيارية. فنشرت LMA في 25 نونبر 2021 أربعة شروط نموذجية، من LMA5564 إلى LMA5567، تتدرج في استثناء الحرب والعمليات السيبرانية¹⁶. ثم فرض اللويدز، بمقتضى منشوره Y5381 الصادر في 16 غشت 2022، على جميع وثائق التأمين السيبراني المستقلة الخاضعة لرمزي الخطر CY وCZ أن تتضمن، ابتداءً من 31 مارس 2023، استثناءً للهجمات السيبرانية المدعومة من دولة، منفصلًا عن استثناء الحرب أو مدمجًا فيه¹⁷. ويضع المنشور متطلبات دنيا: استثناء الخسائر الناتجة عن حرب، معلنة كانت أو غير معلنة؛ واستثناء الهجمات المنسوبة إلى دولة التي يكون لها أثر ضار جسيم على سير عمل دولة ما أو على أمنها؛ وتحديد مصير النظم الموجودة خارج الدولة المتضررة؛ وأخيرًا، وضع آلية متينة لنسبة الهجوم إلى دولة. وتسند الشروط النموذجية هذه النسبة في جوهرها إلى ما تقرره حكومة الدولة المتضررة¹⁸. وقد دقق المنشور Y5433 الصادر في يونيو 2024 هذا النظام وصنف الشروط إلى أربعة أنواع، على أن الأكثر تحررًا منها (النوع 4)، الذي يغطي الهجمات المنسوبة إلى دولة والمنفذة في إطار حرب تقليدية، محجوز للنقابات المعتمدة بصفة «متقدمة» وللتجديدات وحدها¹⁹.

وتثير هذه الشروط ثلاث صعوبات قانونية لم يستنفد الفقه بعد بحثها. تتعلق الأولى بالنسبة: فإسناد هجوم سيبراني إلى دولة عمل سياسي، غالبًا ما يتأخر، وقد لا يُصاغ رسميًا أبدًا، ويُدرَك هنا تناقض عقد خاص يجعل الضمان رهينًا بالموقف الدبلوماسي لحكومة ما. وتتعلق الثانية بمفهوم «الأثر الضار الجسيم» على سير عمل دولة ما، وهو غير معرَّف وسيستدعي تأويلًا قضائيًا أو تحكيميًا²⁰. وتتعلق الثالثة بعبء الإثبات: ففي القانون العام للتأمين، يقع على عاتق المؤمِّن الذي يتمسك باستثناء ما إثبات شروطه، وهو ما يطرح، عند تطبيقه على هجوم تتولى مصالح الاستخبارات نسبته استنادًا إلى عناصر مصنفة سرية، مشكلة إثبات بالغة الصعوبة.

هـ. السيبراني «الصامت» وتوضيح وثائق التأمين التقليدية

يقصد بالخطر السيبراني غير المصرَّح به (silent أو non-affirmative cyber) التعرض للخطر المعلوماتي الكامن في وثائق التأمين التقليدية (الأضرار، المسؤولية المدنية، الاحتيال، البحري، الطيران) التي لا تغطيه ولا تستثنيه صراحة. وقد كانت قضيتا Merck وMondelez تتعلقان تحديدًا بوثائق تأمين أضرار. وبدفع من السلطة الاحترازية البريطانية، اشترط اللويدز، بالنسبة لجميع وثائق التأمين الصادرة ابتداءً من فاتح يناير 2020، أن تكون تغطية السيبراني إما ممنوحة صراحة وإما مستثناة صراحة²¹. وفي مجال تأمين الأضرار اللاحقة بالأموال، أصبح الشرط LMA5400 (Property Cyber and Data Exclusion) ونظيره LMA5401 مرجعين. وينتج عن ذلك حد أكثر وضوحًا، ولكن أيضًا مسؤولية متزايدة على عاتق الوسطاء ومديريات الأخطار، الذين يتعين عليهم التحقق من أن الاستثناء المدرج في وثيقة تأمين تقليدية تقابله فعليًا وثيقة تأمين سيبراني مخصصة.

III. من هو المؤمَّن له؟ الأشخاص العامة والأشخاص الخاصة والنطاق العابر للحدود

أ. تأمين صُمِّم في الأصل للقطاع الخاص

تطور التأمين السيبراني لفائدة المقاولات الخاصة، وفي مقدمتها المقاولات الكبرى في أمريكا الشمالية المعرَّضة للدعاوى الجماعية ولالتزامات الإشعار. وتأتي المؤسسات المالية ومؤسسات الصحة وشركات التوزيع ومقاولات الخدمات الرقمية في طليعة مقتنيه. ويظل معدل انتشاره ضعيفًا لدى المقاولات الصغرى والمتوسطة، ولا سيما خارج أمريكا الشمالية، وهو ما تعكسه التقديرات المتطابقة لكبار الوسطاء. غير أنه ليس في التقنية التعاقدية ما يقصر هذا التأمين على القطاع الخاص.

ب. تأمين الدول والإدارات والجماعات الترابية

يجوز للأشخاص العامة الاكتتاب في تأمين سيبراني، وكثير منها يفعل ذلك. ففي الولايات المتحدة، تُعد الجماعات الترابية والدوائر المدرسية والمستشفيات العمومية والوكالات العمومية من كبار مقتني هذا التأمين، إلى حد أن ارتفاع الأقساط دفع العديد من الجماعات إلى التكتل في تجمعات تعاضدية للأخطار السيبرانية، وهو ما تعتبره S&P Global Ratings تطورًا إيجابيًا²². بل إن من المؤمِّنين من يقترح برامج مخصصة لتجمعات الكيانات العامة، في التأمين المباشر وفي إعادة التأمين.

أما الدولة المركزية، فهي في الغالب مؤمِّن نفسها. ويُفسَّر ذلك بثلاثة أسباب. أولها اقتصادي: إذ تتوفر الدولة على قدرة مالية ومحفظة أخطار تجعلان التأمين الذاتي خيارًا رشيدًا. وثانيها قانوني: إذ إن كثيرًا من القوانين الوطنية تؤطر بصرامة تأمين أخطار الدولة وإداراتها المركزية، بل تستبعده أحيانًا. ويرجع ثالثها إلى طبيعة الخطر نفسه: فالهجمات التي تستهدف الدول كثيرًا ما تكون من فعل دول أخرى، وهي بالضبط الهجمات التي تُخرجها من نطاق الضمان الاستثناءات التي سبق بحثها أعلاه. وهكذا يصطدم التأمين السيبراني التجاري بمفارقة: فالكيانات الأكثر تعرضًا للهجمات المنسوبة إلى الدول هي الأقل استفادة من الضمان.

وتزيد السياسات العمومية من حدة هذه الخصوصية. فقد أكدت المملكة المتحدة في يوليوز 2025 عزمها على منع أداء الفدية من قبل جميع الهيئات العامة، بما فيها الجماعات الترابية، وكذا من قبل مستغلي البنيات التحتية الوطنية الحيوية، وعلى إحداث نظام للوقاية من الأداءات والتصريح بها²³. كما أن عدة ولايات أمريكية، منها كارولاينا الشمالية وفلوريدا، تمنع بالفعل كياناتها العامة من التفاوض مع مرتكبي هجمات برامج الفدية (ransomware). وبالنسبة إلى هذه الكيانات، يفقد ضمان الابتزاز السيبراني موضوعه، ويتركز التأمين من جديد على تدبير الأزمة والاستعادة والمسؤولية.

وتبقى مسألة الخطر الكارثي. إذ يدور نقاش محتدم حول إحداث آليات للشراكة بين القطاعين العام والخاص، على غرار Pool Re الخاص بالإرهاب في المملكة المتحدة أو البرنامج الفيدرالي الأمريكي لإعادة تأمين الإرهاب، يتحمل فيها السوق الخاص الخسائر إلى حد معين، وتتدخل الدولة فيما زاد عليه²⁴. والحجة معروفة: ففي غياب آلية منظمة، تظل الدولة بحكم الواقع مؤمِّن الملاذ الأخير، دون أن تتوفر لها الموارد المخصصة لذلك ولا القواعد المنظمة له.

ج. النطاق العابر للحدود للضمانات

لا يعترف الخطر السيبراني بالحدود: فالحادث الواحد يمس نظمًا وبيانات وأشخاصًا موجودين في عدة بلدان، وغالبًا ما يعمل المهاجم انطلاقًا من ولاية قضائية ثالثة. ولذلك توفر وثائق التأمين السيبراني لدى كبار المؤمِّنين تغطية ترابية عالمية (worldwide territorial scope)، مع مراعاة العقوبات الدولية. غير أن هذا النطاق التعاقدي يصطدم بثلاثة حدود قانونية.

يتعلق الأول بقواعد الاعتماد. إذ تفرض معظم الدول أن يتم تأمين الأخطار الموجودة فوق ترابها لدى مقاولات معتمدة محليًا، مما يمنع من حيث المبدأ مؤمِّنًا أجنبيًا غير مرخَّص له (non-admitted) من تعويض فرع محلي مباشرة. ومن ثم تُنظَّم البرامج الدولية حول وثيقة تأمين أم (master policy) ووثائق تأمين محلية يصدرها مؤمِّنون معتمدون، يعيد تأمينهم المؤمِّن القائد للبرنامج وفق تقنية التأمين بالواجهة (fronting). وإذا تعذر إصدار وثيقة تأمين محلية أو لم تكن كافية، جاز لوثيقة التأمين الأم أن تعوض الشركة الأم عن الخسارة المالية التي يشكلها بالنسبة إليها الحادث الذي أصاب فرعها، بموجب شرط المصلحة المالية (financial interest clause)، الذي يتعين التحقق من مشروعيته في ضوء قانون كل بلد.

ويتعلق الثاني بالعقوبات الدولية. إذ تتضمن وثائق التأمين في سوق لندن شرطًا للتحديد والاستثناء مرتبطًا بالعقوبات، نسخته المرجعية هي الشرط LMA3100، الذي يعفي المؤمِّن من كل أداء قد يعرضه تنفيذه لعقوبة أو حظر منصوص عليهما في قرارات الأمم المتحدة أو في أنظمة العقوبات الخاصة بالاتحاد الأوروبي أو المملكة المتحدة أو الولايات المتحدة. ويكتسي هذا الشرط أهمية خاصة في مجال الفدية، وهو ما سيُبحث لاحقًا.

ويتعلق الثالث بالقانون الواجب التطبيق وبتسوية المنازعات. إذ تخضع وثائق التأمين في سوق لندن عمومًا للقانون الإنجليزي، وتقترن بشرط لإسناد الاختصاص القضائي أو بشرط تحكيم. أما وثائق التأمين المحلية فتخضع للقانون الآمر للدولة المُصدِرة، الذي قد يتضمن مقتضيات جوهرية من النظام العام، من قبيل الالتزام الفرنسي بتقديم الشكاية الذي سيُبحث لاحقًا. ولذلك يتعين على الممارس أن يفكر في آن واحد ضمن عدة أنظمة قانونية: نظام وثيقة التأمين الأم، ونظام وثيقة التأمين المحلية، وأنظمة البلدان التي توجد بها البيانات والأشخاص المعنيون.

IV. المسطرة الخاصة بتسوية الحوادث

أ. تسوية أزمة لا تسوية تعويض

تختلف تسوية الحادث السيبراني اختلافًا جذريًا عن تسوية حادث الأضرار التقليدي. ففي هذا الأخير، يصرح المؤمَّن له بضرر تحقق فعلًا، فيعاينه الخبير ويعوضه المؤمِّن. أما في المجال السيبراني، فإن الحادث يكون مسارًا جاريًا لحظة التصريح به: فقد يكون المهاجم ما يزال موجودًا داخل النظام، وقد يستمر تسرب البيانات، وقد يكون النشاط متوقفًا، وكل ساعة تأخير تفاقم الضرر. ولذلك لا يقتصر المؤمِّن على التعويض، بل ينظم الاستجابة للحادث ويمولها ويتولى توجيهها جزئيًا، بواسطة مقدمي الخدمة المعتمدين لديه. ومن هذا الوجه، فإن التأمين السيبراني تأمين خدمة بقدر ما هو تأمين تعويض.

ولهذه الخصوصية نتيجتان قانونيتان. فمن جهة، يجب أن يكون التصريح بالحادث فوريًا: إذ تنص وثائق التأمين على خط طوارئ مفتوح باستمرار وعلى آجال تصريح قصيرة، قد يترتب على عدم احترامها سقوط الضمان أو تخفيضه بحسب القانون الواجب التطبيق. ومن جهة أخرى، فإن المصاريف المبذولة قبل التصريح أو بدون موافقة المؤمِّن، ولا سيما لدى مقدمي خدمة غير معتمدين، معرَّضة لرفض التكفل بها، مما يفرض على المؤمَّن له، منذ الدقائق الأولى، انضباطًا مسطريًا لا تكون مديريته المعلوماتية على دراية به دائمًا.

ب. مراحل التسوية

الجدول 4. التسلسل الزمني النموذجي لتسوية حادث سيبراني

تشكل مرحلة التحقيق جوهر الملف، لأن نتائجها تتحكم في كل ما عداها: فنطاق البيانات المتضررة يحدد الإشعارات، وتاريخ الاختراق الأول يحدد تطبيق تاريخ الأثر الرجعي، وناقل الهجوم يحدد المسؤولية المحتملة لمقدم خدمة وصدق التصريحات المتعلقة بالأمن، وتحديد هوية المهاجم يحدد تطبيق استثناء الهجمات المنسوبة إلى الدول ومشروعية الأداء. وهكذا يكون المحقق التقني، دون أن يحمل هذه الصفة، هو الخبير الذي يتحكم تقريره في الضمان، وهو ما يفسر الاحتياطات المتخذة بشأن الوضع القانوني لتقريره (VI، أ).

ج. الخصوصيات بحسب طبيعة الهجوم

1. برنامج الفدية

يستنفر الحادث الناجم عن برنامج الفدية (ransomware) مجموع وثيقة التأمين. فبعد الاحتواء، يتعين على المؤمَّن له أن يوازن بين الاستعادة انطلاقًا من النسخ الاحتياطية، متى وُجدت وكانت سليمة، وبين أداء الفدية، الذي لا يضمن لا الحصول على أداة فك تشفير صالحة للعمل ولا إتلاف البيانات المستخرجة. وتشير معطيات السوق، فضلًا عن ذلك، إلى تزايد نسبة الضحايا الرافضين للأداء²⁵. وإذا ما جرى التفكير في الأداء، فإن التفاوض بشأنه يتولاه مفاوض متخصص، تحت إشراف المحامي المنسق وبموافقة كتابية مسبقة من المؤمِّن، بعد التحقق من أن المستفيد غير مدرج في أي لائحة للعقوبات.

وليس هذا التحقق مجرد إجراء شكلي. فقد ذكَّر مكتب مراقبة الأصول الأجنبية (Office of Foreign Assets Control، OFAC) التابع لوزارة الخزانة الأمريكية في سنة 2021 بأن تسهيل أداء لفائدة شخص خاضع للعقوبات يعرض لجزاءات مدنية وفق نظام مسؤولية بدون خطأ، بما في ذلك بالنسبة إلى المؤمِّنين والوسطاء الماليين ومقدمي خدمات الاستجابة للحوادث، وبأن التصريح السريع بالحادث للسلطات والتعاون معها يشكلان ظرفين مخففين مهمين²⁶. ويرتب القانون الإنجليزي لمكافحة تمويل الإرهاب وأنظمة العقوبات الأوروبية آثارًا مماثلة. وتتباين قابلية الفدية ذاتها للتأمين من بلد إلى آخر: فالقانون الفرنسي يقبلها الآن بشرط تقديم شكاية داخل أجل 72 ساعة (V، أ)، في حين أن قوانين أخرى لا تعارضها من حيث المبدأ لكنها تخضعها لاحترام العقوبات وقواعد مكافحة غسل الأموال.

ومن الناحية العملية، يقوم المؤمِّن في أغلب الأحيان بإرجاع مبلغ الفدية التي أداها المؤمَّن له، والتي تكون غالبًا بأصول مشفرة يقتنيها وسيط متخصص، بدل أدائها مباشرة. ويتعين توثيق قابلية تتبع الأداء (المحافظ، المعاملات، المراسلات مع المهاجم) بعناية، لأنها تصلح في آن واحد دليلًا على الحادث وأساسًا لعمليات حجز محتملة: ففي يونيو 2021، استردت السلطات الأمريكية على هذا النحو جزءًا من الفدية التي أداها مستغل أنبوب نفط، مما يبرز قيمة التعاون مع المحققين.

2. انتهاك البيانات

يغلب على حادث انتهاك البيانات طابع التزامات الإشعار وخطر المسؤولية. ويجب أن يحدد التحقيق بدقة البيانات التي طالها الانتهاك، والأشخاص الذين تتعلق بهم، والبلدان المعنية، لأن كل ولاية قضائية تفرض آجالها وعتباتها ومضامينها الخاصة في الإشعار. ويمول ضمان تدبير الأزمة تحديد هوية الأشخاص المعنيين، والإرساليات، ومركز الاتصال، وخدمات مراقبة الائتمان والهوية. ثم يغطي شق المسؤولية مطالبات الأشخاص المعنيين، التي تتخذ في الولايات المتحدة شكل دعاوى جماعية، وفي أوروبا بصورة متزايدة شكل دعاوى تمثيلية، وكذا مطالبات الزبناء المهنيين المستندة إلى شروط السرية والأمن الواردة في العقود.

3. الاحتيال في التحويلات والهندسة الاجتماعية

يُعد الاحتيال عن طريق اختراق البريد الإلكتروني أو انتحال الهوية، الذي بات يعززه التزييف العميق لصوت أحد المسيرين أو صورته، من أكثر أسباب الحوادث تواترًا. وهو يقع على الحدود الفاصلة بين وثيقة التأمين السيبراني ووثيقة التأمين ضد الاحتيال، وغالبًا ما يحصره المؤمِّنون في حد فرعي، مع شروط للتحقق المسبق (معاودة الاتصال بالمورد على رقم معروف، المصادقة المزدوجة). وتقوم التسوية على السرعة: فطلب استرجاع الأموال لدى البنك المُصدِر والبنك المستقبِل، والتجميد القضائي للحسابات المستفيدة، والشكاية الجنائية، هي ما يحدد فرص الاسترداد، ومن ثم المبلغ النهائي للحادث.

4. توقف النشاط، سواء كان ناجمًا عن فعل كيدي أم لا

كثيرًا ما تشكل خسائر الاستغلال البند الأثقل والأكثر إثارة للنقاش. ويقتضي تحديد مبلغها إعادة بناء ما كان عليه النشاط لولا الحادث، وخصم التكاليف التي تم توفيرها، وإدماج فترة الاستئناف التدريجي، والتمييز بين ما يرجع إلى الحادث وما يرجع إلى أسباب أخرى. ويُعد تدخل خبير محاسب متخصص هو القاعدة، وتتواتر الخلافات حول فترة التعويض، أو هامش الربح الواجب اعتماده، أو المصاريف الإضافية. وإذا كان مصدر التوقف لدى مقدم خدمة، فإن ضمان التبعية لا يمكن تفعيله إلا إذا كان مقدم الخدمة مشمولًا بالتعريف التعاقدي (مقدم خدمة معلوماتية، مورد معيَّن بالاسم) وكان السبب (كيديًا كان أم لا) مغطى، وهو ما سلط عليه حادث يوليوز 2024 الضوء.

د. موقف الضمان ومنازعات التغطية

بالموازاة مع تدبير الأزمة، يدرس المؤمِّن مسألة الضمان. وهو يوجه في أغلب الأحيان رسالة تحفظات (reservation of rights)، يتكفل بموجبها بالمصاريف المستعجلة مع احتفاظه بحق التمسك لاحقًا باستثناء أو بسقوط. وتتمثل أسباب المنازعة المتكررة في العلم السابق بالحادث، وعدم صحة التصريحات المتعلقة بالأمن، وتطبيق الحدود الفرعية، واستثناء البنيات التحتية، واستثناء الحرب، واحتساب خسائر الاستغلال، والتكفل بالمصاريف المبذولة خارج مقدمي الخدمة المعتمدين. وتسلك تسوية هذه الخلافات، بحسب وثائق التأمين، طريق القضاء أو الوساطة أو التحكيم، وهذا الأخير شائع في سوق لندن وفي البرامج الدولية.

V. الشكاية الجنائية والسلطات والتزامات الإشعار

أ. الشكاية الجنائية: إمكانية من حيث المبدأ، والتزام على سبيل الاستثناء

يشكل الهجوم السيبراني في جل الأحوال جريمة جنائية: الدخول أو البقاء عن طريق الاحتيال في نظام للمعالجة الآلية للمعطيات، وعرقلة سيره، وإدخال معطيات أو تغييرها، والابتزاز، والنصب. فهل يلزم مع ذلك تقديم شكاية للحصول على التعويض؟ من حيث المبدأ، لا: فمعظم القوانين الوطنية لا تعلق تعويض التأمين على شكاية، وتبقى المسألة حينئذ من اختصاص العقد، الذي كثيرًا ما يشترطها في ضمانات الاحتيال والابتزاز، على سبيل الإثبات للحادث.

وقد شكل القانون الفرنسي استثناءً من ذلك. فقانون التوجيه والبرمجة لوزارة الداخلية الصادر في 24 يناير 2023 أدرج في مدونة التأمينات المادة L. 12-10-1 التي تعلق، منذ 24 أبريل 2023، أداء كل تعويض يجبر الخسائر والأضرار الناجمة عن مساس بنظام للمعالجة الآلية للمعطيات على تقديم الضحية شكاية لدى السلطات المختصة، في أجل أقصاه 72 ساعة بعد علمها بالمساس²⁷. ولا يسري النص إلا على الأشخاص الاعتبارية والأشخاص الذاتيين الذين يتصرفون في إطار نشاطهم المهني؛ وهو من النظام العام ويطبق دون حاجة إلى إدراجه في وثيقة التأمين؛ ويشمل جميع الضمانات التي تعوض عن مساس كيدي، وليس الفدية وحدها²⁸. وقد أوضحت المديرية العامة للخزينة كيفية تطبيقه على البرامج الدولية وعلى الهجمات الواقعة خارج فرنسا²⁹. كما جرت مناقشة مقترحات إصلاح تتعلق بهذا الأجل³⁰.

وفضلًا عن أي التزام، تنطوي الشكاية على فائدة استراتيجية: فهي تؤرخ الحادث وتضفي عليه طابعًا رسميًا، وتتيح للمحققين طلب التعاون الدولي وتجميد الأصول، وتفتح أمام الضحية سبيل الانتصاب طرفًا مدنيًا، وتمهد لدعوى الرجوع الحلولية للمؤمِّن، وتشكل، في نظر سلطات العقوبات، قرينة على حسن النية. غير أن لها أيضًا مساوئ: فقدان جزئي للتحكم في التواصل، وتقديم وثائق تقنية حساسة، وخطر أن يكشف التحقيق عن إخلالات منسوبة إلى المؤمَّن له. ويعود الترجيح في ذلك إلى المحامي المنسق، بتنسيق مع المؤمِّن.

ب. التزامات الإشعار تجاه السلطات

تعددت التزامات الإشعار، وهي متميزة عن الشكاية، وآجالها لا تتلاءم مع استجابة مرتجلة. ويعرض الجدول 5 أهمها.

الجدول 5. أهم أنظمة الإشعار بالحوادث

وتترتب على ذلك قاعدتان عمليتان. أولًا، تسري الآجال من تاريخ العلم بالحادث، لا من تاريخ انتهاء التحقيق، مما يفرض الإشعار على أساس معلومات غير مكتملة ثم استكمالها لاحقًا. ثانيًا، لا تحل الإشعارات المختلفة بعضها محل بعض: فالشكاية لا تعفي من الإشعار الموجه إلى سلطة حماية البيانات، كما ذكَّرت بذلك الإدارة الفرنسية³¹، والإشعار التنظيمي لا يقوم مقام التصريح بالحادث لدى المؤمِّن. ويجب أن يتولى مستشار واحد ضمان انسجامها، لأن كل تناقض بينها سيُستغل في المنازعات اللاحقة.

VI. المحامي في الحادث السيبراني: التنسيق والدفاع والرجوع

أ. منسق الأزمة (breach coach)، قائد الاستجابة

إن منسق الأزمة (breach coach)، الذي يمكن ترجمته بعبارة «المحامي المنسق للأزمة»، هو المحامي المعيَّن منذ الساعات الأولى، وغالبًا من بين المكاتب المعتمدة لدى المؤمِّن، لتولي التوجيه القانوني للاستجابة للحادث. فهو يكلف المحققين التقنيين وسائر مقدمي الخدمة، ويكيِّف الحادث قانونيًا، ويحدد التزامات الإشعار في كل ولاية قضائية، ويحرر الإشعارات والتواصل أو يصادق عليها، ويقدم المشورة بشأن الشكاية وبشأن الأداء المحتمل، ويؤمن صلة الوصل مع المؤمِّن. وفي الملفات الدولية، يعتمد على شبكة من المحامين المحليين المكلفين بالجواب، في غضون بضع ساعات، عن ثلاثة أسئلة حاسمة: هل يجب الإشعار، وهل يجوز نقل البيانات لأغراض التحقيق، وهل يجوز الأداء.

وعلة هذا التركيب هي حماية السر المهني. فبإسناد تكليف المحققين إلى المحامي، يسعى المؤمَّن له إلى إفادة أعمالهم من السرية المرتبطة بالمراسلات مع المحامي (attorney-client privilege) وبالأعمال المعدَّة تحسبًا لنزاع (work product). غير أن الاجتهاد القضائي الأمريكي أبان عن حدود هذه الحماية: ففي قضية Capital One، قُضي بإمكان اطلاع المدعين على تقرير المحقق التقني، بعلة أنه كان سيُنجز في جميع الأحوال لأسباب تشغيلية وأنه جرى توزيعه على نطاق واسع داخل المقاولة³²؛ وفي قضية Clark Hill، اعتُمد الحل نفسه بشأن تقرير استُخدم في المعالجة وأُطلع عليه من هم خارج الفريق القانوني³³. والممارسات الفضلى المستخلصة من ذلك باتت مستقرة: عقد مهمة مستقل يبرمه المحامي، وغاية نزاعية موثقة، وفصل بين التحقيق القانوني والمعالجة التشغيلية، وتوزيع محدود للتقرير. وفي أنظمة القانون المدني، تُطرح المسألة على نحو مختلف، إذ يشمل السر المهني للمحامي مراسلاته واستشاراته الخاصة دون أن يشمل بالضرورة تقارير الأغيار، مما يفرض تفكيرًا مماثلًا بشأن تداول الوثائق.

ب. الدفاع عن المؤمَّن له

في مجال الدفاع، يتدخل المحامي على ثلاث جبهات. فأمام سلطات حماية البيانات والجهات التنظيمية القطاعية، يتعلق الأمر بإثبات مطابقة التدابير الأمنية وتدبير الحادث، بغية تفادي الجزاءات أو التخفيف منها، وهي جزاءات تظل قابليتها للتأمين نفسها غير مؤكدة: فكثير من القوانين، ومنها القانون الفرنسي بحسب جانب من الفقه، تعتبر تأمين الجزاءات الجنائية والإدارية مخالفًا للنظام العام، وهو ما يفسر عبارة where insurable by law الواردة في وثائق التأمين. وأمام المحاكم المدنية، يتعلق الأمر بالتصدي للدعاوى الفردية والجماعية للأشخاص المعنيين، بمناقشة وجود ضرر محقق والعلاقة السببية على وجه الخصوص. وأخيرًا، في العلاقات التعاقدية، يتعلق الأمر بتدبير مطالبات الزبناء والشركاء المستندة إلى شروط الأمن والسرية ومستوى الخدمة.

ج. دعاوى الرجوع

كثيرًا ما يُهمل جانب الرجوع، مع أنه يتحكم في الحصيلة الاقتصادية النهائية للحادث. فالمؤمِّن، الذي يحل محل المؤمَّن له في حقوقه في حدود التعويض المؤدى، يمكنه الرجوع على مقدم الخدمة الذي أتاح إخلاله وقوع الحادث أو تسبب فيه: ناشر البرمجيات، أو مقدم خدمات التدبير المعلوماتي، أو مقدم خدمة الاستضافة، أو مقدم خدمة الأمن. وتصطدم دعاوى الرجوع هذه بالشروط المحددة للمسؤولية الواردة في العقود المعلوماتية، التي ينبغي مناقشة صحتها في ضوء الخطأ الجسيم أو الالتزام الجوهري بحسب القانون الواجب التطبيق. كما يمكن للضحية ومؤمِّنها التحرك في المجال الجنائي، بالانتصاب طرفًا مدنيًا، وطلب حجز الأصول المحددة، ولا سيما الأصول المشفرة. وأخيرًا، قد يكون للمؤمَّن له حق الرجوع على وسيطه إذا كان نقص التغطية ناتجًا عن إخلال بواجب النصح، وهي فرضية يجعلها التعقيد المتزايد للاستثناءات أقل نظرية.

د. مستشار الضمان

ينبغي التمييز بين منسق الأزمة (breach coach)، الذي يخدم تدبير الحادث، ومستشار الضمان (coverage counsel)، الذي يدافع عن موقف المؤمِّن أو موقف المؤمَّن له بشأن مدى الضمان. ويشكل جمع مكتب واحد بين هاتين الوظيفتين مصدرًا لتنازع المصالح: فالمحامي المنسق، المعتمد في الغالب لدى المؤمِّن، يتعين عليه مع ذلك أن يدافع عن مصالح المؤمَّن له في تدبير الأزمة. ولذلك يتفاوض كبار المؤمَّن لهم على الحق في اختيار محاميهم الخاص، مع تكفل مطابق لتعريفات قائمة المحامين المعتمدين. ويتعين على محامي المؤمَّن له، من جهته، أن يحرص منذ الأيام الأولى على ألا تمس القرارات المتخذة على وجه الاستعجال بالضمان.

VII. إعادة تأمين الخطر السيبراني وتحويله إلى أسواق رأس المال

أ. هياكل إعادة التأمين

تأسست إعادة التأمين السيبراني تاريخيا على اتفاقيات نسبية بنظام الحصة (quota share)، يسند بموجبها المؤمِّن جزءا من أقساطه ومن حوادثه. وكان هذا الاختيار تعبيرا عن عدم اليقين المحيط بنمذجة الخطر: فقد مكّن نظام الحصة معيدي التأمين من مواكبة نمو السوق دون الاضطرار إلى تسعير الخسائر القصوى بصورة منفردة. غير أن متوسط الحصة المسندة بهذا النظام قد تراجع، من نحو 57 % إلى 45 % على مدى خمس سنوات بحسب Howden Re، لفائدة هياكل غير نسبية قائمة على فائض الخسارة حسب الخطر، أو حسب الواقعة (event excess of loss)، أو على فائض الخسارة السنوية (aggregate stop loss)³⁴؛ وتتوقع Gallagher Re أن يتضاعف الطلب على طاقة فائض الخسارة تقريبا في أفق سنة 2030³⁵. ويعكس هذا التطور النضج المتزايد للنماذج ورغبة المؤمِّنين في الاحتفاظ بنصيب أكبر من حوادثهم الجارية.

ب. المسائل القانونية الخاصة بالاتفاقية السيبرانية

يجعل الانتقال إلى فائض الخسارة حسب الواقعة تعريفَ الواقعة وقواعدَ التجميع في صلب اتفاقية إعادة التأمين. ففي إعادة تأمين الكوارث الطبيعية، يخضع مفهوم الواقعة لشروط زمنية وجغرافية مجرَّبة؛ أما في المجال السيبراني، فيتعين تحديد ما يشكل واقعة واحدة حين يتضرر آلاف المؤمَّن لهم من ثغرة واحدة يستغلها عدة مهاجمين على مدى عدة أسابيع. وتحدد صياغة هذه الشروط مدى الحماية المكفولة للشركة المسندة، ويشكل تفسيرها أحد أبرز المنازعات المحتملة في السوق.

وتتكرر استثناءات الحرب والهجمات الصادرة عن الدول على مستوى الاتفاقية: فقد نشرت LMA سنة 2023 شروطا نموذجية موجهة إلى إعادة التأمين الاتفاقية للخطر السيبراني³⁶. وكل تفاوت في الصياغة بين وثيقة التأمين المباشر والاتفاقية يعرّض الشركة المسندة لخطر عدم التطابق (basis risk)، إذ تعوض عن حادث يرفض معيد التأمين الخاص بها مسايرتها فيه. كما تكتسي الشروط التقليدية المتعلقة باتباع التسويات (follow the settlements)، والتعاون في شأن الحوادث (claims cooperation)، وإدارة الحوادث (claims control) مدى جديدا: فمعيد التأمين الذي يتمتع بحق الإدارة قد يجد نفسه طرفا في قرارات أداء الفدية أو الصلح مع الأغيار. وتستدعي هذه الآليات تحليل الطبيعة القانونية لاتفاقية إعادة التأمين، بوصفها عقدا مستقلا عن وثيقة التأمين المباشر، لكنه مرتبط بها بوحدة مصير تحدد شروط الاتفاقية مداها³⁷. وتخضع منازعات إعادة التأمين في سوق لندن، في غالبيتها العظمى، للتحكيم، وفق ممارسات أسهمت ARIAS (UK) في صياغتها إلى حد بعيد.

ج. سندات الكوارث السيبرانية

أصبح تحويل الخطر السيبراني الأقصى إلى أسواق رأس المال حقيقة واقعة. فبعد المعاملات الأولى لسنة 2023، تطورت سوق سندات الكوارث السيبرانية: ففي الربع الرابع من سنة 2025، جرى عبر هذه الوسيلة توظيف طاقة لإعادة التأمين السيبراني تناهز 450 مليون دولار، وهو أنشط ربع سنوي سُجل على الإطلاق³⁸، ويعد إصدار PoleStar Re 2026-1 لشركة Beazley، المحدد في 300 مليون دولار، أكبر سند كوارث سيبرانية إلى اليوم³⁹. وتشتغل هذه الأدوات وفق آلية إطلاق تعويضية وعلى أساس الواقعة، وتندرج ضمن الشرائح العليا من الحماية. وهي تنقل إلى الأسواق المالية مسائل تعريف الواقعة واستثناء الحرب، وتعرض وثائقها على أنظار مستثمرين لا يملكون ثقافة سوق التأمين. وتؤكد Geneva Association أن الحجم المحتمل للخسائر السيبرانية القصوى يتجاوز قدرة المؤمِّنين ومعيدي التأمين وحدهم، مما يجعل من هذا التحويل ضرورة هيكلية⁴⁰.

VIII. المنظور المغربي والأسواق الناشئة

أ. سوق فتية في مواجهة تهديد ثابت

يقدم المغرب حالة دراسية كاشفة للرهانات الخاصة بالأسواق الناشئة. فالتهديد فيه ثابت: ففي أبريل 2025، تعرض الصندوق الوطني للضمان الاجتماعي لهجوم سيبراني غير مسبوق في حجمه بالبلاد، أفضى إلى إفشاء معطيات شخصية تخص ما يقارب مليوني أجير⁴¹، وأعقبته هجمات أخرى استهدفت هيئات عمومية. وقد سلطت هذه الواقعة الضوء على المسائل التي تتناولها هذه الدراسة: مسؤولية شخص عام بصفته مسؤولا عن المعالجة، وغياب التزام عام بالإخطار بالانتهاكات، وسبل طعن الأشخاص المعنيين، وعدم تأمين الجهة المتضررة.

وما تزال سوق التأمين السيبراني في المغرب في طور جنيني. فالتغطية متوفرة لدى بعض المؤمِّنين، المستندين في الغالب إلى مجموعات دولية والمعاد تأمينهم على نطاق واسع في الخارج، غير أن الوعي بالخطر وشروط قابليته للتأمين لا يزالان في حاجة إلى التطوير⁴². وقد أعلنت وزيرة الاقتصاد والمالية في أبريل 2025، خلال ملتقى الدار البيضاء للتأمين (Rendez-vous de Casablanca de l'Assurance)، عن تطوير مشروع للتأمين ضد الخطر السيبراني⁴³، كما باشرت هيئة مراقبة التأمينات والاحتياط الاجتماعي (ACAPS) برنامجا لدعم الابتكار في القطاع.

ب. الإطار القانوني المطبق

يتضمن الإطار القانوني المغربي العناصر الرئيسية لنظام خاص بالخطر السيبراني، لكنه يعرف ثغرات بالنظر إلى المعايير الدولية. فالقانون رقم 09.08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي يفرض على المسؤول عن المعالجة التزاما بالأمن، تحت مراقبة اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP)، لكنه لا ينص على التزام عام بالإخطار بالانتهاكات مماثل لما ورد في اللائحة العامة لحماية البيانات (RGPD)؛ وقد أُعلن عن مراجعته الشاملة الرامية إلى ملاءمته مع المعايير الدولية⁴⁴. أما القانون رقم 05.20 المتعلق بالأمن السيبراني ومرسومه التطبيقي، فينظمان، تحت سلطة المديرية العامة لأمن نظم المعلومات (DGSSI)، التزامات بالأمن وبالتصريح بالحوادث تقع على عاتق الإدارات والمؤسسات العمومية والبنيات التحتية ذات الأهمية الحيوية. وتعاقب مجموعة القانون الجنائي، منذ القانون رقم 07.03، على المس بنظم المعالجة الآلية للمعطيات، والمغرب طرف في اتفاقية مجلس أوروبا بشأن الجريمة السيبرانية، مما ييسر التعاون الدولي ويمنح الشكاية، الموجهة إلى وكيل الملك، فائدة حقيقية.

وعلى صعيد التأمين، يقرر القانون رقم 17.99 (مدونة التأمينات) مبدأ الاكتتاب لدى المقاولات المعتمدة بالنسبة إلى الأخطار الكائنة بالمغرب، مما يوجه البرامج الدولية نحو تقنية الواجهة، بإصدار وثيقة تأمين محلية من قبل مؤمِّن مغربي يعاد تأمينها لدى المؤمِّن الرئيسي للبرنامج أو في سوق لندن. ولا يعرف القانون المغربي نظيرا للمادة L. 12-10-1 من مدونة التأمينات الفرنسية: فالشكاية ليست شرطا قانونيا للتعويض، لكن يمكن لوثيقة التأمين أن تشترطها. كما أنه لا يكرس صراحة شرط أساس المطالبة، مما ينشئ خطرا تفسيريا حين تكون وثيقة التأمين المحلية خاضعة للقانون المغربي. وأخيرا، يصطدم أداء الفدية بتنظيم الصرف، وبمنظومة مكافحة غسل الأموال وتمويل الإرهاب المنبثقة عن القانون رقم 43.05، وبأنظمة العقوبات الدولية التي يتعرض لها معيدو التأمين الأجانب. ويوفر القانون رقم 95.17 المتعلق بالتحكيم والوساطة الاتفاقية، من جهته، إطارا حديثا لتسوية منازعات التأمين وإعادة التأمين.

ج. مركز إقليمي ينبغي بناؤه

إن ضعف انتشار التأمين السيبراني في إفريقيا وأهمية التدفقات الرقمية بين أوروبا والمغرب وإفريقيا جنوب الصحراء يفتحان المجال لقيام مركز إقليمي للاكتتاب وإعادة التأمين وتسوية الحوادث السيبرانية. ويفترض هذا الطموح وجود إطار للإخطار بالانتهاكات، وعقيدة لسلطة المراقبة بشأن وثائق التأمين السيبراني والفدية، وقدرات محلية في مجال التحقيق التقني والخبرة، ومحامين قادرين على التدخل في غضون ساعات في الملفات الدولية لحساب المؤمِّنين ومعيدي التأمين ومكاتب التنسيق في لندن أو باريس أو نيويورك.

خاتمة ومقترحات

يمثل التأمين السيبراني نجاحا وورشا في آن واحد. فهو نجاح، لأن سوقا تناهز خمسة عشر مليار دولار قد تشكلت في عقد واحد حول خطر غير مادي وعدائي ونظامي، بابتكار تأمين خدماتي ينظم الاستجابة للأزمة بقدر ما يعوض عنها. وهو ورش، لأن المسائل القانونية الأساسية لا تزال مفتوحة: نسبة الهجمات إلى الدول وتفسير الاستثناءات المرتبطة بها، وتعريف الواقعة في إعادة التأمين، وقابلية الفدية والعقوبات للتأمين، وحماية أعمال التحقيق، وتنسيق الالتزامات بالإخطار، وقصور الحماية بالنسبة إلى الأشخاص العامة والأسواق الناشئة.

ويمكن صياغة أربعة مقترحات. أولا، يستحسن أن تتجه السوق نحو آلية لنسبة الهجمات الصادرة عن الدول، تقوم، عند انعدام نسبة حكومية داخل أجل محدد، على مسطرة خبرة مستقلة، حتى لا يُترك المؤمَّن له في حالة عدم يقين. ثانيا، يجدر بالمشرعين توحيد آجال الإخطار بالحوادث ونقاط الاتصال الخاصة به، على غرار الشباك الوحيد المزمع إحداثه في المملكة المتحدة، حتى لا تخضع المقاولة الضحية لالتزامات متزاحمة في الساعات الأولى من الأزمة. ثالثا، تستحق مسألة قابلية الفدية للتأمين موقفا واضحا من كل سلطة مراقبة، إذ يوفر الحل الفرنسي القائم على قابلية للتأمين مشروطة بالشكاية توازنا بين تعويض الضحايا والتعاون مع القضاء. رابعا، من مصلحة الدول ذات الأسواق الفتية، وفي مقدمتها المغرب، أن تضمّن قانونها المتعلق بحماية المعطيات التزاما بالإخطار بالانتهاكات، وأن توضح وضع شرط أساس المطالبة، وأن تنظر، مع مؤمِّنيها ومعيدي التأمين لديها، في إحداث آلية لتعاضد الخطر السيبراني الكارثي.

إن الخطر السيبراني مرشح لأن يصبح أحد الأخطار المهيمنة في هذا القرن. وإن قانون التأمين وإعادة التأمين، الذي استطاع في أزمنة أخرى تنظيم تعاضد الخطر البحري ثم الخطر الصناعي، يملك من الأدوات ما يتيح له الإحاطة به، شريطة ألا يُترك لشروط النماذج وحدها أمر الجواب عن مسائل باتت تندرج ضمن النظام العام الاقتصادي والسيادة الرقمية للدول.

الهوامش

1. دكتور في القانون من جامعة باريس 1 بانتيون-سوربون؛ خريج ESSEC وISCAE وجامعة مونتريال؛ محام بهيئات الدار البيضاء وباريس ومونتريال؛ خبير متعاقد لدى البنك الدولي؛ يدرّس القانون البنكي والمالي بالجامعات والمدارس العليا. مثّل لمدة طويلة معيد التأمين الوطني المغربي وعددا من معيدي التأمين الدوليين في مجال تسوية الحوادث والتحكيم. مؤلف Droit bancaire marocain (LexisNexis, 2023) و« La nature juridique du traité de réassurance », The MENA Business Law Review (LexisNexis), 2018, n° 3, p. 67-74. ولا تلزم الآراء المعبر عنها إلا صاحبها. ↑
2. بخصوص رتبة الحجم، انظر على الخصوص التقديرات الواردة في Insurers Drop Bid to Exclude Merck's $1.4B NotPetya Claims, BankInfoSecurity (يناير 2024)، https://www.bankinfosecurity.com/insurers-drop-bid-to-exclude-mercks-14b-notpetya-claims-a-24040. ↑
3. Munich Re, Global Cyber Risk and Insurance Survey 2026, https://www.munichre.com/en/insights/cyber/global-cyber-risk-and-insurance-survey-2026.html (تقدير بنحو 15 مليار دولار أمريكي سنة 2025 وبنحو 28 مليار دولار أمريكي سنة 2030). ↑
4. Verisk's PCS Designates CrowdStrike Outage as Cyber Catastrophe Event, Insurance Journal (31 يوليوز 2024)، https://www.insurancejournal.com/news/national/2024/07/31/786319.htm؛ Guy Carpenter، مذكور في Insurance Journal (19 غشت 2024)، https://www.insurancejournal.com/magazines/mag-features/2024/08/19/788753.htm. ↑
5. CrowdStrike Outage Losses Will Hit Healthcare, Banking Hard, GovInfoSecurity (يوليوز 2024)، https://www.govinfosecurity.com/crowdstrike-outage-losses-will-hit-healthcare-banking-hard-a-25848. ↑
6. Règlement (UE) 2016/679 du 27 avril 2016, art. 4, point 12. ↑
7. Munich Re، مرجع سابق. ↑
8. تقدير Swiss Re كما أورده Insurance Business (Marsh, Cyber risk investments to shape 2026 insurance market), https://www.insurancebusinessmag.com/ca/news/cyber/cyber-risk-investments-to-shape-2026-insurance-market--marsh-559561.aspx. ↑
9. Howden Re، كما أورده Insurance Business, Cyber reinsurance needs diversification for sustainable growth, https://insurancebusinessmag.com/reinsurance/news/breaking-news/cyber-reinsurance-needs-diversification-for-sustainable-growth--howden-re-533718.aspx. ↑
10. Travelers Prop. Cas. Co. of Am. v. Int'l Control Servs., Inc., No. 22-cv-2145 (C.D. Ill. 2022) (اتفاق الأطراف على الإبطال الرجعي لوثيقة التأمين). ↑
11. Lloyd's, Cyber at Lloyd's، عرض أمام اللجنة الاستشارية الفدرالية للتأمين (Federal Advisory Committee on Insurance) التابعة لوزارة الخزانة الأمريكية (8 دجنبر 2022)، https://home.treasury.gov/system/files/311/Lloyd%26%23039%3Bs%20FACI%20Presentation%20on%20Cyber%20Insurance%20Dec.%208%202022.pdf. ↑
12. Guy Carpenter، مذكور في Insurance Journal (19 غشت 2024)، مرجع سابق. ↑
13. Merck & Co. v. Ace Am. Ins. Co., 475 N.J. Super. 420 (App. Div. 2023). ↑
14. Merck Settles Coverage Dispute With Insurers Over War Exclusion in NotPetya Attack, Insurance Journal (5 يناير 2024)، https://www.insurancejournal.com/news/national/2024/01/05/754582.htm. ↑
15. Mondelez and Zurich reach settlement in NotPetya cyberattack insurance suit, The Record (نونبر 2022)، https://therecord.media/mondelez-and-zurich-reach-settlement-in-notpetya-cyberattack-insurance-suit. ↑
16. LMA Bulletin LMA21-042-PD (25 نونبر 2021)، Cyber War and Cyber Operation Exclusion Clauses. ↑
17. Lloyd's Market Bulletin Y5381 (16 غشت 2022)، State backed cyber-attack exclusions؛ وللاطلاع على تحليل، انظر DAC Beachcroft, War exclusions in cyber policies: an overview, https://dacbeachcroft.com/en/What-we-think/War-exclusions-in-cyber-policies-an-overview. ↑
18. تحليل الشروط النموذجية لـLMA: Lloyd's of London Requires Insurers to Add Exclusions to Limit Coverage for State-Backed Cyberattacks, Policyholder Pulse, https://www.policyholderpulse.com/lloyds-london-state-backed-cyberattacks/. ↑
19. DAC Beachcroft, State-backed cyber-attack exclusions: Lloyd's issues new market bulletin (10 يونيو 2024)، https://www.dacbeachcroft.com/es/what-we-think/statebacked-cyberattack-exclusions-lloyds-issues-new-market-bulletin؛ LMA، تصنيف الشروط، https://lmalloyds.com/?p=1049. ↑
20. انظر ملاحظات Andrew Hill (WTW) الواردة في Lloyd's Cyber War Exclusions: Confusing, Disruptive, but Necessary?, Insurance Journal (22 ماي 2023)، https://www.insurancejournal.com/magazines/mag-features/2023/05/22/721424.htm. ↑
21. Lloyd's Market Bulletin Y5258 (4 يوليوز 2019) وY5277 (يناير 2020)، Providing clarity for Lloyd's customers on coverage for cyber exposures. ↑
22. S&P Global Ratings, Cyber Risk Insights 2024, https://insight.spglobal.com/story/cyber-risk-insights-2024/page/9. ↑
23. UK government moves to ban ransomware payments for public sector, Burges Salmon, https://www.burges-salmon.com/articles/102kyhv/uk-government-moves-to-ban-ransomware-payments-for-public-sector؛ Goodwin, The UK's Ransomware Strategy (12 فبراير 2026)، https://goodwinlaw.com/en/insights/publications/2026/02/alerts-technology-dpc-the-uks-ransomware-strategy. ↑
24. Lockton Re, Cyber risk pools and Public Private Partnerships: time to dive in? (فبراير 2025)، كما أورده Reinsurance News, https://www.reinsurancene.ws/gov-supported-cyber-risk-pool-would-encourage-greater-adoption-lockton-re/؛ Geneva Association، أعمال حول الأخطار النظامية، كما أوردها Commercial Risk, https://www.commercialriskonline.com/uncapped-government-backstop-needed-for-uninsurable-cyber-and-climate-risk-geneva-association/. ↑
25. Coalition, 2026 Cyber Claims Report، كما أورده Astra, https://getastra.com/blog/security-audit/cyber-insurance-claims-statistics. ↑
26. U.S. Dep't of the Treasury, OFAC, Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments (21 شتنبر 2021). ↑
27. C. assur., art. L. 12-10-1، المنبثقة عن loi n° 2023-22 du 24 janv. 2023, art. 5؛ انظر Jones Day, French Law Authorizes Insurability of Cyber-Ransoms Paid by Victims (فبراير 2023)، https://www.jonesday.com/fr/insights/2023/02/french-law-authorizes-insurability-of-cyberransoms-paid-by-victims. ↑
28. Verspieren, Les 10 conséquences de la loi LOPMI pour l'assurance des risques cyber, https://www.verspieren.com/fr/node/588. ↑
29. Direction générale du Trésor, FAQ sur l'obligation de dépôt de plainte en cas de cyberattaque (article L. 12-10-1 du code des assurances). ↑
30. Le délai de déclaration d'une cyberattaque devient la clé de l'indemnisation, L'Agefi (9 يناير 2026)، أعادت نشره AMRAE. ↑
31. MEDEF, FAQ article 5 loi d'orientation et de programmation du ministère de l'Intérieur, https://www.medef.com/uploads/media/default/0020/01/15079-15077-faq-article-5-loi-dorientation-et-de-programmation-du-mi.pdf. ↑
32. In re Capital One Consumer Data Sec. Breach Litig., No. 1:19-md-2915, 2020 WL 2746826 (E.D. Va. May 26, 2020)، مؤيَّد، 2020 WL 3470261 (E.D. Va. June 25, 2020). ↑
33. Wengui v. Clark Hill, PLC, 338 F.R.D. 7 (D.D.C. 2021). ↑
34. Howden Re، مرجع سابق. ↑
35. Gallagher Re، كما أورده Insurance Business, Cyber's great contradiction: surging risk meets record-low pricing. ↑
36. DAC Beachcroft, LMA publishes model state-backed cyber war exclusion clauses for cyber treaty reinsurance (5 مارس 2023). ↑
37. A. Laamrani, « La nature juridique du traité de réassurance », The MENA Business Law Review (LexisNexis), 2018, n° 3, p. 67-74. ↑
38. Cyber cat bond innovation premium largely eroded: Gallagher Securities, Artemis, https://www.artemis.bm/news/cyber-cat-bond-innovation-premium-largely-eroded-gallagher-securities/. ↑
39. Beazley secures the biggest cyber cat bond so far, as PoleStar Re 2026-1 priced at $300m, Artemis, https://www.artemis.bm/news/beazley-secures-the-biggest-cyber-cat-bond-so-far-as-polestar-re-2026-1-priced-at-300m. ↑
40. Geneva Association, Catalysing Cyber Risk Transfer to Capital Markets: Catastrophe bonds and beyond (D. Pain، دجنبر 2024)،https://www.genevaassociation.org/node/20746. ↑
41. Données personnelles : peut-on poursuivre la CNSS ?, TelQuel (15 أبريل 2025)، https://telquel.ma/2025/04/15/hack-de-la-cnss-quels-recours-legaux-pour-les-victimes%E2%80%89_1927099. ↑
42. Cyberassurance : ce qu'en disent les professionnels du secteur, Médias24 (26 أبريل 2025)، https://medias24.com/2025/04/26/cyberassurance-ce-quen-disent-les-professionnels-du-secteur/. ↑
43. المرجع نفسه. ↑
44. بخصوص مشروع المراجعة الشاملة للقانون رقم 09.08، انظر على الخصوص BourseNews, Protection des données à caractère personnel : la CNDP entame sa mue؛ وتوصية CNDP الموجهة إلى المقاولات المعنية بمباشرة مشروع للمطابقة مع RGPD، يشمل الإخطار بالانتهاكات. ↑

Abdelatif Laamrani