Article presse : la cyberassurance atteint un point d’inflexion alors que l’IA amplifie les risques

Malgré la hausse des sinistres, l’augmentation des dépendances numériques ainsi que des expositions réglementaires et liées à l’intelligence artificielle, les tarifs de la cyberassurance continuent de s’assouplir en Europe, écrit Oliver Delvos, responsable Cyber & Tech E&O Europe chez Liberty Specialty Markets (LSM).

Publié pour la première fois dans Global Reinsurance et reproduit avec l’aimable autorisation de la rédaction.

Alors même que le risque cyber s’intensifie sous l’effet des menaces alimentées par l’intelligence artificielle, de l’expansion des dépendances numériques et de l’évolution des cadres réglementaires, le marché poursuit son assouplissement. Les primes continuent de baisser, la concurrence demeure vive et l’étendue des garanties s’élargit. Ce décalage entre l’évolution des risques et celle des prix indique que le secteur approche d’un point d’inflexion critique.

Au cours de l’année écoulée, le marché européen de la cyberassurance a connu un assouplissement continu. L’abondance des capacités disponibles, combinée à la perception du cyber comme un relais de croissance attractif, a entraîné une baisse des primes et un élargissement des conditions de couverture. Cela ne doit toutefois pas être interprété comme le signe d’une amélioration des fondamentaux du risque. Au contraire, la sinistralité continue d’évoluer tant en fréquence qu’en gravité.

Cette dynamique contraste avec les premiers signes d’un changement de tendance observés sur le marché américain, où les tarifs se sont stabilisés et, dans certains cas, sont même repartis à la hausse. Dans le même temps, la rigueur de souscription y reste largement préservée. Cette divergence croissante dessine un paysage mondial incohérent qui pourrait, à terme, engendrer davantage de volatilité.

À mesure que les capacités disponibles se déconnectent des risques sous-jacents, le marché semble se rapprocher d’un plancher tarifaire. L’histoire montre qu’une correction du marché pourrait s’ensuivre, même s’il reste à voir si celle-ci atteindra l’ampleur du cycle de durcissement observé en 2020.

L’incertitude est également renforcée par la perspective d’une consolidation entre assureurs et d’investissements accrus dans les technologies de l’assurance. À mesure que les marges se resserrent, seuls les assureurs capables d’associer taille critique et capacités sophistiquées d’évaluation des risques resteront compétitifs.

L’intelligence artificielle ne crée pas à proprement parler de nouvelles menaces cyber ; elle amplifie et accélère celles qui existent déjà. La véritable nouveauté réside toutefois dans le passage de l’automatisation à l’autonomie. Les cybercriminels exploitent désormais l’IA pour accroître considérablement la vitesse, l’ampleur et l’efficacité de leurs attaques, notamment en identifiant les vulnérabilités et en automatisant certaines phases d’exploitation.

Les outils basés sur l’IA testent les points d’entrée et exécutent de plus en plus d’attaques avec une intervention humaine minimale. Ils sont capables de combiner plusieurs vulnérabilités de faible criticité pour créer une chaîne d’exploitation cohérente. Cette évolution réduit le coût des attaques et les barrières à l’entrée de la cybercriminalité, permettant à des acteurs moins expérimentés d’agir avec une efficacité inédite.

Les implications sont considérables. Des scénarios de pertes autrefois réservés aux grandes entreprises deviennent progressivement des risques standards pour les entreprises de taille intermédiaire et les PME, à mesure que ces outils deviennent plus accessibles. La démocratisation de l’IA accroît ainsi non seulement la taille de la surface d’attaque, mais aussi son accessibilité.

Le profil des cyberpertes évolue également. Les incidents traditionnels, tels que les interruptions de systèmes ou les violations de données, sont de plus en plus complétés, voire remplacés, par des pertes résultant de la compromission de comptes utilisateurs légitimes. Ces situations peuvent conduire à des accès non autorisés aux systèmes, à l’exfiltration de données, à des fraudes ou encore à des défaillances de gouvernance.

Parallèlement, les attaquants remettent au goût du jour certaines tactiques plus anciennes. Les situations dans lesquelles des identifiants compromis sont utilisés pour exécuter des charges de calcul intensives sur les infrastructures des victimes réapparaissent sous de nouvelles formes. Ces attaques peuvent générer d’importantes pertes financières via l’augmentation des coûts énergétiques et informatiques, rappelant les précédentes vagues d’exploitation.

Nous observons également des méthodes d’attaque toujours plus sophistiquées, notamment l’usurpation d’identité alimentée par l’IA, les documents falsifiés et les attaques visant l’authentification multifacteur via des mécanismes de réinitialisation. Ces évolutions mettent les contrôles de sécurité traditionnels sous pression. Elles renforcent également la nécessité de disposer de dispositifs de sécurité efficaces et correctement déployés. De plus, les cycles de correction des vulnérabilités devront encore être raccourcis afin de réduire au minimum les fenêtres d’exposition.

Parallèlement, la pression réglementaire continue de s’intensifier, particulièrement en Europe. De nouveaux cadres réglementaires deviennent un moteur essentiel, souvent sous-estimé, des investissements dans la résilience informatique et la sécurité des chaînes d’approvisionnement.

Une série d’évolutions législatives, notamment l’AI Act de l’Union européenne, le Cyber Resilience Act, la directive NIS2, le Digital Operational Resilience Act (DORA) ainsi que les révisions de la directive sur la responsabilité du fait des produits, transforme profondément les cadres de gouvernance et de responsabilité.

Dans le même temps, le RGPD devrait retrouver une importance accrue, les outils fondés sur l’IA facilitant l’identification, le suivi et l’automatisation croissante des réclamations. À mesure que la jurisprudence se développe et quantifie plus clairement les préjudices, les expositions à la responsabilité, tant dans les lignes cyber que dans les assurances de responsabilité professionnelle technologique (Errors & Omissions), devraient augmenter. Les conséquences pour les défaillances de conformité et les frais de défense pourraient être significatives.

Comme DORA l’impose déjà aux institutions financières, la question de la résilience s’étend désormais pleinement aux prestataires IT tiers et aux fournisseurs de services managés, qui constituent des points critiques de défaillance. Le risque lié à la chaîne d’approvisionnement ne concerne plus uniquement les prestataires numériques ; il englobe également les fournisseurs physiques et les dépendances opérationnelles. Un incident cyber touchant un maillon de la chaîne peut ainsi se propager à de nombreuses organisations et provoquer des perturbations majeures dans les environnements numériques comme physiques.

Les couvertures d’assurance ont évolué pour refléter cette réalité. Toutefois, avec l’élargissement des garanties vient une complexité accrue. Les assureurs doivent désormais dépasser l’évaluation individuelle des risques et adopter une vision plus approfondie de leur portefeuille, intégrant les dépendances et les expositions systémiques liées aux différents scénarios de chaîne d’approvisionnement.

Comme évoqué précédemment, l’un des développements les plus marquants de ces dernières années est l’émergence du risque cyber-physique. Les incidents cyber sont de plus en plus capables de provoquer des dommages tangibles, allant de la destruction de biens aux arrêts d’activité, y compris dans les environnements industriels intégrés et les systèmes robotisés.

Cette tendance est particulièrement visible dans les environnements où les technologies opérationnelles (OT) sont étroitement connectées aux systèmes informatiques. Les pertes d’exploitation consécutives à des incidents cyber deviennent plus fréquentes et souvent plus sévères.

La souscription de ces risques cyber-physiques présente toutefois des défis particuliers. Les données historiques demeurent limitées, les méthodes d’évaluation varient selon les branches d’assurance et les frontières traditionnelles entre assurances cyber, dommages aux biens et, dans certains cas, assurances énergie deviennent de plus en plus floues. Le constat est clair : le risque cyber ne peut plus être souscrit de manière isolée. Il doit être appréhendé comme un élément d’un écosystème de risques plus large. Les assureurs ont besoin d’une surveillance continue, d’une visibilité en temps réel et d’analyses avancées pour comprendre et gérer efficacement ces expositions.

La sélection des risques est plus cruciale que jamais. Certains assureurs de premier plan investissent massivement dans des outils propriétaires, des analyses de vulnérabilité pilotées par l’IA et des capacités intégrées d’ingénierie du risque cyber afin d’améliorer leurs prises de décision. La capacité à combiner données, technologie et expertise constituera un facteur déterminant d’excellence en souscription dans les années à venir.

L’une des questions les plus complexes et encore en évolution pour le secteur concerne l’impact de l’intelligence artificielle sur les portefeuilles d’assurance. Tout comme l’industrie s’était interrogée sur le phénomène du « silent cyber » il y a une décennie, l’attention se porte désormais sur la manière dont les risques liés à l’IA modifient le profil de risque d’autres branches d’assurance.

Les responsabilités liées à l’IA pourraient déjà s’accumuler dans plusieurs lignes d’activité, souvent sans être explicitement identifiées ni correctement tarifées. Cela soulève des interrogations plus larges quant à la manière dont ces expositions sont détectées et gérées.

Même si ce sujet reste en cours de réflexion et ne fait pas encore l’objet d’une position de marché pleinement définie, il souligne la nécessité d’une plus grande clarté sur l’interaction entre les technologies émergentes et les couvertures d’assurance existantes.

À mesure que le marché approche d’un éventuel tournant, la discipline et les fondamentaux deviennent essentiels. Les assurés doivent accorder la priorité aux bonnes pratiques de cybersécurité, à une gestion robuste des identités et des accès, à une politique rigoureuse de correctifs, à la surveillance des équipements en périphérie du réseau ainsi qu’à une gestion efficace des changements.

Pour les assureurs, l’avenir ne dépendra pas de la quantité de capacité déployée, mais de leur capacité à comprendre, tarifer et allouer intelligemment les risques. Cela implique d’anticiper les menaces émergentes, de naviguer dans un environnement réglementaire complexe et d’investir dans les outils et les talents nécessaires pour garder une longueur d’avance.

Le marché européen de la cyberassurance entre dans une période d’incertitude accrue. Mais cette incertitude offre également des opportunités à ceux qui sauront s’adapter. Dans un monde façonné par l’intelligence artificielle, les systèmes interconnectés et l’évolution des responsabilités, le succès dépendra de la clarté, de l’agilité et, surtout, d’une compréhension approfondie du risque sous toutes ses formes.