Le logiciel devient un produit le 9 décembre 2026 : ce qui change pour l'underwriting entre RC professionnelle, RC produits et cyber

Depuis le 9 décembre 2026, le logiciel est un produit au sens de la directive (UE) 2024/2853. Ce qui relève de la RC professionnelle, de la RC produits et du cyber, où les trois garanties se chevauchent ou laissent des vides, et ce qui change dans les questions de souscription.

par cybercoverinsurance

Depuis le 9 décembre 2026, le logiciel mis sur le marché européen est un produit, et celui qui le fabrique répond des dommages causés par un défaut même sans faute. La question qui intéresse la souscription est autre : la manière de faire de l'underwriting change-t-elle ? Oui, mais moins que ne le disent les titres et à d'autres endroits que prévu. La directive ne crée pas de risque nouveau. Elle déplace une partie du risque logiciel du terrain du contrat et de la faute vers celui de la responsabilité sans faute envers les personnes physiques. Et elle le fait dans la zone frontière entre trois polices qui se sont jusqu'ici partagé le travail sans se parler : la RC professionnelle (ou tech E&O), la responsabilité civile produits et le cyber.

L'article distingue ce qui relève de chacune, où elles se chevauchent, où elles laissent un vide et ce qui change dans les questions de souscription.

Ce que dit vraiment le texte

Dans le texte, « art. » désigne une règle contraignante de la directive ; « considérant » désigne les paragraphes introductifs qui expliquent comment lire ces règles.

La directive (UE) 2024/2853 s'applique aux produits mis sur le marché ou mis en service après le 9 décembre 2026 et inclut expressément le logiciel dans la définition du produit (art. 2 et 4, EUR-Lex). Peu importe la manière dont le logiciel parvient à l'utilisateur : installé sur l'appareil, utilisé via internet ou dans le cloud, ou vendu sur abonnement comme service (software-as-a-service). Le considérant 13 le précise. Reste exclu le logiciel libre et open source développé ou fourni en dehors d'une activité commerciale (art. 2).

Cinq éléments comptent pour la souscription.

Qui peut demander réparation. Seules les personnes physiques, c'est-à-dire les particuliers (art. 5). Une entreprise lésée ne peut pas invoquer cette directive : pour elle, ce sont le contrat et les règles ordinaires qui s'appliquent.
Quels dommages. La directive n'admet que trois types de dommages (art. 6) : le décès ou les lésions corporelles, y compris les atteintes à la santé psychologique médicalement reconnues ; les dommages aux biens personnels, à l'exclusion du produit défectueux lui-même et des biens utilisés exclusivement à des fins professionnelles ; la destruction ou la corruption de données non utilisées à des fins professionnelles, par exemple des fichiers personnels effacés d'un ordinateur. Celui qui ne perd que de l'argent, par exemple parce qu'une activité est à l'arrêt, ne peut pas demander réparation sur cette base (considérant 24). Et une donnée effacée ou endommagée est autre chose qu'une donnée personnelle volée ou divulguée : ce cas reste régi par le RGPD (considérant 20).
Ce qui rend un produit défectueux. Parmi les facteurs figurent les exigences de cybersécurité pertinentes pour la sécurité et la capacité du produit à continuer d'apprendre (art. 7).
L'après-vente. La défense fondée sur l'absence du défaut au moment de la mise sur le marché ne vaut pas si le défaut tient au logiciel, à ses mises à jour ou à l'absence de mises à jour nécessaires à la sécurité, lorsqu'ils sont sous le contrôle du fabricant (art. 11, par. 2).
La preuve et le tiers. Le juge peut ordonner la production de preuves (art. 9), et le défaut comme le lien de causalité peuvent être présumés (art. 10). Si une autre personne contribue aussi au dommage, la responsabilité du fabricant envers la victime n'est pas réduite (art. 13). L'exemple est celui d'un attaquant qui exploite une faille du logiciel : le fabricant ne peut pas lui transférer sa responsabilité (considérant 55). La réparation peut en revanche être réduite en cas de faute de la victime, par exemple si elle n'a pas installé une mise à jour de sécurité.

Ceux qui répondent forment une chaîne : fabricant, fabricant du composant défectueux, importateur, mandataire, prestataire de services d'exécution des commandes et, dans certains cas, distributeurs et plateformes en ligne ; quiconque modifie substantiellement un produit hors du contrôle du fabricant devient fabricant (art. 8). Plusieurs opérateurs répondent solidairement (art. 12) et la responsabilité envers la victime ne peut pas être limitée par contrat (art. 15). La victime dispose de trois ans pour agir à compter du moment où elle connaît le dommage, le défaut et le responsable (art. 16). En tout état de cause, le droit s'éteint dix ans après la mise sur le marché du produit ; le délai passe à vingt-cinq ans pour les lésions qui ne se manifestent qu'après une longue période (considérant 57).

En Italie, le Conseil des ministres a approuvé définitivement le 28 octobre 2026 le décret législatif de transposition, qui modifie le Code de la consommation et supprime la franchise de 387 euros sur les dommages aux biens (eDotto).

Ce qui reste en dehors

Avant de parler de polices, il est utile de dire ce que la directive ne touche pas, car c'est la partie qui relativise beaucoup de lectures alarmistes.

L'arrêt d'une entreprise causé par une mise à jour défectueuse du fournisseur n'est pas un dommage réparable au sens de la directive : c'est une perte économique d'un professionnel. Il en va de même pour les données d'entreprise corrompues. Ces cas restent là où ils étaient : contrat, responsabilité ordinaire, donc RC professionnelle ou tech E&O du fournisseur et police cyber de l'assuré. Restent également en dehors les produits mis sur le marché avant le 9 décembre 2026, qui continuent de relever de l'ancien régime.

La directive pèse là où le logiciel touche des personnes et des biens de consommation : dispositifs médicaux connectés, automobile et mobilité, domotique et installations, électroménager, objets connectés portés, applications qui gèrent des fonctions de sécurité ou des données personnelles non professionnelles.

Trois polices, trois logiques

La responsabilité civile produits est conçue pour les dommages aux personnes et aux biens causés par un produit. C'est la police que la directive sollicite en premier. Le problème est que beaucoup d'éditeurs de logiciels ne la souscrivent pas, parce qu'ils se considèrent comme prestataires de services, et que de nombreux libellés décrivent le produit assuré en termes de biens physiques. Covington et Airmic recommandent d'élargir la définition du produit aux logiciels, mises à jour et composants, et de relire les définitions de dommage (Covington, Airmic). La troisième catégorie de dommage, les données non professionnelles, est la plus inconfortable pour cette police : il faut vérifier si le libellé RC traite les données comme un bien matériel ou les exclut, et Reed Smith prévoit que les assureurs réviseront les définitions de dommage matériel et de dommage aux données.

La RC professionnelle ou tech E&O est conçue pour la perte économique causée par une erreur dans la prestation professionnelle. Elle couvre bien le client B2B qui subit un arrêt, c'est-à-dire précisément la partie que la directive laisse de côté. Mais elle exclut ou limite souvent les lésions corporelles et les dommages matériels, qui sont le cœur de la directive. Covington suggère d'étendre la définition du dommage aux lésions corporelles, aux dommages matériels et au préjudice psychologique reconnu, et d'aligner la définition des services professionnels sur la notion de produit de la directive.

Le cyber est conçu pour l'incident informatique de l'assuré : frais de réponse, interruption, restauration de ses propres données, responsabilité pour violation de données et sécurité du réseau. En règle générale, il exclut les lésions corporelles et les dommages matériels. Covington et Airmic désignent le cyber et la tech E&O comme les garanties les plus adaptées au logiciel défectueux, mais avertissent que le risque de la directive peut ne pas s'insérer proprement dans les libellés cyber et que des sous-limites et exclusions spécifiques peuvent apparaître.

En résumé : la directive produit des dommages de RC produits (personnes et biens), souvent causés par des événements typiques du cyber (vulnérabilités, mises à jour), à la charge d'acteurs qui achètent surtout de la RC professionnelle. Aucune des trois polices n'a été rédigée pour ce croisement.

Les chevauchements, un par un

1. Lésion causée par une vulnérabilité exploitée. C'est le cas le plus net. Un appareil connecté est compromis et une personne est blessée. Pour la directive, le fabricant répond et l'intervention de l'attaquant ne réduit pas sa responsabilité (art. 13). La RC produits est la police naturelle pour la lésion, mais elle peut contenir des exclusions pour actes informatiques malveillants. Le cyber connaît l'événement mais exclut la lésion. La RC professionnelle peut exclure les deux. Le résultat possible n'est pas un chevauchement mais un vide, et c'est la forme la plus concrète de silent cyber à l'envers : un risque cyber qu'aucune police n'entend couvrir.

2. Mise à jour non effectuée. La directive traite l'absence d'une mise à jour de sécurité comme une source de défaut (art. 11). Pour la RC professionnelle, c'est une omission dans la prestation ; pour la RC produits, c'est un produit défectueux. Les deux polices ont des déclencheurs différents : la RC produits fonctionne souvent selon le fait dommageable ou la manifestation du dommage, tandis que le cyber et la tech E&O sont en général en base réclamation avec une date de rétroactivité (Reed Smith). Avec une forclusion pouvant aller jusqu'à vingt-cinq ans, le même défaut peut déclencher deux polices à des années différentes, ou aucune si la rétroactivité ou la garantie subséquente ne remontent pas assez loin.

3. Données du consommateur corrompues. Une mise à jour défectueuse efface les données personnelles non professionnelles de nombreux utilisateurs. Pour la directive, c'est un dommage réparable. La RC produits peut ne pas le considérer comme un dommage matériel. Le cyber couvre la responsabilité envers les tiers en cas d'incident de sécurité, mais une erreur de programmation sans attaque peut ne pas le déclencher. La tech E&O répond à l'erreur, mais peut exclure les dommages aux tiers qui ne sont pas clients. Le risque est double ici : un vide si aucun libellé ne reconnaît la donnée comme dommage, un chevauchement si deux polices la reconnaissent et se disputent le sinistre au moyen des clauses d'autres assurances.

4. La chaîne des recours. Le fabricant de l'appareil indemnise le consommateur avec sa propre RC produits, puis se retourne contre le fournisseur du logiciel. Pour le fournisseur, ce recours arrive sous la forme d'une réclamation contractuelle d'un client professionnel : c'est une perte économique, donc le terrain de la RC professionnelle. Le même défaut produit ainsi deux sinistres sur deux polices de deux assurés différents, peut-être auprès du même assureur. La directive ajoute un détail : le fabricant qui intègre le logiciel d'une micro ou petite entreprise n'a pas de recours s'il y a renoncé par contrat (art. 12, par. 2). Pour la souscription de la RC professionnelle du petit fournisseur, les clauses de garantie et de renonciation dans les contrats clients deviennent une donnée de risque ; pour la souscription de la RC produits du client, la renonciation supprime une source de récupération.

5. Frais de défense. Les présomptions et la production de preuves augmentent le coût et la durée des procès. Covington et Reed Smith recommandent de revoir les plafonds des frais de défense. Si trois polices peuvent être mises en cause, il importe de savoir qui dirige la défense et comment les coûts sont répartis : faute de règles claires, le risque est un litige entre assureurs pendant que l'assuré attend.

6. Agrégation. Une mise à jour défectueuse distribuée sur des milliers d'appareils est, pour la RC produits, un possible sinistre sériel ; pour la tech E&O, une série de réclamations liées ; pour le cyber, un événement systémique. Chaque police a sa propre définition du sinistre unique. Les mêmes milliers de victimes peuvent valoir un plafond dans une police et de nombreux plafonds dans une autre. Pour l'assureur qui souscrit plusieurs lignes sur le même client, c'est un cumul non mesuré.

Ce qui change dans l'underwriting

La question « produit ou service » perd de sa valeur. Jusqu'ici, la distinction décidait de la police à proposer. Pour la directive, cette distinction ne compte plus : même le logiciel vendu comme service sur abonnement est un produit (considérant 13). La souscription doit plutôt demander ce que fait le logiciel, sur quels appareils il fonctionne et s'il peut causer des dommages aux personnes, aux biens ou aux données des consommateurs.

L'assiette d'exposition change. Le chiffre d'affaires mesure mal ce risque. Comptent davantage la base installée, le nombre d'appareils connectés, la présence de fonctions pertinentes pour la sécurité et la durée du support. Un logiciel à faibles revenus installé sur des millions d'appareils pèse plus qu'un logiciel de gestion très vendu mais utilisé uniquement par des entreprises.

Le cycle de vie entre dans le questionnaire. Si la mise à jour non effectuée est un défaut, la politique de mises à jour devient une donnée de souscription : pendant combien d'années les correctifs de sécurité sont garantis, en combien de temps les vulnérabilités connues sont corrigées, comment on documente que l'utilisateur les a reçus. Le Cyber Resilience Act ira dans le même sens, et la violation de ses exigences obligatoires peut faire présumer le défaut (art. 10).

La queue s'allonge. Avec des délais de dix et vingt-cinq ans, la rétroactivité et la garantie subséquente deviennent des clauses centrales pour ceux qui vendent de la tech E&O et du cyber aux fabricants d'appareils et de logiciels.

Le programme se lit dans son ensemble. Marsh observe que le logiciel en tant que produit pourrait conduire à réunir des éléments de tech PI, de RC produits et de cyber (Marsh). Que l'on aboutisse ou non à une police combinée, la souscription doit voir les trois libellés de l'assuré et savoir lequel répond à quel scénario.

Ce qu'il faut apporter aux renouvellements

Les logiciels ou services de l'assuré peuvent-ils causer des lésions corporelles, des dommages aux biens de consommateurs ou la perte de données non professionnelles ? Sur quels produits et avec quelle base installée ?
La description du risque dans la RC produits inclut-elle les logiciels, les mises à jour et les services numériques associés, y compris fournis dans le cloud ?
La tech E&O exclut-elle les lésions corporelles et les dommages matériels ? Si oui, quelle police couvre le scénario de la lésion causée par un défaut logiciel ?
La RC produits contient-elle des exclusions pour actes informatiques malveillants ou pour les données ? Le cyber exclut-il les lésions corporelles et les dommages matériels ? Le scénario de la vulnérabilité exploitée qui blesse quelqu'un est-il couvert quelque part ?
Pendant combien d'années l'assuré garantit-il des mises à jour de sécurité, et en combien de temps corrige-t-il les vulnérabilités connues ?
Quels contrats clients contiennent des renonciations à recours ou des clauses de garantie, et avec quels plafonds ?

Au niveau du portefeuille, la question est celle du cumul entre lignes. Combien d'assurés, en RC produits, tech E&O et cyber, dépendent du même composant logiciel ou du même fournisseur de mises à jour ? Un défaut dans ce composant ne produit pas un sinistre : il en produit un par ligne et par maillon de la chaîne.

Cet article a une visée informative et ne constitue pas un conseil juridique ni un conseil en assurance.