Le risque cyber à l’épreuve de l’assurance et de la réassurance mondiales

Introduction

Le 27 juin 2017, un logiciel malveillant dissimulé dans la mise à jour d'un logiciel comptable ukrainien s'est propagé en quelques heures aux réseaux de multinationales établies sur tous les continents. L'épisode NotPetya, dont le coût mondial est communément estimé à une dizaine de milliards de dollars², a révélé trois réalités que le droit des assurances n'avait pas encore intégrées : un même fait générateur peut toucher simultanément des milliers d'assurés sans considération de frontières ; le risque informatique s'était logé, sans avoir été tarifé, dans des polices de dommages et de responsabilité qui ne le visaient pas ; enfin, l'imputation d'une attaque à un État pose une question de couverture dont l'enjeu se compte en centaines de millions de dollars par assuré.

Près de dix ans plus tard, l'assurance cyber est un marché à part entière. Munich Re évalue les primes mondiales à près de 15 milliards de dollars en 2025 et anticipe un doublement à l'horizon 2030³. Ce marché demeure pourtant jeune, concentré et juridiquement mouvant. Ses contrats ne sont pas standardisés comme ceux de l'assurance maritime ; ses exclusions majeures ont été réécrites sous la contrainte du régulateur du marché londonien ; ses règles de règlement des sinistres empruntent autant à la gestion de crise qu'au droit des assurances ; ses sinistres se dénouent devant des juridictions et des autorités de plusieurs pays à la fois.

L'objet de la présente étude est de proposer une grille de lecture juridique complète de ce risque, du point de vue de l'assuré, de l'assureur, du réassureur et de leurs conseils. Après avoir caractérisé le risque cyber et ses manifestations (I), nous analyserons la souscription et l'architecture des polices (II), puis la question de l'identité des assurés, publics ou privés, et de la portée territoriale des garanties (III). Nous étudierons ensuite la procédure spécifique de règlement des sinistres selon la nature de l'attaque (IV), la place de la plainte pénale et des notifications aux autorités (V) et le rôle de l'avocat en défense et en recours (VI). Nous examinerons enfin la réassurance du risque cyber et son transfert vers les marchés de capitaux (VII), avant une mise en perspective du droit marocain et des marchés émergents (VIII).

I. Le risque cyber, objet assurantiel singulier

A. Définition et caractères

Le risque cyber peut être défini comme le risque de pertes, de frais ou de responsabilité résultant d'une atteinte à la confidentialité, à l'intégrité ou à la disponibilité des systèmes d'information et des données d'une organisation, que cette atteinte soit malveillante ou accidentelle. Les praticiens de la sécurité désignent ce triptyque par l'acronyme CIA (confidentiality, integrity, availability, soit confidentialité, intégrité et disponibilité), qui fournit le critère matériel commun à la plupart des déclencheurs de garantie.

Quatre caractères en font un objet assurantiel singulier. Le risque est d'abord immatériel : il affecte des données et des services, non des biens corporels, ce qui le fait échapper aux polices de dommages aux biens fondées sur la notion de dommage physique. Il est ensuite dual : une même attaque cause à la victime un dommage propre (first-party loss, perte de l'assuré) et engage sa responsabilité envers des tiers (third-party liability, responsabilité envers les tiers), de sorte que la police cyber combine nécessairement une assurance de choses et une assurance de responsabilité. Il est encore adverse et évolutif : contrairement au risque naturel, il est produit par un adversaire qui adapte sa stratégie aux défenses, ce qui rend les historiques de sinistralité rapidement obsolètes. Il est enfin potentiellement systémique : une vulnérabilité logicielle, la compromission d'un prestataire commun ou la panne d'un fournisseur d'informatique en nuage peuvent provoquer un cumul de sinistres corrélés, phénomène d'accumulation qui constitue la préoccupation première des réassureurs.

Ce dernier caractère s'est vérifié le 19 juillet 2024, lorsqu'une mise à jour défectueuse d'un éditeur de sécurité a paralysé environ 8,5 millions de postes Windows. L'incident, non malveillant, a été qualifié d'événement catastrophique cyber par Verisk PCS, et les estimations de pertes assurées se sont échelonnées entre quelques centaines de millions et environ 1,5 milliard de dollars⁴. Parametrix estimait à 5,4 milliards de dollars les pertes directes des seules 500 premières entreprises américaines (hors Microsoft), dont 10 à 20 % seulement seraient couvertes, en raison des franchises élevées et de limites faibles⁵. L'écart entre perte économique et perte assurée, ou protection gap (déficit de protection), est l'une des données structurelles du marché.

B. Typologie des attaques et des incidents

La qualification technique de l'incident commande la garantie mobilisable, la procédure de règlement et les obligations légales de l'assuré. Il convient donc de dresser une typologie précise, que le tableau 1 met en regard des garanties concernées.

Tableau 1. Typologie des incidents cyber et garanties mobilisées

Deux observations s'imposent. D'une part, les catégories se chevauchent : un rançongiciel moderne est presque toujours aussi une violation de données, ce qui déclenche cumulativement les garanties de dommages propres et de responsabilité, ainsi que les obligations de notification. D'autre part, la qualification juridique (violation de données au sens du droit de la protection des données, atteinte à un système de traitement automatisé au sens du droit pénal) ne coïncide pas nécessairement avec la qualification contractuelle (security breach, privacy event, cyber event, selon le vocabulaire de chaque police). Le droit des assurances étant gouverné par la volonté des parties dans les limites de l'ordre public, c'est la définition contractuelle de l'événement déclencheur qui l'emporte, d'où l'importance de la négociation des définitions au stade de la souscription.

La notion de violation de données mérite une attention particulière, car elle irrigue l'ensemble du contentieux. Le Règlement général sur la protection des données (RGPD) la définit comme une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel, ou l'accès non autorisé à de telles données⁶. Cette définition, reprise ou élargie aux informations confidentielles d'entreprise par la plupart des polices, appelle quatre remarques : le simple accès suffit, sans qu'il soit nécessaire de prouver une exploitation des données ; l'atteinte à la seule disponibilité (chiffrement sans exfiltration) est une violation ; l'erreur humaine est visée au même titre que l'acte malveillant ; enfin, l'incident peut résulter du fait d'un sous-traitant, ce qui ouvre la voie aux recours.

C. Le marché mondial : volumes, acteurs et dynamique

Le marché mondial de l'assurance cyber représente environ 15 milliards de dollars de primes en 2025 selon Munich Re, qui relève un net ralentissement de la croissance au cours des trois dernières années après une hausse exceptionnellement forte⁷ ; Swiss Re anticipe pour sa part environ 16,4 milliards de dollars en 2026⁸. Le marché reste dominé par l'Amérique du Nord, qui concentre environ les deux tiers des primes, tandis que l'Europe progresse et que l'Afrique, l'Amérique latine et une large partie de l'Asie demeurent sous-assurées. Le cycle tarifaire s'est retourné : après les hausses de 2021-2022 consécutives à la vague de rançongiciels, les tarifs ont baissé en 2024 et 2025 sous l'effet d'une capacité abondante, alors même que la fréquence des sinistres reste élevée.

Tableau 2. Principaux acteurs du marché mondial de l'assurance et de la réassurance cyber

La concentration de la réassurance est un trait essentiel : selon Howden Re, les cinq premiers réassureurs cyber détiendraient 62 % des primes et les dix premiers 87 %⁹. Cette concentration confère aux réassureurs, et au marché du Lloyd's, un pouvoir normatif de fait sur les conditions de garantie offertes par l'ensemble des assureurs directs : ce sont les exclusions exigées par la réassurance qui se répercutent, en cascade, dans les polices souscrites par les entreprises du monde entier.

II. La souscription et l'architecture du contrat

A. La souscription : de la déclaration du risque à l'audit technique

La souscription du risque cyber s'est profondément transformée. Le questionnaire déclaratif traditionnel (proposal form, proposition d'assurance) est désormais complété par une analyse technique externe de l'exposition de l'entreprise (balayage de ses adresses Internet, vulnérabilités connues, ports ouverts, configuration de la messagerie) et par des exigences de sécurité minimales qui conditionnent l'accès à la garantie : authentification multifacteur (MFA) pour les accès distants et les comptes à privilèges, outils de détection et de réponse sur les terminaux (EDR), sauvegardes déconnectées et testées, politique de mise à jour, segmentation des réseaux, formation du personnel à l'hameçonnage.

Ces déclarations ne sont pas de pure forme. Le droit commun de la déclaration du risque leur attache des sanctions sévères en cas d'inexactitude, et la pratique américaine en a fourni une illustration remarquée : en 2022, l'assureur Travelers a sollicité devant une juridiction fédérale de l'Illinois l'annulation d'une police cyber au motif que l'assuré avait déclaré à tort utiliser l'authentification multifacteur ; l'assuré a consenti à la résiliation rétroactive du contrat¹⁰. La leçon est double : la déclaration de sécurité est un élément substantiel de l'appréciation du risque, et sa rédaction doit être vérifiée par les équipes techniques de l'assuré, non par ses seuls services juridiques ou financiers.

La déclaration emporte également des conséquences quant aux faits antérieurs. Les polices excluent les incidents connus de l'assuré avant la date d'effet ou antérieurs à une date de rétroactivité (retroactive date). Or une intrusion peut demeurer non détectée pendant des mois : l'attaquant présent dans le système au jour de la souscription crée un risque de discussion sur la connaissance antérieure, que la date de continuité (continuity date, date de première souscription ininterrompue) permet d'encadrer.

B. L'absence de « contrat type Lloyd's » et la réalité des formulaires

Contrairement à une idée répandue, il n'existe pas de police cyber type imposée par le Lloyd's. Chaque syndicat ou assureur utilise son propre formulaire (wording), souvent protégé par le droit d'auteur, et le Lloyd's ne fait qu'en encadrer certains éléments. Son rôle normatif s'exerce par voie de bulletins de marché (market bulletins), qui s'imposent aux agents gérants des syndicats, et par les clauses modèles de la Lloyd's Market Association (LMA), dont l'adoption est facultative mais qui servent de référence au marché mondial. Le registre des formulaires du Lloyd's comptait déjà plus de trois cents clauses relatives au cyber en 2022¹¹.

Au-delà de la diversité des formulaires, une architecture commune s'est néanmoins imposée. La police cyber autonome (standalone cyber policy) regroupe, en sections distinctes dotées chacune de leur limite, de leur franchise et parfois de leur déclencheur, des garanties de dommages propres et des garanties de responsabilité, auxquelles s'ajoute un service de gestion de crise. Le tableau 3 en présente la structure type.

Tableau 3. Architecture type d'une police cyber autonome

C. Les mécanismes techniques du contrat

La police cyber combine plusieurs régimes temporels. Les garanties de responsabilité fonctionnent généralement en base réclamation (claims-made and reported, réclamation formulée et déclarée pendant la période d'assurance), tandis que les garanties de dommages propres sont déclenchées par la découverte de l'incident (discovery trigger, déclenchement à la découverte). La coexistence de ces deux déclencheurs dans un même contrat est source de difficultés lorsque l'incident est découvert pendant une période et que les réclamations des tiers surviennent pendant une autre, notamment en cas de changement d'assureur.

Les pertes d'exploitation obéissent à des paramètres spécifiques : une période d'attente (waiting period), généralement de quelques heures, en deçà de laquelle aucune perte n'est indemnisée et qui fonctionne comme une franchise temporelle, et une période d'indemnisation (indemnity period), qui borne la durée de la prise en charge. Lors de l'incident de juillet 2024, Guy Carpenter relevait que les périodes d'attente pratiquées sur le marché se situaient habituellement entre quatre et douze heures, ce qui a considérablement limité les pertes assurées¹².

La gestion du sinistre est encadrée par des clauses qui confèrent à l'assureur une maîtrise étendue de la crise. La clause de prestataires agréés (panel vendors) impose ou incite fortement l'assuré à recourir aux avocats, enquêteurs techniques, négociateurs et prestataires de communication présélectionnés par l'assureur. La clause d'accord préalable (consent clause) interdit à l'assuré d'engager des dépenses, de reconnaître sa responsabilité ou de transiger sans l'accord de l'assureur. La clause dite « marteau » (hammer clause) plafonne la prise en charge de l'assureur au montant de la transaction qu'il avait recommandée lorsque l'assuré refuse celle-ci. Enfin, la clause de sinistre unique (related claims / single claim clause) regroupe en un seul sinistre les incidents procédant d'une même cause, avec une seule franchise et une seule limite, ce qui peut jouer en faveur comme au détriment de l'assuré selon le montage.

Les limites de garantie sont exprimées en un plafond global annuel (aggregate limit) assorti de sous-limites (sublimits) par garantie, et les frais de défense sont le plus souvent inclus dans la limite (defence within limits), de sorte que le coût de la défense entame la capacité disponible pour l'indemnisation. Pour les grands risques, la capacité est organisée en tours (towers) de lignes primaires et excédentaires (excess layers) souscrites par des assureurs différents, chacune suivant en principe la forme de la ligne primaire (follow form). La cohérence de la tour, notamment quant aux exclusions de guerre, est un enjeu majeur de placement.

D. Les exclusions, et la question décisive des attaques étatiques

Les polices cyber comportent les exclusions classiques de l'assurance de responsabilité et de dommages (faute intentionnelle des dirigeants, dommages corporels et matériels, renvoyés aux polices traditionnelles, responsabilité contractuelle excédant la responsabilité légale, propriété intellectuelle hors garantie médias, amélioration du système au-delà de son état antérieur ou betterment). S'y ajoutent des exclusions propres au risque : défaillance des infrastructures essentielles (réseaux électriques, télécommunications, Internet, satellites), défaut de correction d'une vulnérabilité connue dans un délai déterminé, dans certaines polices, et, surtout, l'exclusion de guerre et des cyberattaques soutenues par un État.

Cette dernière exclusion a été façonnée par le contentieux NotPetya. Dans l'affaire Merck, les assureurs dommages du groupe pharmaceutique avaient opposé une exclusion classique des actes hostiles ou guerriers ; la juridiction d'appel du New Jersey l'a écartée en 2023, au motif que la clause, conçue pour la guerre conventionnelle, ne visait pas les cyberopérations¹³. Les parties ont transigé à la veille de l'examen de l'affaire par la Cour suprême du New Jersey, en janvier 2024, laissant intacte la décision d'appel¹⁴. L'affaire parallèle opposant Mondelez à Zurich, portant sur une réclamation d'environ 100 millions de dollars au titre d'une police dommages, s'était soldée par une transaction en cours de procès en octobre 2022, sans précédent judiciaire¹⁵.

Le marché a réagi par voie normative. La LMA a publié le 25 novembre 2021 quatre clauses modèles, LMA5564 à LMA5567, graduant l'exclusion de la guerre et des cyberopérations¹⁶. Le Lloyd's, par son bulletin Y5381 du 16 août 2022, a ensuite imposé à toutes les polices cyber autonomes relevant des codes de risque CY et CZ de comporter, à compter du 31 mars 2023, une exclusion des cyberattaques soutenues par un État, distincte de l'exclusion de guerre ou intégrée à celle-ci¹⁷. Le bulletin pose des exigences minimales : exclure les pertes résultant d'une guerre, déclarée ou non ; exclure les attaques étatiques ayant un effet préjudiciable majeur sur le fonctionnement d'un État ou sur sa sécurité ; préciser le sort des systèmes situés hors de l'État touché ; enfin, définir un mécanisme robuste d'imputation de l'attaque à un État. Les clauses modèles confient pour l'essentiel cette imputation à la détermination du gouvernement de l'État affecté¹⁸. Le bulletin Y5433 de juin 2024 a précisé ce dispositif et classé les clauses en quatre types, la plus libérale (type 4), qui couvre les attaques étatiques menées dans le cadre d'une guerre conventionnelle, étant réservée aux syndicats agréés comme « avancés » et aux seuls renouvellements¹⁹.

Ces clauses soulèvent trois difficultés juridiques que la doctrine n'a pas fini d'explorer. La première tient à l'imputation : l'attribution d'une cyberattaque à un État est un acte politique, souvent tardif, parfois jamais formalisé, et l'on mesure le paradoxe d'un contrat privé qui fait dépendre la garantie de la position diplomatique d'un gouvernement. La deuxième tient à la notion d'« effet préjudiciable majeur » sur le fonctionnement d'un État, qui n'est pas définie et appellera une interprétation judiciaire ou arbitrale²⁰. La troisième tient à la charge de la preuve : en droit commun des assurances, il appartient à l'assureur qui invoque une exclusion d'en établir les conditions, ce qui, appliqué à une attaque attribuée par des services de renseignement sur la base d'éléments classifiés, pose un problème probatoire considérable.

E. Le cyber « silencieux » et la clarification des polices traditionnelles

Le risque cyber non affirmé (silent ou non-affirmative cyber) désigne l'exposition au risque informatique contenue dans des polices traditionnelles (dommages, responsabilité civile, fraude, maritime, aviation) qui ne le couvrent ni ne l'excluent expressément. Les affaires Merck et Mondelez portaient précisément sur des polices dommages. Sous l'impulsion de l'autorité prudentielle britannique, le Lloyd's a exigé, pour toutes les polices émises à compter du 1er janvier 2020, que la couverture du cyber soit soit expressément accordée, soit expressément exclue²¹. En assurance de dommages aux biens, la clause LMA5400 (Property Cyber and Data Exclusion) et son pendant LMA5401 sont devenues des références. Il en résulte une frontière plus nette, mais aussi une responsabilité accrue des courtiers et des directions des risques, qui doivent vérifier que l'exclusion insérée dans une police traditionnelle est effectivement compensée par une police cyber dédiée.

III. Qui est assuré ? Personnes publiques, personnes privées et portée transnationale

A. Une assurance d'abord conçue pour le secteur privé

L'assurance cyber s'est développée pour les entreprises privées, et d'abord pour les grandes entreprises nord-américaines exposées aux actions collectives et aux obligations de notification. Les institutions financières, les établissements de santé, les distributeurs et les entreprises de services numériques en sont les premiers acheteurs. La pénétration demeure faible chez les petites et moyennes entreprises, en particulier hors d'Amérique du Nord, ce que traduisent les estimations convergentes des grands courtiers. Rien, dans la technique contractuelle, ne réserve toutefois cette assurance au secteur privé.

B. L'assurance des États, des administrations et des collectivités

Les personnes publiques peuvent souscrire une assurance cyber, et nombre d'entre elles le font. Aux États-Unis, les collectivités locales, les districts scolaires, les hôpitaux publics et les régies sont des acheteurs significatifs, au point que la hausse des primes a conduit de nombreuses collectivités à se regrouper en pools mutualisés de risques cyber, que S&P Global Ratings analyse comme une évolution favorable²². Des assureurs proposent d'ailleurs des programmes dédiés aux pools d'entités publiques, en assurance directe et en réassurance.

L'État central, en revanche, est généralement son propre assureur. Trois raisons l'expliquent. La première est économique : l'État dispose d'une capacité financière et d'un portefeuille de risques qui rendent l'auto-assurance rationnelle. La deuxième est juridique : de nombreux droits nationaux encadrent strictement, voire excluent, l'assurance des risques de l'État et de ses administrations centrales. La troisième tient à la nature même du risque : les attaques visant les États sont fréquemment le fait d'autres États, que les exclusions examinées plus haut écartent précisément de la garantie. L'assurance cyber marchande se heurte ainsi à un paradoxe : les entités les plus exposées aux attaques étatiques sont celles que la garantie couvre le moins.

Les politiques publiques accentuent cette spécificité. Le Royaume-Uni a confirmé en juillet 2025 son intention d'interdire le paiement de rançons par l'ensemble des organismes publics, y compris les collectivités locales, ainsi que par les exploitants d'infrastructures nationales critiques, et de créer un régime de prévention et de déclaration des paiements²³. Plusieurs États fédérés américains, dont la Caroline du Nord et la Floride, interdisent déjà à leurs entités publiques de négocier avec les auteurs de rançongiciels. Pour ces entités, la garantie de cyber-extorsion perd son objet, et l'assurance se recentre sur la gestion de crise, la restauration et la responsabilité.

Reste la question du risque catastrophique. Un débat nourri porte sur la création de mécanismes de partenariat public-privé, sur le modèle de Pool Re pour le terrorisme au Royaume-Uni ou du programme fédéral américain de réassurance du terrorisme, dans lesquels le marché privé absorberait les pertes jusqu'à un certain seuil, l'État intervenant au-delà²⁴. L'argument est connu : faute de mécanisme organisé, l'État demeure l'assureur de dernier ressort de fait, sans en avoir ni les ressources dédiées ni les règles.

C. La portée transnationale des garanties

Le risque cyber ignore les frontières : un même incident affecte des systèmes, des données et des personnes situés dans plusieurs pays, et l'attaquant opère le plus souvent depuis une juridiction tierce. Les polices cyber des grands assureurs offrent en conséquence une couverture territoriale mondiale (worldwide territorial scope), sous réserve des sanctions internationales. Cette portée contractuelle se heurte cependant à trois limites juridiques.

La première tient aux règles d'agrément. La plupart des États imposent que les risques situés sur leur territoire soient assurés auprès d'entreprises agréées localement, ce qui interdit en principe à un assureur étranger non admis (non-admitted) d'indemniser directement une filiale locale. Les programmes internationaux s'organisent alors autour d'une police mère (master policy) et de polices locales émises par des assureurs agréés, eux-mêmes réassurés par l'apériteur du programme selon la technique de la façade (fronting). Lorsque l'émission d'une police locale est impossible ou insuffisante, la police mère peut indemniser la société mère de la perte financière que constitue pour elle le sinistre de sa filiale, au titre d'une clause d'intérêt financier (financial interest clause), dont la licéité doit être vérifiée au regard du droit de chaque pays.

La deuxième tient aux sanctions internationales. Les polices du marché londonien comportent une clause de limitation et d'exclusion liée aux sanctions, dont la version de référence est la clause LMA3100, qui dispense l'assureur de toute prestation dont l'exécution l'exposerait à une sanction ou à une interdiction prévue par les résolutions des Nations unies ou par les régimes de sanctions de l'Union européenne, du Royaume-Uni ou des États-Unis. Cette clause prend une portée particulière en matière de rançon, examinée plus loin.

La troisième tient au droit applicable et au règlement des différends. Les polices du marché de Londres sont généralement soumises au droit anglais et assorties d'une clause attributive de juridiction ou d'une clause compromissoire. Les polices locales relèvent, elles, du droit impératif de l'État d'émission, qui peut comporter des dispositions d'ordre public substantielles, telles que l'obligation française de dépôt de plainte examinée plus loin. Le praticien doit donc raisonner simultanément sur plusieurs ordres juridiques : celui de la police mère, celui de la police locale, et ceux des pays où les données et les personnes concernées sont situées.

IV. La procédure spécifique de règlement des sinistres

A. Un règlement de crise plutôt qu'un règlement d'indemnité

Le règlement d'un sinistre cyber diffère radicalement du règlement d'un sinistre de dommages classique. Dans ce dernier, l'assuré déclare un dommage déjà réalisé, l'expert le constate et l'assureur indemnise. En matière cyber, le sinistre est un processus en cours au moment de la déclaration : l'attaquant peut être encore présent dans le système, les données continuer de fuiter, l'activité être interrompue, et chaque heure de retard aggrave le préjudice. L'assureur ne se borne donc pas à indemniser : il organise, finance et en partie dirige la réponse à l'incident, par l'intermédiaire de ses prestataires agréés. L'assurance cyber est, à ce titre, autant une assurance de service qu'une assurance d'indemnité.

Cette spécificité a deux conséquences juridiques. D'une part, la déclaration du sinistre doit être immédiate : les polices prévoient une ligne d'urgence ouverte en permanence et des délais de déclaration courts, dont le non-respect peut entraîner une déchéance ou une réduction de garantie selon le droit applicable. D'autre part, les frais engagés avant la déclaration ou sans l'accord de l'assureur, notamment auprès de prestataires non agréés, sont exposés à un refus de prise en charge, ce qui impose à l'assuré, dès les premières minutes, une discipline procédurale que sa direction informatique ne connaît pas toujours.

B. Les phases du règlement

Tableau 4. Chronologie type du règlement d'un sinistre cyber

La phase d'investigation est le cœur du dossier, car ses conclusions conditionnent tout le reste : le périmètre des données touchées détermine les notifications, la date de la première intrusion détermine l'application de la date de rétroactivité, le vecteur d'attaque détermine l'éventuelle responsabilité d'un prestataire et la sincérité des déclarations de sécurité, l'identification de l'attaquant détermine l'application de l'exclusion des attaques étatiques et la licéité d'un paiement. L'enquêteur technique est ainsi, sans en avoir le titre, l'expert dont le rapport commande la garantie, ce qui explique les précautions prises quant au statut de son rapport (VI, A).

C. Spécificités selon la nature de l'attaque

1. Le rançongiciel

Le sinistre par rançongiciel mobilise la totalité de la police. Après confinement, l'assuré doit arbitrer entre la restauration à partir de sauvegardes, lorsqu'elles existent et sont saines, et le paiement de la rançon, qui ne garantit ni l'obtention d'un outil de déchiffrement fonctionnel ni la destruction des données exfiltrées. Les données de marché indiquent d'ailleurs une proportion croissante de victimes refusant de payer²⁵. Lorsque le paiement est envisagé, il est négocié par un négociateur spécialisé, sous la direction de l'avocat coordinateur et avec l'accord préalable écrit de l'assureur, après vérification que le bénéficiaire ne figure sur aucune liste de sanctions.

Cette vérification n'est pas une formalité. L'Office of Foreign Assets Control (OFAC) du Trésor américain a rappelé en 2021 que faciliter un paiement au profit d'une personne sanctionnée expose à des sanctions civiles selon un régime de responsabilité sans faute, y compris pour les assureurs, les intermédiaires financiers et les prestataires de réponse à incident, et que la déclaration rapide de l'incident aux autorités et la coopération avec elles constituent des circonstances atténuantes significatives²⁶. Le droit anglais de la lutte contre le financement du terrorisme et les régimes de sanctions européens produisent des effets comparables. L'assurabilité de la rançon elle-même varie selon les pays : le droit français l'admet désormais sous la condition d'une plainte déposée dans les 72 heures (V, A), tandis que d'autres droits ne s'y opposent pas en principe mais la soumettent au respect des sanctions et des règles de lutte contre le blanchiment.

En pratique, l'assureur rembourse le plus souvent la rançon payée par l'assuré, souvent en cryptoactifs acquis par un intermédiaire spécialisé, plutôt que de la payer directement. La traçabilité du paiement (portefeuilles, transactions, échanges avec l'attaquant) doit être documentée avec soin, car elle sert à la fois de preuve du sinistre et de base à d'éventuelles saisies : en juin 2021, les autorités américaines ont ainsi récupéré une partie de la rançon versée par l'exploitant d'un oléoduc, illustrant la valeur de la coopération avec les enquêteurs.

2. La violation de données

Le sinistre de violation de données est dominé par les obligations de notification et par le risque de responsabilité. L'enquête doit déterminer avec précision quelles données ont été atteintes, relatives à quelles personnes et dans quels pays, car chaque juridiction impose ses propres délais, seuils et contenus de notification. La garantie de gestion de crise finance l'identification des personnes concernées, les envois, le centre d'appel, les services de surveillance de crédit et d'identité. Le volet de responsabilité couvre ensuite les réclamations des personnes concernées, qui prennent aux États-Unis la forme d'actions collectives, et en Europe de plus en plus celle d'actions représentatives, ainsi que les réclamations des clients professionnels fondées sur les clauses de confidentialité et de sécurité des contrats.

3. La fraude au virement et l'ingénierie sociale

La fraude par compromission de messagerie ou par usurpation d'identité, désormais renforcée par l'hypertrucage vocal ou vidéo d'un dirigeant, est l'une des causes de sinistre les plus fréquentes. Elle se situe à la frontière de la police cyber et de la police fraude, et les assureurs la cantonnent souvent dans une sous-limite, avec des conditions de vérification préalable (contre-appel du fournisseur sur un numéro connu, double validation). Le règlement repose sur la rapidité : la demande de rappel des fonds auprès de la banque émettrice et de la banque réceptrice, le gel judiciaire des comptes bénéficiaires et la plainte pénale déterminent les chances de récupération et, partant, le montant final du sinistre.

4. L'interruption d'activité, malveillante ou non

Les pertes d'exploitation constituent souvent le poste le plus lourd et le plus discuté. Leur quantification suppose de reconstituer ce qu'aurait été l'activité en l'absence d'incident, de déduire les charges économisées, d'intégrer la période de reprise progressive et de distinguer ce qui relève de l'incident de ce qui relève d'autres causes. L'intervention d'un expert-comptable spécialisé est la règle, et les différends sur la période d'indemnisation, la marge à retenir ou les frais supplémentaires sont fréquents. Lorsque l'interruption trouve son origine chez un prestataire, la garantie dépendante n'est mobilisable que si le prestataire entre dans la définition contractuelle (prestataire informatique, fournisseur nommément désigné) et que la cause (malveillante ou non) est couverte, ce que l'incident de juillet 2024 a mis en lumière.

D. La position de garantie et le contentieux de la couverture

Parallèlement à la gestion de crise, l'assureur instruit la garantie. Il adresse le plus souvent une lettre de réserves (reservation of rights), par laquelle il prend en charge les frais urgents tout en se réservant d'opposer ultérieurement une exclusion ou une déchéance. Les causes de contestation récurrentes sont la connaissance antérieure de l'incident, l'inexactitude des déclarations de sécurité, l'application des sous-limites, l'exclusion des infrastructures, l'exclusion de guerre, le calcul des pertes d'exploitation et la prise en charge des frais engagés hors des prestataires agréés. Le règlement de ces différends emprunte selon les polices la voie judiciaire, la médiation ou l'arbitrage, ce dernier étant fréquent sur le marché de Londres et dans les programmes internationaux.

V. Plainte pénale, autorités et obligations de notification

A. La plainte pénale : faculté de principe, obligation par exception

Une cyberattaque constitue presque toujours une infraction pénale : accès ou maintien frauduleux dans un système de traitement automatisé de données, entrave à son fonctionnement, introduction ou altération de données, extorsion, escroquerie. Faut-il pour autant déposer plainte pour être indemnisé ? En principe, non : la plupart des droits nationaux ne subordonnent pas l'indemnisation d'assurance à une plainte, et la question relève alors du contrat, qui l'exige fréquemment pour les garanties de fraude et d'extorsion, à titre de preuve du sinistre.

Le droit français a fait exception. La loi d'orientation et de programmation du ministère de l'Intérieur du 24 janvier 2023 a introduit dans le Code des assurances un article L. 12-10-1 qui subordonne, depuis le 24 avril 2023, le versement de toute indemnité réparant les pertes et dommages causés par une atteinte à un système de traitement automatisé de données au dépôt par la victime d'une plainte auprès des autorités compétentes, au plus tard 72 heures après qu'elle a eu connaissance de l'atteinte²⁷. Le texte ne s'applique qu'aux personnes morales et aux personnes physiques agissant dans le cadre de leur activité professionnelle ; il est d'ordre public et s'applique sans avoir à être reproduit dans la police ; il vise toutes les garanties indemnisant une atteinte malveillante, et pas seulement la rançon²⁸. La Direction générale du Trésor a précisé son application aux programmes internationaux et aux attaques survenues hors de France²⁹. Des propositions de réforme portant sur ce délai ont par ailleurs été débattues³⁰.

Au-delà de toute obligation, la plainte présente un intérêt stratégique : elle date et formalise l'incident, permet aux enquêteurs de solliciter la coopération internationale et le gel d'avoirs, ouvre à la victime la voie de la constitution de partie civile, prépare le recours subrogatoire de l'assureur et constitue, au regard des autorités de sanctions, un indice de bonne foi. Elle présente aussi des inconvénients : perte partielle de maîtrise de la communication, communication de pièces techniques sensibles, risque que l'enquête mette au jour des manquements de l'assuré. L'arbitrage relève de l'avocat coordinateur, en lien avec l'assureur.

B. Les obligations de notification aux autorités

Distinctes de la plainte, les obligations de notification se sont multipliées et ont des délais incompatibles avec une réponse improvisée. Le tableau 5 en présente les principales.

Tableau 5. Principaux régimes de notification des incidents

Deux règles pratiques en découlent. D'abord, les délais courent à compter de la connaissance de l'incident, non de la fin de l'enquête, ce qui impose de notifier sur la base d'informations incomplètes puis de compléter. Ensuite, les différentes notifications ne se substituent pas les unes aux autres : la plainte ne dispense pas de la notification à l'autorité de protection des données, comme l'a rappelé l'administration française³¹, et la notification réglementaire ne vaut pas déclaration de sinistre à l'assureur. Leur cohérence doit être assurée par un même conseil, car toute contradiction entre elles sera exploitée dans les contentieux ultérieurs.

VI. L'avocat dans le sinistre cyber : coordination, défense et recours

A. Le breach coach, chef d'orchestre de la réponse

Le breach coach, que l'on peut traduire par « avocat coordinateur de crise », est l'avocat désigné dès les premières heures, le plus souvent parmi les cabinets agréés par l'assureur, pour diriger juridiquement la réponse à l'incident. Il mandate les enquêteurs techniques et les autres prestataires, qualifie juridiquement l'incident, détermine les obligations de notification dans chaque juridiction, rédige ou valide les notifications et la communication, conseille sur la plainte et sur l'éventuel paiement, et assure l'interface avec l'assureur. Dans les dossiers internationaux, il s'appuie sur un réseau d'avocats locaux chargés de répondre, dans des délais de quelques heures, à trois questions décisives : faut-il notifier, peut-on transférer les données pour les besoins de l'enquête, et peut-on payer.

La raison d'être de ce montage est la protection du secret professionnel. En confiant à l'avocat le mandatement des enquêteurs, l'assuré cherche à faire bénéficier leurs travaux de la confidentialité attachée aux communications avec l'avocat (attorney-client privilege) et aux travaux préparés en vue d'un litige (work product). La jurisprudence américaine a cependant montré les limites de cette protection : dans l'affaire Capital One, le rapport de l'enquêteur technique a été jugé communicable aux demandeurs, au motif qu'il aurait été établi de toute façon pour des raisons opérationnelles et qu'il avait été largement diffusé au sein de l'entreprise³² ; dans l'affaire Clark Hill, la même solution a été retenue pour un rapport ayant servi à la remédiation et communiqué au-delà de l'équipe juridique³³. Les bonnes pratiques qui en découlent sont désormais établies : contrat de mission distinct conclu par l'avocat, finalité contentieuse documentée, séparation entre l'enquête juridique et la remédiation opérationnelle, diffusion restreinte du rapport. Dans les systèmes de droit civil, la question se pose différemment, le secret professionnel de l'avocat couvrant ses propres correspondances et consultations mais non nécessairement les rapports de tiers, ce qui impose une réflexion analogue sur la circulation des documents.

B. La défense de l'assuré

En défense, l'avocat intervient sur trois fronts. Devant les autorités de protection des données et les régulateurs sectoriels, il s'agit de démontrer la conformité des mesures de sécurité et de la gestion de l'incident, afin de prévenir ou de réduire les sanctions, dont l'assurabilité est elle-même incertaine : de nombreux droits, dont le droit français selon une partie de la doctrine, tiennent pour contraire à l'ordre public l'assurance des sanctions pénales et administratives, ce qui explique la formule where insurable by law des polices. Devant les juridictions civiles, il s'agit de résister aux actions individuelles et collectives des personnes concernées, en discutant notamment l'existence d'un préjudice certain et le lien de causalité. Dans les relations contractuelles, enfin, il s'agit de gérer les réclamations des clients et partenaires fondées sur les clauses de sécurité, de confidentialité et de niveau de service.

C. Les recours

Le volet du recours est souvent négligé, alors qu'il conditionne l'économie finale du sinistre. Subrogé dans les droits de l'assuré à concurrence de l'indemnité versée, l'assureur peut agir contre le prestataire dont la défaillance a permis ou causé l'incident : éditeur de logiciel, infogérant, hébergeur, prestataire de sécurité. Ces recours se heurtent aux clauses limitatives de responsabilité des contrats informatiques, dont la validité devra être discutée au regard de la faute lourde ou de l'obligation essentielle selon le droit applicable. La victime et son assureur peuvent également agir sur le terrain pénal, en se constituant partie civile, et solliciter la saisie des avoirs identifiés, notamment des cryptoactifs. Enfin, l'assuré dispose parfois d'un recours contre son courtier lorsque le défaut de couverture résulte d'un manquement au devoir de conseil, hypothèse que la complexité croissante des exclusions rend moins théorique.

D. Le conseil en couverture

Il convient de distinguer le breach coach, qui sert la gestion de l'incident, du conseil en couverture (coverage counsel), qui défend la position de l'assureur ou celle de l'assuré sur l'étendue de la garantie. Le cumul de ces fonctions par un même cabinet est une source de conflit d'intérêts : l'avocat coordinateur, souvent agréé par l'assureur, doit pourtant défendre les intérêts de l'assuré dans la gestion de la crise. Les grands assurés négocient d'ailleurs le droit de choisir leur propre avocat, avec une prise en charge alignée sur les tarifs du panel. L'avocat de l'assuré doit, pour sa part, veiller dès les premiers jours à ce que les décisions prises dans l'urgence ne compromettent pas la garantie.

VII. La réassurance du risque cyber et le transfert aux marchés de capitaux

A. Les structures de réassurance

La réassurance cyber s'est historiquement construite sur des traités proportionnels en quote-part (quota share), par lesquels l'assureur cède une fraction de ses primes et de ses sinistres. Ce choix traduisait l'incertitude sur la modélisation du risque : la quote-part permettait aux réassureurs d'accompagner la croissance du marché sans avoir à tarifer isolément les pertes extrêmes. La part moyenne cédée en quote-part a cependant diminué, d'environ 57 % à 45 % sur cinq ans selon Howden Re, au profit de structures non proportionnelles en excédent de sinistre par risque, par événement (event excess of loss) ou en excédent de perte annuelle (aggregate stop loss)³⁴ ; Gallagher Re anticipe un quasi-doublement de la demande de capacité en excédent de sinistre d'ici 2030³⁵. Cette évolution reflète la maturité croissante des modèles et la volonté des assureurs de conserver une part plus importante de leur sinistralité courante.

B. Les questions juridiques propres au traité cyber

Le passage à l'excédent de sinistre par événement place au centre du traité la définition de l'événement et les règles d'agrégation. En réassurance des catastrophes naturelles, la notion d'événement est encadrée par des clauses horaires et géographiques éprouvées ; en matière cyber, il faut définir ce qui constitue un même événement lorsque des milliers d'assurés sont touchés par une même vulnérabilité exploitée par plusieurs attaquants, sur plusieurs semaines. La rédaction de ces clauses détermine l'étendue de la protection de la cédante, et leur interprétation est l'un des contentieux potentiels majeurs du marché.

Les exclusions de guerre et des attaques étatiques se retrouvent au niveau du traité : la LMA a publié en 2023 des clauses modèles destinées à la réassurance en traité du risque cyber³⁶. Tout écart de rédaction entre la police directe et le traité crée pour la cédante un risque de non-concordance (basis risk), dans lequel elle indemnise un sinistre que son réassureur refuse de suivre. Les clauses classiques de suivi des règlements (follow the settlements), de coopération en matière de sinistres (claims cooperation) et de direction des sinistres (claims control) prennent également une portée nouvelle : un réassureur qui dispose d'un droit de direction peut se trouver impliqué dans les décisions de paiement d'une rançon ou de transaction avec des tiers. Ces mécanismes appellent l'analyse de la nature juridique du traité de réassurance, contrat autonome de la police directe mais lié à elle par une communauté de sort dont l'étendue est fixée par les clauses du traité³⁷. Les différends de réassurance sont, sur le marché de Londres, très majoritairement soumis à l'arbitrage, selon des pratiques largement façonnées par l'ARIAS (UK).

C. Les obligations catastrophe cyber

Le transfert du risque cyber extrême vers les marchés de capitaux est devenu une réalité. Après les premières transactions de 2023, le marché des obligations catastrophe cyber s'est développé : au quatrième trimestre 2025, environ 450 millions de dollars de capacité de réassurance cyber ont été placés par ce biais, le trimestre le plus actif jamais observé³⁸, et l'émission PoleStar Re 2026-1 de Beazley, fixée à 300 millions de dollars, est la plus importante obligation catastrophe cyber à ce jour³⁹. Ces instruments fonctionnent sur un déclencheur indemnitaire et par événement, et s'insèrent dans les tranches hautes de la protection. Ils transposent sur les marchés financiers les questions de définition de l'événement et d'exclusion de guerre, et soumettent leur documentation au regard d'investisseurs qui n'ont pas la culture du marché de l'assurance. La Geneva Association souligne que l'ampleur possible des pertes cyber extrêmes excède la capacité des seuls assureurs et réassureurs, ce qui fait de ce transfert une nécessité structurelle⁴⁰.

VIII. Perspective marocaine et marchés émergents

A. Un marché naissant face à une menace avérée

Le Maroc offre un cas d'étude éclairant des enjeux propres aux marchés émergents. La menace y est avérée : en avril 2025, la Caisse nationale de sécurité sociale a subi une cyberattaque d'une ampleur sans précédent dans le pays, ayant conduit à la divulgation de données personnelles concernant près de deux millions de salariés⁴¹, suivie d'autres attaques visant des organismes publics. L'épisode a mis en lumière les questions examinées dans la présente étude : responsabilité d'une personne publique en tant que responsable de traitement, absence d'obligation générale de notification des violations, recours des personnes concernées, et absence d'assurance de l'entité touchée.

Le marché de l'assurance cyber y demeure embryonnaire. La couverture existe auprès de certains assureurs, souvent adossés à des groupes internationaux et largement réassurés à l'étranger, mais la prise de conscience du risque et les conditions d'assurabilité restent à développer⁴². La ministre de l'Économie et des Finances a annoncé en avril 2025, lors du Rendez-vous de Casablanca de l'Assurance, le développement d'un projet d'assurance contre le risque cyber⁴³, et l'Autorité de contrôle des assurances et de la prévoyance sociale (ACAPS) a engagé un programme d'appui à l'innovation dans le secteur.

B. Le cadre juridique applicable

Le cadre juridique marocain comporte les principaux éléments d'un régime du risque cyber, mais présente des lacunes au regard des standards internationaux. La loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel impose au responsable du traitement une obligation de sécurité, sous le contrôle de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), mais ne prévoit pas d'obligation générale de notification des violations comparable à celle du RGPD ; sa refonte, destinée à l'aligner sur les standards internationaux, est annoncée⁴⁴. La loi n° 05-20 relative à la cybersécurité et son décret d'application organisent, sous l'autorité de la Direction générale de la sécurité des systèmes d'information (DGSSI), des obligations de sécurité et de déclaration des incidents à la charge des administrations, des établissements publics et des infrastructures d'importance vitale. Le Code pénal réprime, depuis la loi n° 07-03, les atteintes aux systèmes de traitement automatisé des données, et le Maroc est partie à la Convention du Conseil de l'Europe sur la cybercriminalité, ce qui facilite la coopération internationale et donne à la plainte, adressée au procureur du Roi, une utilité réelle.

Sur le terrain assurantiel, la loi n° 17-99 portant Code des assurances pose le principe de la souscription auprès d'entreprises agréées des risques situés au Maroc, ce qui oriente les programmes internationaux vers la technique de la façade, avec une police locale émise par un assureur marocain et réassurée auprès de l'apériteur du programme ou du marché de Londres. Le droit marocain ne connaît pas d'équivalent de l'article L. 12-10-1 du Code des assurances français : la plainte n'est pas une condition légale de l'indemnisation, mais elle peut être exigée par la police. Il ne consacre pas davantage expressément la clause en base réclamation, ce qui crée un risque d'interprétation lorsque la police locale est soumise au droit marocain. Le paiement d'une rançon, enfin, se heurte à la réglementation des changes, au dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme issu de la loi n° 43-05, et aux régimes de sanctions internationaux auxquels sont exposés les réassureurs étrangers. La loi n° 95-17 relative à l'arbitrage et à la médiation conventionnelle offre, pour sa part, un cadre moderne au règlement des différends d'assurance et de réassurance.

C. Une place régionale à construire

La faible pénétration de l'assurance cyber en Afrique et l'importance des flux numériques entre l'Europe, le Maroc et l'Afrique subsaharienne ouvrent un espace pour une place régionale de souscription, de réassurance et de règlement des sinistres cyber. Cette ambition suppose un cadre de notification des violations, une doctrine de l'autorité de contrôle sur les polices cyber et la rançon, des capacités locales d'investigation technique et d'expertise, et des avocats capables d'intervenir en quelques heures dans les dossiers internationaux pour le compte des assureurs, des réassureurs et des cabinets coordinateurs de Londres, Paris ou New York.

Conclusion et propositions

L'assurance cyber est à la fois une réussite et un chantier. Réussite, parce qu'un marché d'une quinzaine de milliards de dollars s'est construit en une décennie autour d'un risque immatériel, adverse et systémique, en inventant une assurance de service qui organise la réponse à la crise autant qu'elle indemnise. Chantier, parce que les questions juridiques fondamentales restent ouvertes : l'imputation des attaques aux États et l'interprétation des exclusions qui en dépendent, la définition de l'événement en réassurance, l'assurabilité des rançons et des sanctions, la protection des travaux d'enquête, la coordination des obligations de notification et le déficit de protection des personnes publiques et des marchés émergents.

Quatre propositions peuvent être formulées. En premier lieu, il serait souhaitable que le marché converge vers un mécanisme d'imputation des attaques étatiques fondé, à défaut d'attribution gouvernementale dans un délai déterminé, sur une procédure d'expertise indépendante, afin de ne pas laisser l'assuré dans l'incertitude. En deuxième lieu, les législateurs gagneraient à unifier les délais et les points de contact des notifications d'incidents, sur le modèle du guichet unique envisagé au Royaume-Uni, afin que l'entreprise victime ne soit pas soumise à des obligations concurrentes dans les premières heures de la crise. En troisième lieu, la question de l'assurabilité de la rançon mériterait une position claire de chaque autorité de contrôle, la solution française d'une assurabilité conditionnée à la plainte offrant un équilibre entre l'indemnisation des victimes et la coopération avec la justice. En quatrième lieu, les États dont le marché est naissant, au premier rang desquels le Maroc, auraient intérêt à doter leur droit de la protection des données d'une obligation de notification des violations, à préciser le statut de la clause en base réclamation et à envisager, avec leurs assureurs et réassureurs, un mécanisme de mutualisation du risque cyber catastrophique.

Le risque cyber est appelé à devenir l'un des risques dominants du siècle. Le droit des assurances et de la réassurance, qui a su en d'autres temps organiser la mutualisation du risque maritime puis du risque industriel, dispose des outils pour l'appréhender, à la condition de ne pas abandonner aux seules clauses des formulaires le soin de répondre à des questions qui relèvent désormais de l'ordre public économique et de la souveraineté numérique des États.

Notes

1. Docteur en droit de l'Université Paris 1 Panthéon-Sorbonne ; diplômé de l'ESSEC, de l'ISCAE et de l'Université de Montréal ; avocat aux barreaux de Casablanca, Paris et Montréal ; expert contractuel auprès de la Banque mondiale ; il enseigne le droit bancaire et financier aux universités et grandes écoles. Il a longtemps représenté le réassureur national marocain ainsi que plusieurs réassureurs internationaux en matière de règlement de sinistres et d'arbitrage. Auteur de Droit bancaire marocain (LexisNexis, 2023) et de « La nature juridique du traité de réassurance », The MENA Business Law Review (LexisNexis), 2018, n° 3, p. 67-74. Les opinions exprimées n'engagent que l'auteur. ↑
2. Pour l'ordre de grandeur, voir notamment les estimations reprises dans Insurers Drop Bid to Exclude Merck's $1.4B NotPetya Claims, BankInfoSecurity (janv. 2024), https://www.bankinfosecurity.com/insurers-drop-bid-to-exclude-mercks-14b-notpetya-claims-a-24040. ↑
3. Munich Re, Global Cyber Risk and Insurance Survey 2026, https://www.munichre.com/en/insights/cyber/global-cyber-risk-and-insurance-survey-2026.html (estimation d'environ 15 milliards USD en 2025 et d'environ 28 milliards USD en 2030). ↑
4. Verisk's PCS Designates CrowdStrike Outage as Cyber Catastrophe Event, Insurance Journal (31 juill. 2024), https://www.insurancejournal.com/news/national/2024/07/31/786319.htm ; Guy Carpenter, cité par Insurance Journal (19 août 2024), https://www.insurancejournal.com/magazines/mag-features/2024/08/19/788753.htm. ↑
5. CrowdStrike Outage Losses Will Hit Healthcare, Banking Hard, GovInfoSecurity (juill. 2024), https://www.govinfosecurity.com/crowdstrike-outage-losses-will-hit-healthcare-banking-hard-a-25848. ↑
6. Règlement (UE) 2016/679 du 27 avril 2016, art. 4, point 12. ↑
7. Munich Re, op. cit. ↑
8. Estimation Swiss Re rapportée par Insurance Business (Marsh, Cyber risk investments to shape 2026 insurance market), https://www.insurancebusinessmag.com/ca/news/cyber/cyber-risk-investments-to-shape-2026-insurance-market--marsh-559561.aspx. ↑
9. Howden Re, rapporté par Insurance Business, Cyber reinsurance needs diversification for sustainable growth, https://insurancebusinessmag.com/reinsurance/news/breaking-news/cyber-reinsurance-needs-diversification-for-sustainable-growth--howden-re-533718.aspx. ↑
10. Travelers Prop. Cas. Co. of Am. v. Int'l Control Servs., Inc., No. 22-cv-2145 (C.D. Ill. 2022) (accord des parties sur l'anéantissement rétroactif de la police). ↑
11. Lloyd's, Cyber at Lloyd's, présentation au Federal Advisory Committee on Insurance du Trésor américain (8 déc. 2022), https://home.treasury.gov/system/files/311/Lloyd%26%23039%3Bs%20FACI%20Presentation%20on%20Cyber%20Insurance%20Dec.%208%202022.pdf. ↑
12. Guy Carpenter, cité par Insurance Journal (19 août 2024), préc. ↑
13. Merck & Co. v. Ace Am. Ins. Co., 475 N.J. Super. 420 (App. Div. 2023). ↑
14. Merck Settles Coverage Dispute With Insurers Over War Exclusion in NotPetya Attack, Insurance Journal (5 janv. 2024), https://www.insurancejournal.com/news/national/2024/01/05/754582.htm. ↑
15. Mondelez and Zurich reach settlement in NotPetya cyberattack insurance suit, The Record (nov. 2022), https://therecord.media/mondelez-and-zurich-reach-settlement-in-notpetya-cyberattack-insurance-suit. ↑
16. LMA Bulletin LMA21-042-PD (25 nov. 2021), Cyber War and Cyber Operation Exclusion Clauses. ↑
17. Lloyd's Market Bulletin Y5381 (16 août 2022), State backed cyber-attack exclusions ; pour une analyse, DAC Beachcroft, War exclusions in cyber policies: an overview, https://dacbeachcroft.com/en/What-we-think/War-exclusions-in-cyber-policies-an-overview. ↑
18. Analyse des clauses modèles LMA : Lloyd's of London Requires Insurers to Add Exclusions to Limit Coverage for State-Backed Cyberattacks, Policyholder Pulse, https://www.policyholderpulse.com/lloyds-london-state-backed-cyberattacks/. ↑
19. DAC Beachcroft, State-backed cyber-attack exclusions: Lloyd's issues new market bulletin (10 juin 2024), https://www.dacbeachcroft.com/es/what-we-think/statebacked-cyberattack-exclusions-lloyds-issues-new-market-bulletin ; LMA, classification des clauses, https://lmalloyds.com/?p=1049. ↑
20. Voir les observations d'Andrew Hill (WTW) rapportées dans Lloyd's Cyber War Exclusions: Confusing, Disruptive, but Necessary?, Insurance Journal (22 mai 2023), https://www.insurancejournal.com/magazines/mag-features/2023/05/22/721424.htm. ↑
21. Lloyd's Market Bulletin Y5258 (4 juill. 2019) et Y5277 (janv. 2020), Providing clarity for Lloyd's customers on coverage for cyber exposures. ↑
22. S&P Global Ratings, Cyber Risk Insights 2024, https://insight.spglobal.com/story/cyber-risk-insights-2024/page/9. ↑
23. UK government moves to ban ransomware payments for public sector, Burges Salmon, https://www.burges-salmon.com/articles/102kyhv/uk-government-moves-to-ban-ransomware-payments-for-public-sector ; Goodwin, The UK's Ransomware Strategy (12 févr. 2026), https://goodwinlaw.com/en/insights/publications/2026/02/alerts-technology-dpc-the-uks-ransomware-strategy. ↑
24. Lockton Re, Cyber risk pools and Public Private Partnerships: time to dive in? (févr. 2025), rapporté par Reinsurance News, https://www.reinsurancene.ws/gov-supported-cyber-risk-pool-would-encourage-greater-adoption-lockton-re/ ; Geneva Association, travaux sur les risques systémiques, rapportés par Commercial Risk, https://www.commercialriskonline.com/uncapped-government-backstop-needed-for-uninsurable-cyber-and-climate-risk-geneva-association/. ↑
25. Coalition, 2026 Cyber Claims Report, rapporté par Astra, https://getastra.com/blog/security-audit/cyber-insurance-claims-statistics. ↑
26. U.S. Dep't of the Treasury, OFAC, Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments (21 sept. 2021). ↑
27. C. assur., art. L. 12-10-1, issu de la loi n° 2023-22 du 24 janv. 2023, art. 5 ; voir Jones Day, French Law Authorizes Insurability of Cyber-Ransoms Paid by Victims (févr. 2023), https://www.jonesday.com/fr/insights/2023/02/french-law-authorizes-insurability-of-cyberransoms-paid-by-victims. ↑
28. Verspieren, Les 10 conséquences de la loi LOPMI pour l'assurance des risques cyber, https://www.verspieren.com/fr/node/588. ↑
29. Direction générale du Trésor, FAQ sur l'obligation de dépôt de plainte en cas de cyberattaque (article L. 12-10-1 du code des assurances). ↑
30. Le délai de déclaration d'une cyberattaque devient la clé de l'indemnisation, L'Agefi (9 janv. 2026), reproduit par l'AMRAE. ↑
31. MEDEF, FAQ article 5 loi d'orientation et de programmation du ministère de l'Intérieur, https://www.medef.com/uploads/media/default/0020/01/15079-15077-faq-article-5-loi-dorientation-et-de-programmation-du-mi.pdf. ↑
32. In re Capital One Consumer Data Sec. Breach Litig., No. 1:19-md-2915, 2020 WL 2746826 (E.D. Va. May 26, 2020), confirmé, 2020 WL 3470261 (E.D. Va. June 25, 2020). ↑
33. Wengui v. Clark Hill, PLC, 338 F.R.D. 7 (D.D.C. 2021). ↑
34. Howden Re, préc. ↑
35. Gallagher Re, rapporté par Insurance Business, Cyber's great contradiction: surging risk meets record-low pricing. ↑
36. DAC Beachcroft, LMA publishes model state-backed cyber war exclusion clauses for cyber treaty reinsurance (5 mars 2023). ↑
37. A. Laamrani, « La nature juridique du traité de réassurance », The MENA Business Law Review (LexisNexis), 2018, n° 3, p. 67-74. ↑
38. Cyber cat bond innovation premium largely eroded: Gallagher Securities, Artemis, https://www.artemis.bm/news/cyber-cat-bond-innovation-premium-largely-eroded-gallagher-securities/. ↑
39. Beazley secures the biggest cyber cat bond so far, as PoleStar Re 2026-1 priced at $300m, Artemis, https://www.artemis.bm/news/beazley-secures-the-biggest-cyber-cat-bond-so-far-as-polestar-re-2026-1-priced-at-300m. ↑
40. Geneva Association, Catalysing Cyber Risk Transfer to Capital Markets: Catastrophe bonds and beyond (D. Pain, déc. 2024), https://www.genevaassociation.org/node/20746. ↑
41. Données personnelles : peut-on poursuivre la CNSS ?, TelQuel (15 avr. 2025), https://telquel.ma/2025/04/15/hack-de-la-cnss-quels-recours-legaux-pour-les-victimes%E2%80%89_1927099. ↑
42. Cyberassurance : ce qu'en disent les professionnels du secteur, Médias24 (26 avr. 2025), https://medias24.com/2025/04/26/cyberassurance-ce-quen-disent-les-professionnels-du-secteur/. ↑
43. Ibid. ↑
44. Sur le projet de refonte de la loi 09-08, voir notamment BourseNews, Protection des données à caractère personnel : la CNDP entame sa mue ; et la recommandation de la CNDP aux entreprises concernées d'initier un projet de conformité au RGPD, incluant la notification des violations. ↑

Abdelatif Laamrani