Risque cyber catastrophique et cat bonds

Ce qu'est le risque catastrophique cyber, comment assureurs et réassureurs se protègent contre le cumul et comment fonctionnent les cyber cat bonds : triggers, principales émissions de 2023 à 2026, prix, limites et perspectives.

Une seule cyberattaque peut toucher des milliers d'entreprises le même jour. Pour un assureur cyber, c'est ce scénario qui pèse vraiment, davantage que les sinistres isolés. Les cat bonds, des obligations qui transfèrent le risque catastrophique aux investisseurs, sont l'un des outils par lesquels le marché tente de le rendre soutenable.

Cet article explique ce qu'est un risque catastrophique cyber, comment assureurs et réassureurs s'en protègent et comment fonctionnent les cyber cat bonds, avec des données de marché à jour en 2026.

Ce qu'est le risque catastrophique cyber

Le risque catastrophique cyber est un événement qui génère des pertes simultanées chez de nombreux assurés et de nombreux assureurs. En dommages aux biens, la cause est un ouragan ou un tremblement de terre ; en cyber, c'est un logiciel malveillant qui se propage, la compromission d'un logiciel très répandu ou la panne d'un fournisseur technologique dont dépendent des milliers d'entreprises.

La différence avec le risque naturel, c'est que le cyber n'a pas de frontières géographiques. Deux entreprises sur des continents différents peuvent être touchées par le même événement si elles utilisent le même cloud ou le même logiciel. C'est pourquoi le problème central est le cumul : la somme des expositions corrélées en portefeuille.

Quelques cas récents montrent l'ampleur du phénomène :

NotPetya (2017) : premier événement intégré à l'indice catastrophe cyber de PCS (Verisk), avec une perte assurée estimée à 3 milliards de dollars (Artemis). De nombreux assureurs dommages et responsabilité ont refusé les sinistres en invoquant l'exclusion de guerre (Carnegie Endowment).
MOVEit et Change Healthcare : tous deux désignés par PCS comme Cyber Catastrophe Loss Event.
CrowdStrike (2024) : la panne informatique mondiale a elle aussi été classée comme événement catastrophique, avec des pertes assurées attendues supérieures à 250 millions de dollars. Parametrix a estimé une fourchette entre 540 millions et 1,08 milliard (Artemis).

Pour entrer dans cette catégorie selon PCS, l'événement doit toucher plusieurs assurés et plusieurs assureurs. Le cas CrowdStrike confirme en outre qu'une catastrophe cyber ne nécessite pas d'attaque : une erreur dans une mise à jour logicielle suffit.

Comment entreprises et assureurs se protègent

La protection contre le risque catastrophique fonctionne par couches : chaque niveau conserve une partie du dommage et transfère le reste au suivant.

L'entreprise réduit la probabilité et l'impact des incidents par la cybersécurité, les plans de continuité et la gestion des fournisseurs. Elle conserve une partie du dommage via les franchises et les plafonds.
L'assureur direct sélectionne les risques, applique des sous-limites et des exclusions (par exemple guerre et panne d'infrastructures critiques) et surveille le cumul de son propre portefeuille.
Le réassureur prend une part du portefeuille par des traités proportionnels ou protège l'assureur contre les pertes de pointe par des couvertures en excédent de sinistre (excess of loss).
Le rétrocessionnaire protège à son tour le réassureur.
Les marchés de capitaux absorbent les couches les plus hautes et les moins probables via les Insurance-Linked Securities, dont les cat bonds sont la forme principale.

Le dernier niveau est le plus récent en cyber. Il existe parce que la capacité de réassurance traditionnelle pourrait, à elle seule, ne pas suffire face à un événement extrême. Un exemple : Beazley déclare plus de 1 milliard de dollars de protection cyber en excédent de sinistre, dont 670 millions obtenus via des cat bonds (Beazley).

Ce que sont les cat bonds

Un cat bond est une obligation que l'investisseur perd, en tout ou en partie, si une catastrophe définie dans le contrat survient. En échange, il perçoit un rendement plus élevé que celui d'un titre ordinaire.

Le mécanisme fait intervenir trois acteurs :

Le sponsor (assureur ou réassureur) cherche une protection et paie une prime.
Un véhicule dédié (SPV), généralement basé aux Bermudes, conclut avec le sponsor un contrat de réassurance et émet les obligations.
Les investisseurs (fonds ILS, fonds de pension, gestionnaires d'actifs) achètent les obligations. Le capital levé est déposé sur un compte de garantie et investi en titres peu risqués.

Tant que l'événement ne survient pas, l'investisseur encaisse la prime plus le rendement du collatéral et récupère son capital à l'échéance. Si l'événement survient, le collatéral sert à payer le sponsor. L'avantage pour le sponsor est une couverture entièrement collatéralisée, sans risque de crédit sur la contrepartie, et souvent pluriannuelle.

L'élément qui décide si l'on paie, et combien, est le trigger (déclencheur) :

Indemnity : paie sur les pertes réelles du sponsor. Couverture précise, mais règlement lent.
Industry loss : paie sur la perte estimée de l'ensemble du marché. Plus transparent pour l'investisseur, mais le sponsor supporte un risque de base.
Paramétrique : paie au dépassement d'un seuil objectif (par exemple les heures d'indisponibilité d'un cloud). Paiement rapide, mais il peut s'écarter du dommage réel.

Le risque de base (basis risk) est l'écart entre ce que paie l'obligation et la perte réelle du sponsor. Une étude de Princeton de 2026 soutient que, pour le cyber, la meilleure solution est une combinaison de triggers indemnity et paramétriques (Princeton).

Les cyber cat bonds

Les premiers cyber cat bonds sont arrivés en 2023, d'abord sous forme de placements privés puis, au dernier trimestre, sous forme d'émissions 144A destinées au marché institutionnel (Appleby). Selon AM Best, la capacité des cyber cat bonds 144A est passée de 785 millions de dollars fin 2024 à 1,235 milliard fin 2025 (Artemis).

Les principales émissions montrent comment le marché a expérimenté des structures différentes :

Beazley, PoleStar Re 2026-1, 300 millions de dollars : le plus important à ce jour ; le premier avec trois sous-couches, couverture jusqu'à fin 2028.
Chubb, East Lane Re 2026-1, 150 millions de dollars : premier cyber cat bond sous forme annual aggregate.
Hannover Re, Cumulus Re 2026-1, 35 millions de dollars : trigger paramétrique sur la panne du cloud.
AXIS, Long Walk Re 2024-1, 75 millions de dollars : indemnity par événement sur des événements systémiques.
Swiss Re, Matterhorn Re 2023-1, 50 millions de dollars : premier avec un trigger industry loss, seuil de 9 milliards de dollars de perte du marché américain.

Côté prix, la prime de nouveauté exigée par les investisseurs s'est en grande partie résorbée, selon Gallagher Securities (Artemis). Les multiples restent toutefois plus élevés que ceux des cat bonds dommages, dont la moyenne pondérée en 2025 était de 2,97 selon AM Best.

Limites et perspectives

Le cyber reste une niche du marché des cat bonds. En juin 2026, le marché total pesait 65,6 milliards de dollars (Artemis), dont 1,3 % pour le cyber. Dans les nouvelles émissions de 2026, sa part est tombée à 0,19 %.

Selon S&P, aucun nouveau sponsor n'est entré en 2026, tandis qu'AXIS et Swiss Re n'ont pas renouvelé leurs émissions publiques (Artemis). Les principaux obstacles sont au nombre de trois :

Définition de l'événement : déterminer quand plusieurs incidents constituent un seul événement cyber fait encore débat.
Modélisation : l'historique est court et le risque évolue vite avec la technologie et les techniques d'attaque.
Exclusions : guerre, infrastructures critiques et agrégation doivent être cohérentes entre police, traité et obligation, faute de quoi un risque de base apparaît.

Les perspectives restent positives. Beazley a annoncé qu'à partir de 2026 il se lancera aussi dans la titrisation des risques cyber avec un fonds ILS dédié (Beazley). S&P observe que, si la capacité de réassurance traditionnelle venait à se réduire, les cyber ILS pourraient croître rapidement.

Conclusions

Les cat bonds ne remplacent ni la prévention ni la réassurance traditionnelle : ils se placent au dernier niveau de la chaîne, là où l'événement est rare mais potentiellement destructeur. En cyber, ils ont déjà montré qu'ils pouvaient fonctionner avec des triggers différents et des structures de plus en plus élaborées. Leur croissance dépendra de trois facteurs : des modèles plus fiables, des définitions d'événement partagées et un marché de l'assurance cyber assez large pour générer une demande stable de capacité.

Pour les entreprises assurées, le message est indirect mais concret : une chaîne de transfert du risque plus solide signifie une capacité d'assurance plus stable, même après un événement majeur.