Après une première tentative du Sénat de traiter la question de la prise en charge des risques cyber — dans le cadre du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité (texte n°78, 2024-2025), adopté le 12 mars 2025 avec l’amendement n°14 rectifié — l’Assemblée nationale a adopté, mercredi 10 septembre, les amendements CS 524 et CS 255.
Ces derniers excluent les risques cyber (atteinte à un système de traitement automatisé de données, au sens des articles 323-1 et suivants du code pénal) du mécanisme de renversement de la charge de la preuve concernant l’exclusion liée à la guerre étrangère.
Le texte précise :
Article L. 121-8 du code des assurances (nouvelle rédaction)
« Lorsque ces risques ne sont pas couverts par le contrat :
1° L’assuré doit prouver que le sinistre résulte d’un fait autre que le fait de guerre étrangère.
Toutefois, lorsque le sinistre résulte d’une atteinte à un système de traitement automatisé de données au sens des articles 323-1 et suivants du code pénal, il appartient à l’assureur de prouver qu’il résulte d’une guerre étrangère.
2° Il appartient à l’assureur de prouver que le sinistre résulte de la guerre civile, d’émeutes ou de mouvements populaires. »
Par ailleurs, l’article L. 121-8, dans cette nouvelle rédaction, sera également applicable à Wallis-et-Futuna. »
Si ce premier pas législatif mérite d’être salué, il reste insuffisant. Le groupe Diot-Siaci s’appuie sur les définitions contractuelles de la « guerre » ou de la « cyberguerre » déjà négociées avec certaines compagnies d’assurance pour éviter l’inversion de la charge de la preuve, mais nous ne disposons toujours pas d’une définition légale claire de la notion de « guerre étrangère », et la jurisprudence disponible est trop ancienne pour servir de référence fiable.
Il convient donc de rester vigilants, et de poursuivre nos discussions avec l’ensemble des acteurs du marché.