Ontario, rétention tranchée en cyberassurance, l’avenant rançongiciel prime, ce qui surprend les assurés

La Cour d’appel de l’Ontario a tranché un litige de cyberassurance entre Panasonic Canada et XL Specialty Insurance Company sur une question simple, mais lourde de conséquences: quelle rétention appliquer après une attaque par rançongiciel. Le tribunal retient 3 M$ US via un avenant dédié, et non 1,5 M$ US prévu par la police de base.

Le dossier oppose une logique de lecture police de base d’abord à une logique avenant spécialisé prioritaire. Dans cette affaire, l’issue a un effet immédiat: selon la Cour, la réclamation de l’assuré tombe sous la rétention la plus élevée, ce qui laisse le sinistre entièrement à sa charge.

Le débat dépasse le seul cas Panasonic. Il touche le cœur des contrats cyber: la hiérarchie entre clauses générales et avenants, la cohérence des définitions, et la façon dont les assureurs isolent le risque rançongiciel, devenu un poste de pertes majeur.

Deux rétentions, une seule facture: 1,5 M$ US ou 3 M$ US

Le litige part d’un écart net entre deux niveaux de rétention. La police cyber de base (la Base Policy ) prévoyait une rétention de 1,5 M$ US pour chaque garantie distincte. Mais un avenant rançongiciel, l’Endorsement #023, fixait une rétention de 3 M$ US pour les pertes liées à un événement de rançongiciel.^[1]

Concrètement, la question juridique est devenue une question de mécanique contractuelle: l’assuré pouvait-il rester sur la rétention de la police de base, ou l’avenant remplaçait-il la rétention pour ce type de sinistre? La Cour d’appel de l’Ontario a retenu la seconde lecture et a donné raison à XL Specialty.^[1]

Point clé: la décision ne se limite pas à un arbitrage financier. Elle valide une approche de marché où le rançongiciel est traité comme un risque à part, avec ses propres définitions et sa propre structure de rétention. Pour les entreprises, cela renforce l’intérêt de relire l’architecture complète du contrat, et pas seulement la page conditions particulières.

Autre point. Cette affaire rappelle que la rétention n’est pas un détail administratif: elle décide du moment où l’assureur commence à payer, et du niveau d’autoassurance implicite supporté par l’assuré. Ici, l’écart entre 1,5 M$ US et 3 M$ US change tout.^[1]

Panasonic Canada contre XL Specialty: chronologie d’un dossier monté jusqu’en appel

Le contrat en cause couvrait la période du 1er avril 2021 au 1er avril 2022. L’assuré, Panasonic Canada Inc., était couvert par XL Specialty Insurance Company via une police cyber ( Base Policy ).^[1]

Une première décision a été rendue devant la Superior Court of Justice of Ontario. La juge Janet Leiper a donné raison à Panasonic dans un jugement daté du 30 juillet 2025. Elle a déclaré que la rétention applicable était celle de la police de base, soit 1,5 M$ US, et a ordonné à l’assureur de payer le montant convenu au-delà de cette rétention.^[1]

Sa lecture reposait sur l’interprétation d’une clause liée au Ransomware Event Loss dans l’avenant. Selon cette analyse, les définitions de l’Endorsement #023 ne s’appliquaient qu’aux demandes présentées au titre de l’avenant lui-même, pas aux garanties de la police de base.^[1]

Et après? XL Specialty a fait appel. La Cour d’appel de l’Ontario a finalement infirmé l’approche de première instance sur le point central de la rétention, en déclarant que la rétention de 3 M$ US de l’Endorsement #023 s’appliquait à la réclamation de Panasonic, ce qui la rend entièrement autoassurée au regard de ce seuil.^[1]

Pourquoi l’Endorsement #023 a primé: hiérarchie des clauses et lecture rançongiciel

Le cœur de la décision tient à la manière dont un avenant spécialisé interagit avec une police de base. Dans les programmes cyber, les assureurs ajoutent des avenants pour isoler certains scénarios, comme le rançongiciel, avec un cadrage plus strict: définitions, sous-limites, exclusions, conditions de déclenchement, et rétention dédiée.

Dans ce dossier, la Cour d’appel a estimé que l’Endorsement #023 n’était pas un simple ajout facultatif, mais une brique contractuelle qui gouverne le traitement du sinistre lorsqu’il correspond à l’événement décrit. Résultat: la rétention de 3 M$ US s’impose, même si la police de base affiche 1,5 M$ US par garantie.^[1]

Le problème? Beaucoup d’assurés lisent les avenants comme des annexes secondaires. Or, en cyber, ce sont souvent les avenants qui portent les arbitrages les plus sensibles: rançongiciel, interruption d’activité, actes d’extorsion, conditions de sécurité, ou exigences de notification.

Cette affaire illustre aussi un point de méthode: la bataille se joue sur les mots. Une expression comme Ransomware Event Loss peut devenir la clé de voûte de la rétention applicable. Une définition large bascule plus de pertes dans le champ de l’avenant, et donc dans sa rétention propre.

Côté marché, la logique est lisible: le rançongiciel concentre des coûts directs (remédiation, restauration, réponse à incident) et des coûts indirects (arrêts, pertes d’exploitation). Les assureurs cherchent à mieux contrôler leur exposition en imposant une structure distincte, dont une rétention plus élevée est un levier.

Ce que la décision change pour les entreprises et les courtiers en cyberassurance

Premier effet: cette décision renforce la valeur pratique de la revue contractuelle avant souscription et au renouvellement. Une police cyber ne se comprend pas en lisant uniquement les garanties. Il faut cartographier la hiérarchie: conditions générales, conditions particulières, puis avenants, et vérifier comment chaque bloc redéfinit les seuils financiers.

Concrètement, l’attention doit porter sur trois zones. D’abord, l’alignement entre les définitions (événement, incident, extorsion, rançongiciel) et les garanties mobilisables. Ensuite, la cohérence entre rétentions et déclencheurs, surtout quand plusieurs rétentions coexistent. Enfin, la façon dont l’avenant prend la main sur la police de base en cas de sinistre qualifié.

Pour les courtiers, le dossier rappelle l’importance de documenter la compréhension partagée de la structure du contrat. La négociation ne se limite pas au montant de prime. Elle porte aussi sur l’architecture: seuils, rétentions et articulation des annexes. Une mauvaise lecture peut transformer une couverture attendue en autoassurance de facto.

Pour les directions financières, le signal est clair: une rétention plus élevée sur le rançongiciel doit être intégrée dans la stratégie de gestion du risque. Cela touche les réserves internes, les plans de continuité et le pilotage des prestataires de réponse à incident. Une rétention n’est pas seulement un chiffre, c’est un scénario budgétaire.

Reste un détail. Le contentieux montre aussi que les litiges cyber se déplacent vers des questions techniques de rédaction. Le juge ne crée pas la couverture, il arbitre un texte. Plus le texte est segmenté entre police de base et avenants, plus le risque d’interprétations concurrentes augmente.

Dans un contexte où les cybermenaces se complexifient, selon Portail de l’assurance, la décision ontarienne s’inscrit dans une dynamique de contrats plus encadrés, où le rançongiciel fait l’objet de traitements spécifiques et de seuils dédiés.^[2]

Rétention rançongiciel: les points à retenir

• Une police de base peut coexister avec un avenant qui modifie l’économie du sinistre.
• Une clause de type Endorsement #023 peut imposer sa rétention si l’événement correspond à sa définition.
• Un différend sur la rétention peut suffire à laisser une réclamation entièrement autoassurée.

Ce que les contrats cyber doivent sécuriser

• La cohérence entre définitions et garanties.
• La hiérarchie entre police et avenants en cas de sinistre qualifié.
• La lisibilité des rétentions par scénario, surtout pour le rançongiciel.