La crise sanitaire de la Covid-19 a agi comme un révélateur brutal de la fragilité de nos modèles économiques face aux chocs globaux. Lors de cette conférence organisée par l’ENASS (École nationale d’assurances), trois experts analysent la capacité du secteur assurantiel à absorber des risques d’un nouveau genre : le risque cyber, le défaut de crédit international et les pandémies.

Ce compte-rendu explore les limites de la mutualisation traditionnelle et les solutions hybrides émergentes.

Ce qu’il faut retenir

  • La cyberassurance ne remplace jamais la prévention : les attaques exploitent avant tout les failles humaines et l’anxiété liée au télétravail. L’assurance ne doit intervenir que pour couvrir le risque résiduel, après la sécurisation technique et juridique des données.
  • L’assurance-crédit devient un outil de souveraineté économique : face à l’arrêt brutal des secteurs comme la croisière, les agences de crédit export et les États ont dû geler les dettes. Ce soutien évite l’effondrement en cascade de filières industrielles entières, mais alourdit la dette publique.
  • Une pandémie reste inassurable par le seul marché privé : la simultanéité des sinistres brise le principe fondamental de la mutualisation. La couverture des risques majeurs exige désormais des partenariats public-privé, à l’image des régimes existants pour les catastrophes naturelles ou le terrorisme.

Les cyber-risques dans le contexte de la Covid-19

Maître Pierre Craponne, avocat associé et délégué à la protection des données externalisé, ouvre la conférence en qualifiant le risque cyber de risque d’opportunité. Les pirates informatiques ne se contentent pas d’exploiter des brèches logicielles : ils s’appuient sur l’ingénierie sociale, les failles physiques et les peurs humaines.

Le climat anxiogène de la crise sanitaire a offert un terrain de jeu idéal aux cybercriminels. Les fausses cartes de suivi de l’épidémie ont servi à diffuser des logiciels malveillants à grande échelle. Parallèlement, la mise en place du télétravail dans l’urgence a ouvert d’immenses brèches de sécurité via l’utilisation d’ordinateurs personnels non sécurisés.

Les attaques par rançongiciel (ransomware) se sont multipliées, ciblant particulièrement les hôpitaux en flux tendu. Le montant moyen des rançons a ainsi triplé entre 2019 et 2020. Pourtant, céder au chantage en payant ne garantit rien : cela signale simplement aux pirates que l’entreprise est solvable et prête à payer de nouveau.

Une autre menace silencieuse inquiète les experts : le temps de latence avant la détection d’une intrusion, qui atteint en moyenne 201 jours. Les pirates peuvent s’infiltrer aujourd’hui et attendre la reprise économique d’une société pour déclencher leur attaque au moment le plus lucratif.

Face à cette menace, la cyberassurance ne doit pas être perçue comme une fin en soi. L’entreprise doit d’abord former ses salariés, car près de 50 % des incidents proviennent d’une erreur humaine. Elle doit ensuite cloisonner ses réseaux, sauvegarder ses données et encadrer juridiquement ses transferts avec ses partenaires.

Ce n’est qu’une fois ce travail accompli que le contrat sur mesure intervient pour couvrir le risque résiduel. Enfin, les distributeurs d’assurance eux-mêmes sont devenus des cibles prioritaires. En collectant massivement des données de santé et de patrimoine pour remplir leur devoir de conseil, courtiers et assureurs attirent les pirates et s’exposent à de lourdes sanctions de la CNIL.

L’assurance de crédit : quelles solutions pour la relance ?

Maître Ido Dalmasso, avocat spécialisé dans le financement d’actifs, illustre l’impact d’un risque systémique à travers le secteur de la croisière et de la construction navale européenne. L’arrêt total des voyages a provoqué une crise de liquidités immédiate chez les armateurs, menaçant par ricochet les chantiers navals en France, en Italie, en Allemagne ou en Finlande.

La construction de ces navires géants repose sur un mécanisme précis : les banques prêtent des sommes atteignant le milliard d’euros grâce à la garantie des agences de crédit export (comme Bpifrance, SACE en Italie ou Euler Hermes). Cette assurance-crédit couvre généralement 70 à 80 % du prêt. Elle transforme le risque d’entreprise en risque souverain, permettant aux banques de libérer des fonds propres.

Le risque de pandémie n’était pas prévu dans ces contrats classiques. Pourtant, face au risque d’effondrement de toute une filière industrielle et de destruction massive d’emplois, les États européens et leurs assureurs-crédit ont réagi en un temps record.

Ils ont mis en place un mécanisme inédit de suspension de la dette : le « debt standstill ». Pendant un an, les compagnies de croisière ont été dispensées de rembourser le capital de leurs emprunts, ne payant que les intérêts. En contrepartie, elles s’engageaient à ne pas annuler leurs commandes de navires en cours.

La reprise étant plus lente que prévu, ce moratoire doit être prolongé. Ce modèle d’intervention publique via l’assurance-crédit devient le moteur central des plans de relance européens, à l’image des prêts garantis par l’État. Toutefois, ce soutien indispensable a un revers immédiat : il alourdit directement la dette publique des États garants.

L’assurabilité des risques majeurs et les perspectives de gestion

Christophe Delcamp, directeur adjoint à la Fédération française de l’assurance (FFA), pose un constat sans appel : une pandémie n’est pas assurable par le seul marché privé. L’assurance repose sur la mutualisation, où les primes de tous paient les sinistres de quelques-uns. Lorsque tous les assurés sont frappés simultanément, le système s’effondre.

Le coût économique du premier confinement en France a été estimé à 80 milliards d’euros. Or, l’ensemble des fonds propres des assureurs dommages ne représente que 50 milliards d’euros. Absorber un tel choc aurait entraîné la faillite immédiate du secteur.

Pour repousser les limites de l’assurabilité, l’histoire montre que l’alliance entre assureurs privés et puissance publique est indispensable. Christophe Delcamp détaille quatre régimes français emblématiques :

  • Le risque technologique : instauré après la catastrophe d’AZF en 2001, il permet d’indemniser rapidement les riverains sans attendre l’issue de procédures judiciaires qui durent parfois plus de quinze ans.
  • Le risque terroriste : après les attentats de 1986 et du 11 septembre 2001, les assureurs ont créé le GAREAT. Ce pool de co-réassurance mutualise les premiers niveaux de pertes avant de transférer le risque extrême à l’État.
  • Les catastrophes naturelles : créé en 1982, ce régime repose sur une surprime obligatoire de 12 % et s’appuie sur la Caisse centrale de réassurance (CCR), qui bénéficie de la garantie illimitée de l’État.
  • Le risque nucléaire : encadré par des conventions internationales, il oblige les exploitants à s’assurer jusqu’à 700 millions d’euros via un pool mondial (Assuratome en France), sur la base d’une responsabilité sans faute.

Inspirée par ces modèles, la FFA a proposé au gouvernement un dispositif nommé « Catastrophe sanitaire » (CatSan) pour couvrir les futures pandémies via une indemnisation forfaitaire rapide. L’exécutif n’a pas retenu cette option, préférant encourager l’auto-assurance des entreprises par des mécanismes de provisionnement défiscalisés et le développement des captives de réassurance.

En conclusion, les intervenants s’accordent sur l’avenir du risque cyber. Contrairement à une pandémie, une cyberattaque ne frappe pas l’ensemble de l’économie mondiale au même instant : ce risque reste donc techniquement assurable. Sa pérennité dépendra toutefois d’une meilleure cartographie des menaces par l’État et d’une prise de conscience collective des entreprises sur leur propre hygiène numérique.