# Une assurance cyber couvre-t-elle la perte causée par la panne d'un fournisseur de cloud ? > Le document ne le dit pour aucune police donnée. Le FSI Insights n° 75 (juin 2026) écrit, en renvoyant à Munich Re (2020), que la couverture d'interruption d'activité contingente (CBI) n'est pas standard dans toutes les polices cyber et qu'elle ne s'applique souvent qu'à certaines catégories de prestataires ; il ajoute, en renvoyant à la Geneva Association (2026b), que sa portée est souvent limitée à des fournisseurs nommément désignés. Il range aussi la panne de cloud parmi les événements corrélés qui peuvent déclencher des pertes sur plusieurs polices. Sur le cumul en général, il écrit que les assureurs peuvent le gérer par des limites et des exclusions, des contrôles qu'il dit imparfaits, et que des événements systémiques pourraient menacer leur solvabilité. Ces phrases ne disent pas que les polices cyber excluent les pannes de cloud. - Source : https://probans.org/assurance/assurer-data-centers-ia/assurance-cyber-panne-cloud-interruption-contingente-fsi-bri/ - Catégorie : Assurance - Auteur : Axel Morel - Publié le : 2026-10-02 ## En résumé - Une couverture « pas standard dans toutes les polices ». Le § 14 (p. 9) écrit que la couverture CBI « is not standard in all cyber policies and often applies only to specific categories of service providers (Munich Re (2020)) ». La phrase dit seulement qu'elle ne fait pas partie de la couverture standard de toutes les polices, et elle ne nomme pas les catégories. - Une portée « souvent limitée » à des fournisseurs nommés. Deux phrases plus loin, après avoir cité en exemple les fournisseurs d'infrastructure cloud parmi les prestataires tiers, le § 14 ajoute que « However, the scope of protection is often limited to specific named suppliers (Geneva Association (2026b)) ». L'expression n'est pas expliquée et « named » n'a qu'une occurrence dans le document. - La panne de cloud, un événement de cumul. Le document cite les pannes de cloud parmi les événements corrélés de queue qui peuvent déclencher des pertes sur plusieurs polices, et décrit limites et exclusions comme des contrôles imparfaits. Le document ne le dit pour aucune police donnée. Le FSI Insights n° 75 (juin 2026) écrit, en renvoyant à Munich Re (2020), que la couverture d'interruption d'activité contingente (CBI) n'est pas standard dans toutes les polices cyber et qu'elle ne s'applique souvent qu'à certaines catégories de prestataires ; il ajoute, en renvoyant à la Geneva Association (2026b), que sa portée est souvent limitée à des fournisseurs nommément désignés. Il range aussi la panne de cloud parmi les événements corrélés qui peuvent déclencher des pertes sur plusieurs polices. Sur le cumul en général, il écrit que les assureurs peuvent le gérer par des limites et des exclusions, des contrôles qu'il dit imparfaits, et que des événements systémiques pourraient menacer leur solvabilité. Ces phrases ne disent pas que les polices cyber excluent les pannes de cloud. 1. **Une couverture « pas standard dans toutes les polices ».** Le § 14 (p. 9) écrit que la couverture CBI « is not standard in all cyber policies and often applies only to specific categories of service providers (Munich Re (2020)) ». La phrase dit seulement qu'elle ne fait pas partie de la couverture standard de toutes les polices, et elle ne nomme pas les catégories. 2. **Une portée « souvent limitée » à des fournisseurs nommés.** Deux phrases plus loin, après avoir cité en exemple les fournisseurs d'infrastructure cloud parmi les prestataires tiers, le § 14 ajoute que « However, the scope of protection is often limited to specific named suppliers (Geneva Association (2026b)) ». L'expression n'est pas expliquée et « named » n'a qu'une occurrence dans le document. 3. **La panne de cloud, un événement de cumul.** Le document cite les pannes de cloud parmi les événements corrélés de queue qui peuvent déclencher des pertes sur plusieurs polices, et décrit limites et exclusions comme des contrôles imparfaits. ## Un document de la BRI, qui porte les opinions de ses auteurs Le FSI Insights n° 75 est signé de trois auteurs et daté de juin 2026. Deux sont rattachés à la Banque des règlements internationaux, le troisième à l'Association internationale des contrôleurs d'assurance. La page ii écrit que les opinions exprimées sont celles des auteurs et ne reflètent pas nécessairement celles de la BRI. Cette pièce écrit donc « le document écrit », non « la BRI estime ». Le document se dit fondé sur une revue de littérature et des entretiens avec des régulateurs et des acteurs de marché (p. 5). Il ne se présente ni comme une base de polices ni comme une base de sinistres : il n'a pas compté de contrats ni mesuré de fréquence de couverture. Il écrit aussi, plus largement et en renvoyant à Tsohou et al (2023), que les polices cyber varient fortement selon les assureurs et les juridictions (§ 12, p. 8). Cette phrase ne vise pas nommément la CBI ni le cloud. ## Ce que le § 14 écrit de la CBI Le chapeau du § 14 écrit que certaines formes de pertes cyber ne sont pas couvertes de façon homogène d'une police à l'autre, d'où des lacunes ou ambiguïtés possibles. Il ajoute que « la littérature » souligne souvent deux domaines, la CBI et le vol ou la fraude cyber. La sélection de ces deux domaines est donc rapportée à la littérature, non présentée comme un constat propre aux auteurs. La phrase 1 de la première puce porte un renvoi à Munich Re (2020), la phrase 3 un renvoi à Geneva Association (2026b). Les quatre phrases de la puce sont ici attribuées au FSI. Cette pièce n'a lu ni l'une ni l'autre de ces deux sources et ne leur fait rien écrire. Le document décrit la CBI comme une extension de la protection d'interruption d'activité aux pertes résultant d'incidents cyber qui touchent des prestataires de services tiers, « such as cloud infrastructure or information technology (IT) service providers ». « Such as » donne des exemples et ne ferme pas la liste. Cette phrase ne porte aucun renvoi à une source. Le tableau 1 (p. 8), qui se déclare adapté de Swiss Re, donne une seconde formulation : la CBI y couvre la perte de revenus et les frais supplémentaires résultant de l'incapacité d'un fournisseur à livrer des services ou des produits à la suite d'un incident cyber. Cette pièce ne fusionne pas les deux formulations en une seule, et ne présente pas le tableau comme ce que couvre toute police. Enfin, le § 14 écrit que certains assureurs ont proposé un avenant spécifique aux polices cyber pour l'interruption d'activité due à des perturbations de services cloud. La note 22 donne pour exemple le programme de protection des risques de Google, en partenariat avec Beazley, Chubb et Munich Re, qui offre une protection d'assurance cyber personnalisée aux clients de Google Cloud. Le document ne dit ni combien d'assureurs sont concernés, ni quelles garanties, quels plafonds ou quels prix l'avenant comporte, et il ne cite aucun programme comparable chez un autre fournisseur de cloud. ## « Incident cyber » ou « panne » : le § 14 ne tranche pas La phrase sur les prestataires tiers parle d'incidents cyber (« cyber incidents affecting »), non de pannes. Le document rappelle par ailleurs, d'après le FSB (2023), qu'un incident cyber peut résulter d'une activité malveillante ou non ; d'après l'ENISA (2024), il peut résulter d'un dysfonctionnement technique, d'une erreur humaine ou d'attaques internes ou externes. Son résumé écrit que les incidents non malveillants impliquant des pannes ou perturbations étendues ont gagné en importance. Aucun des passages sur la CBI ne dit si une panne non malveillante d'un prestataire déclenche la garantie. Le document ne dit pas non plus que la perturbation de service cloud de l'avenant se limite à des incidents cyber, ni qu'elle inclut expressément les pannes techniques. ## La panne de cloud, un événement de cumul corrélé L'executive summary (p. 2) écrit que le risque de cumul est une préoccupation majeure de la souscription cyber, et que le défi central de l'industrie inclut des événements corrélés de queue comme les pannes de cloud, qui peuvent déclencher des pertes sur plusieurs polices. Les dépendances partagées à l'égard des fournisseurs de cloud aggravent ce risque. Le § 44 (p. 20) écrit qu'un point de perturbation unique, tel qu'une infection par logiciel malveillant étendue ou une panne de cloud, pourrait déclencher des pertes étendues chez plusieurs assurés et sur plusieurs polices. Il renvoie à CyberCube et Munich Re (2025) et à Beazley et al (2024), que cette pièce n'a pas lus. Le § 36 (p. 17 et 18) écrit qu'une panne ou une défaillance de sécurité chez un fournisseur dominant peut générer simultanément des sinistres d'interruption d'activité, de perte de données et de responsabilité sur une large part du portefeuille. Ce passage ne nomme pas la CBI. Les formulations sont conditionnelles (« can », « could ») : le document n'y observe ni ne chiffre de telles pertes. La panne de cloud y figure dans des énumérations, avec les rançongiciels étendus, les vulnérabilités largement exploitées, les logiciels destructeurs et les attaques d'infrastructures critiques, et n'est pas présentée comme l'événement de cumul principal. Côté assureurs, le document écrit qu'ils peuvent gérer le risque de cumul par des limites et des exclusions, mais que des événements systémiques pourraient menacer leur solvabilité (p. 2). Au § 46 (p. 21), il liste les tests de résistance par scénarios, les plafonds d'exposition, les sous-limites, les exclusions, la coassurance et la rédaction serrée des polices comme des contrôles imparfaits, et écrit que le risque de cumul peut ne pas être entièrement maîtrisé. Au § 63 (p. 30), il note que limites et exclusions peuvent être un outil efficace, mais exposer les assureurs à des risques de conduite ou de réputation s'ils ne sont pas conçus et communiqués avec soin. Ces phrases parlent du cumul en général. Elles ne disent pas que les polices cyber excluent les pannes de cloud, et elles ne rattachent pas nommément ces outils à la CBI. Une seule phrase du document contient à la fois « exclusions » et « cloud », et elle est attribuée à un tiers : la note 36 (p. 15) écrit qu'AMWINS décrit l'usage d'exclusions et de limites pour atténuer les pannes de cloud étendues, comme la panne d'Amazon Web Services de 2025. La note la donne en exemple, sans rien dire du traitement de cette panne. Le § 27, auquel la note est rattachée, écrit que des lacunes dans la gestion du risque tiers peuvent entraîner des franchises plus élevées, des sous-limites plus strictes, des exclusions visant des prestataires clés ou des surprimes. Le § 15 (p. 10) écrit que les polices cyber excluent souvent les perturbations d'infrastructures définies, avec pour exemples les réseaux électriques et les câbles sous-marins. Le texte de ce paragraphe ne nomme pas le cloud, et cette pièce n'en transpose pas la règle aux pannes de cloud. La note 24, rattachée à la phrase précédente du § 15, qui dit que les polices peuvent exclure des risques difficiles à modéliser ou à assurer, cite les pannes de cloud étendues parmi des risques corrélés dont la modélisation est très difficile, sans écrire qu'elles sont exclues. ## Ce que le document ne contient pas Le sigle « CBI » n'apparaît que trois fois, toutes au § 14 (p. 9). La CBI n'est nommée qu'au tableau 1 (p. 8) et au § 14. Le document ne donne aucun chiffre, pourcentage ni décompte de polices, d'assureurs ou de sinistres relatif à la CBI ou à l'avenant cloud. Cette pièce ne chiffre donc aucune part de polices comportant la CBI, ni aucune part de marché assurée. Une recherche plein texte du document ne trouve aucune phrase disant qu'une police « ne couvre jamais » ou « exclut toujours » la perte due à un prestataire de cloud. Le motif « never » compte deux occurrences (p. 2 et p. 11), aucune sur la CBI, et « always » une seule (p. 10), hors CBI. ## Ce qu'un lecteur qui doit décider peut en faire Ne pas citer le document comme une preuve qu'une police couvre, ou ne couvre pas, la perte causée par la panne d'un fournisseur de cloud : ses phrases sur la CBI disent « pas standard dans toutes les polices », « souvent » et « certains assureurs », et aucune ne tranche pour une police donnée. Pour la CBI, citer la formulation du § 14 sans la durcir : les pertes résultant d'incidents cyber qui touchent des prestataires de services tiers, une couverture qui n'est pas standard dans toutes les polices, une portée souvent limitée à des fournisseurs nommés. Ne pas écrire que Munich Re ou la Geneva Association l'écrivent : le document les cite, cette pièce ne les a pas lues. Pour le cumul, citer la panne de cloud comme un événement corrélé que le document dit pouvoir déclencher des pertes sur plusieurs polices, et les limites et exclusions comme des contrôles qu'il juge imparfaits. ## Mes réserves - **Quatre phrases et un tableau.** La CBI n'est nommée qu'au tableau 1 et au § 14. Les énoncés de la pièce sur la CBI reposent sur cette base étroite, sans aucun chiffre. - **Des renvois que je n'ai pas lus.** Munich Re (2020), Geneva Association (2026b), FSB (2023), ENISA (2024), AMWINS, CyberCube et Munich Re (2025), Beazley et al (2024), Tsohou et al (2023) sont cités par le document. Je rapporte ce que le document écrit, non ce que ces sources écrivent. - **« Named » reste sans définition.** Le document ne dit pas quels fournisseurs sont nommés, ni si les grands fournisseurs de cloud le sont. - **Incident cyber ou panne : non tranché.** Le document ne dit pas si une panne non malveillante d'un prestataire déclenche la CBI. - **Des opinions d'auteurs.** La page ii écrit que les opinions ne reflètent pas nécessairement celles de la BRI. Le document ne repose ni sur des polices ni sur des sinistres examinés. - **Du conditionnel sur le cumul.** « Can » et « could » : aucune perte de cumul n'y est observée ni chiffrée, et l'exemple d'AMWINS ne dit rien du traitement de la panne de 2025. - **Le cloud dans le § 15.** Les exclusions d'infrastructure du § 15 ne nomment que l'électricité et les câbles sous-marins ; la note 24, rattachée au même paragraphe, cite les pannes de cloud étendues comme un risque corrélé difficile à modéliser. ## Sources - [Currat, A., Perry, J. & Yong, J. (juin 2026). Cyber insurance unpacked: the corporate digital safety net. FSI Insights on policy implementation No 75, Financial Stability Institute, Banque des règlements internationaux. 44 pages, PDF ; folios imprimés cités (p. ii ; p. 2, résumé ; p. 5, méthode ; p. 8, § 12 et tableau 1 ; p. 9, § 14 et note 22 ; p. 10, § 15 et note 24 ; p. 15, note 36 et § 27 ; p. 17 et 18, § 36 ; p. 20, § 44 ; p. 21, § 46 ; p. 30, § 63) ; texte entier pour les recherches sur « CBI », « named », « never », « always », « exclu* », « Microsoft », « Azure », « programme » et « partnership ».](https://www.bis.org/fsi/publ/insights75.pdf) --- Publié sur Probans : https://probans.org/assurance/assurer-data-centers-ia/assurance-cyber-panne-cloud-interruption-contingente-fsi-bri/