Cyberassurance : quand la panne vient du client

Après la cyberattaque, qui paie ? · Volet 3/8

Du fournisseur Autins aux concessions Vertu, l’arrêt de JLR révèle des dépendances que les contrats peuvent traiter différemment. Les indemnisations de Vertu et de Marks & Spencer permettent de suivre le passage de la perte assurée à l’argent disponible.

Le 8 octobre 2025, dans ses résultats semestriels, Vertu Motors décrit les conséquences de la cyberattaque contre Jaguar Land Rover sur ses dix concessions de la marque. L’approvisionnement en voitures et en pièces a été perturbé, avec les systèmes dont dépend leur activité. Le distributeur évalue alors jusqu’à 5,5 millions de livres l’effet possible sur son bénéfice annuel ajusté avant impôt. Il examine aussi une autre voie : son assurance comprend une garantie d’interruption liée aux systèmes de tiers. 1

Au printemps suivant, une partie du dommage a trouvé son payeur. Vertu annonce un règlement net de 3,4 millions de livres, puis fait état d’un encaissement en mai. Entre ces publications, il a fallu déterminer le montant accepté et appliquer la franchise ; un acompte avait également été annoncé. Cette suite de documents permet de suivre une indemnisation réelle, avec davantage de précision que la seule annonce d’un sinistre assuré. 2 3 14

Les deux premiers volets suivaient la panne à travers les usines et la trésorerie de JLR, puis les commandes et le crédit des fournisseurs. L’assurance ajoute une question : à quel endroit de cette chaîne se trouve l’entreprise qui demande réparation ? Un équipementier attend les achats du constructeur ; un concessionnaire attend ses véhicules et ses pièces. La dépendance économique est forte des deux côtés, mais les contrats peuvent donner des sens différents à ces relations. C’est dans cet écart, entre l’organisation de la production et celle des garanties, que se joue une partie de la facture.

Autour de JLR, le sens de la dépendance change

Pour comprendre le problème, il faut regarder JLR depuis ses partenaires. En septembre 2025, Autins décrit les effets de l’arrêt de son client sur sa propre activité et annonce des adaptations du temps de travail, des achats de matières et des dépenses. Chez Vertu, la perturbation arrive par l’autre extrémité de la relation commerciale : elle touche ce que le constructeur fournit aux concessions. Le même groupe industriel occupe donc deux places différentes dans les dossiers que pourraient constituer ses partenaires. 4 1

Un contrat intitulé « pertes d’exploitation dépendantes » semble, à première lecture, pouvoir embrasser cette situation. Pourtant, le mot dépendance y sert à délimiter une garantie. Dans son guide public, Beazley présente comme cas potentiellement couvert l’arrêt d’un fournisseur qui bloque la production de l’assuré. Le même document distingue le client dont la panne fait disparaître la demande : dans cet exemple, la relation sort de la définition retenue. 5

La différence devient intuitive lorsqu’on suit la commande. En amont du constructeur, l’entreprise possède encore son savoir-faire et ses moyens de production, mais son débouché se dérobe. En aval, un distributeur peut conserver ses clients tout en perdant l’accès aux biens ou aux services nécessaires pour les servir. Dans les deux cas, le revenu souffre. Le chemin qui relie l’incident à cette perte change cependant, et ce chemin compte pour lire la garantie.

Le périmètre varie aussi entre assureurs et entre versions. Le modèle britannique Hiscox daté d’avril 2023 vise, pour cette dépendance, des prestations informatiques ou des fonctions externalisées sous contrat écrit ; sa définition des fonctions externalisées écarte la fourniture de la chaîne d’approvisionnement. 6 La comparaison sert ici à montrer pourquoi il faut lire la relation effectivement assurée. Les conditions générales consultées sont des exemples publics, distincts des contrats particuliers d’Autins et de Vertu, auxquels cette enquête n’a pas eu accès.

Méthode et périmètre

Les flèches représentent les relations commerciales et leur perturbation. Le guide Beazley distingue l’arrêt d’un fournisseur de l’arrêt d’un client ; Hiscox définit un périmètre de prestataires plus étroit. L’extension clients présentée par CFC en janvier 2026 illustre une autre option. La couverture individuelle d’Autins reste inconnue ; ces exemples ne décrivent pas le contrat Vertu.

Polices et licences des figures

Polices des figures : Inter Variable et JetBrains Mono Variable, sous licence SIL Open Font License 1.1. Inter · JetBrains Mono.

Une cartographie utile de l’assurance commence donc par les flux : qui fournit, qui commande, quel système permet l’échange ? Elle peut révéler une exposition que l’organigramme informatique laisse discrète. Un industriel peut avoir correctement identifié son hébergeur critique tout en dépendant, pour ses encaissements, d’un client dont il maîtrise très peu les choix techniques. Il faut alors rapprocher cette dépendance commerciale du texte souscrit, avec ses entités désignées et ses événements déclencheurs.

Cette lecture ne permet aucun verdict sur l’assurance d’Autins. Elle indique la pièce qui manque pour en formuler un : les conditions particulières et les avenants applicables à la date du sinistre. L’existence d’une perte et l’existence d’un contrat portant le mot « cyber » répondent à deux questions ; leur rencontre demande une preuve supplémentaire.

Quand le client entre explicitement dans la garantie

Le 8 janvier 2026, CFC présente une extension consacrée à l’interruption chez les clients, disponible par avenant sur son offre destinée aux PME. L’assuré choisit les clients à nommer, avec une limite globale convenue pour chacun. Le mécanisme décrit vise une attaque malveillante qui oblige ce client à réduire ou à arrêter ses achats. 7

Cette construction rend visible un enjeu que l’expression générale « chaîne d’approvisionnement » peut masquer. L’entreprise souhaite protéger le revenu qu’un partenaire lui procure ; l’assureur cherche à identifier l’exposition qu’il accepte de prendre. Nommer le client fait correspondre ces deux lectures. Le plafond associé donne ensuite une taille contractuelle à une dépendance dont la taille économique peut être beaucoup plus grande.

L’annonce de CFC est postérieure au sinistre JLR. Elle décrit une offre et son intention commerciale, sans établir les garanties dont bénéficiaient les fournisseurs du constructeur en septembre 2025. Sa portée pour cette enquête est plus précise : la perte d’un débouché à la suite d’une attaque peut faire l’objet d’une extension explicite. Une telle extension doit encore être souscrite, applicable à l’entité concernée et suffisante pour l’exposition que l’entreprise souhaite transférer.

On peut alors poser la question de façon concrète. Si un client concentre les commandes d’un atelier, quelle fraction du revenu et quelles charges continueraient à peser pendant son arrêt ? À quel moment la trésorerie deviendrait-elle insuffisante ? Cette reconstitution permet de comparer un montant de garantie à une situation d’entreprise. Elle aide aussi à voir ce que change la diversification commerciale : répartir les débouchés modifie la dépendance, tandis que l’assurance organise la prise en charge d’une partie de ses conséquences.

La période qui compte pour l’indemnité

Une fois la relation couverte identifiée, il reste à faire correspondre le dommage au temps du contrat. Dans l’option de pertes de revenus du modèle Hiscox examiné, les pertes pendant la franchise temporelle sont retranchées. La prise en charge cesse au premier des trois termes prévus : fin de l’interruption continue et de la dégradation significative des parties concernées du système, fin de la période d’indemnisation ou épuisement du plafond applicable. 6

La planche suivante représente cette logique avec un temps symbolique. Elle permet de distinguer la durée pendant laquelle l’entreprise subit une interruption de celle retenue pour calculer les pertes couvertes. Les durées choisies dans les conditions particulières demeurent inconnues pour les entreprises étudiées ; dessiner arbitrairement vingt-quatre ou soixante-douze heures leur attribuerait une caractéristique contractuelle que les pièces disponibles ne donnent pas.

Méthode et périmètre

Lecture de l’option loss of income du spécimen Hiscox WD-PIP-UK-CCLEAR(5), référence 19029 04/23, page 15. Les durées, la franchise monétaire et les plafonds relèvent de conditions particulières absentes du document. L’axe symbolique décrit la fenêtre d’éligibilité ; le montant indemnisable dépend aussi des pertes admises et des autres clauses.

L’intérêt de cette distinction dépasse la lecture d’une clause. Une remise en service informatique et un retour à l’équilibre commercial décrivent deux événements différents. Dans un exemple de raisonnement, un atelier peut retrouver l’accès à un outil avant d’avoir reconstitué son carnet de commandes ; une vente reportée peut encore aboutir, alors qu’une commande partie chez un concurrent suit une autre trajectoire. L’enquête sur le préjudice doit pouvoir distinguer ces situations, puis examiner le traitement que leur réserve le contrat.

Le chiffre d’affaires manquant constitue ainsi un point de départ pour poser les questions, plutôt qu’une somme à recopier dans une demande d’indemnité. Il faut reconstituer ce qui aurait été gagné pendant la période concernée, en tenant compte des charges et de l’activité réellement observée. Le guide Beazley articule sa définition du revenu perdu autour du résultat avant intérêts et impôts et des charges normales qui doivent continuer. 5 Cette approche rappelle pourquoi des ventes, une marge et un besoin de trésorerie décrivent des objets différents.

Considérons, sans chiffrage fictif, une commande simplement livrée plus tard. Le retard peut créer un manque d’argent immédiat et des frais supplémentaires, alors qu’une partie du revenu sera finalement encaissée. Pour une commande définitivement annulée, la perte commerciale peut persister, mais certains achats associés auront peut-être été évités. Distinguer les deux rend l’analyse plus fidèle à l’activité. Cela évite aussi de compter le même manque à gagner à travers plusieurs postes.

La collecte documentaire doit conserver ces nuances. Un historique de commandes, les échanges sur leur annulation, les factures de solutions provisoires et les dates de remise en service permettraient de relier l’événement technique à ses conséquences. Les comptes publics donnent une vue plus agrégée. Ils sont précieux pour suivre ce que l’entreprise déclare et ce qu’elle comptabilise ; ils laissent généralement hors champ les pièces qui ont permis de négocier chaque poste du règlement.

Chez Vertu, un règlement et plusieurs dates

Le dossier Vertu offre une rare possibilité de passer de ces principes à une suite d’annonces vérifiables. Le 5 mars 2026, le distributeur indique que ses activités JLR ont retrouvé un fonctionnement normal. Il annonce un acompte d’assurance de 1 million de livres, accepté et attendu dans les jours suivants. Cette publication établit l’accord sur l’acompte et l’attente de son versement ; elle ne donne pas la date du virement réalisé. 14

Le 30 avril, le montant du règlement est fixé à 3,9 millions de livres avant une franchise de 500 000 livres, soit 3,4 millions nets. L’acompte annoncé en mars est compris dans ce total : le supplément représente 2,4 millions. 2 La franchise fournit ici une mesure directement documentée de la part conservée par Vertu dans le règlement décrit. Pour connaître l’ensemble de son risque resté à charge, il faudrait disposer du périmètre complet du dommage et de la réclamation.

Méthode et périmètre

Le règlement net de 3,4 M£ inclut l’acompte de 1 M£ annoncé accepté le 5 mars. Les résultats du 13 mai situent la réception du règlement en mai. Les publications laissent ouvert le détail des virements. La barre respecte les proportions des montants ; les jalons représentent leur ordre, sans échelle de durée.

Les résultats publiés le 13 mai rapprochent le produit d’assurance net de pertes JLR évaluées à 3,9 millions de livres. Ils intègrent le produit dans l’exercice clos le 28 février 2026, tout en situant la réception du règlement après cette clôture, avec une mention d’encaissement en mai. 3 Le rapport annuel reprend cette séparation. 15 Un même dossier se lit donc dans les résultats d’un exercice et dans la trésorerie du suivant.

L’annonce d’un acompte attendu en mars oblige à conserver une précision : les publications examinées ne livrent pas le calendrier détaillé de tous les versements. On peut suivre le premier accord, le règlement final et la mention d’encaissement. Affirmer que la totalité des 3,4 millions serait arrivée en un seul virement en mai ajouterait un détail absent de ces pièces. De même, l’intervalle entre l’attaque et l’accord final ne mesure pas, à lui seul, le temps d’instruction d’un dossier complet.

Cette chronologie éclaire le financement de l’interruption. Une créance d’assurance et de l’argent disponible peuvent se rapprocher dans les comptes sans coïncider dans le calendrier. Pour apprécier le besoin de financement d’une entreprise, il faut donc suivre les échéances de salaires, de fournisseurs et de dette en face des encaissements effectivement disponibles. Le montant finalement accepté répond à la question du transfert de perte ; son échéancier répond à celle de la continuité financière.

Vertu apporte aussi une limite salutaire au récit de la catastrophe en chaîne : une assurance détenue par un partenaire du constructeur a effectivement débouché sur un règlement. Le distributeur avait identifié une garantie susceptible de répondre et en a publié l’issue. L’enquête reste circonscrite aux éléments rendus publics, sans attribuer à Vertu l’un des modèles contractuels utilisés plus haut pour expliquer les mécanismes.

Marks & Spencer : l’argent reçu et le dommage à mesurer

Marks & Spencer apporte un deuxième point d’observation, cette fois chez une entreprise directement touchée. Dans les résultats de son premier semestre 2025/26, publiés le 5 novembre 2025, le groupe comptabilise 100 millions de livres de produit d’assurance et 101,6 millions de coûts directs liés à l’incident. 9 Ses résultats annuels précisent ensuite que l’assurance a été reçue pendant ce premier semestre, clos le 27 septembre 2025. 10

La fenêtre de réception est donc établie, à la précision d’un semestre. Elle donne un fait suffisamment solide pour l’analyse : une somme importante a été versée au cours de l’exercice de la crise. Un raisonnement sur la cyberassurance qui supposerait systématiquement une créance bloquée pendant toute la reconstruction manquerait ce cas. Il faut examiner les paiements observés, avec la précision que les documents permettent.

À la clôture annuelle du 28 mars 2026, les coûts directs atteignent 131,3 millions de livres. Le rapport annuel conserve les 100 millions de produit d’assurance dans le résultat ajusté, tandis que les coûts directs sont présentés séparément comme éléments d’ajustement. 11 Le lecteur doit garder cette présentation en tête lorsqu’il rapproche les chiffres : les deux montants décrivent des catégories différentes et le résultat ajusté suit une convention de présentation explicitée par l’entreprise.

Méthode et périmètre

Les charges directes sont des éléments d’ajustement, tandis que le produit d’assurance figure dans le résultat ajusté. Les 100 M£ semestriels sont inclus dans le montant annuel. La ventilation par garantie reste inconnue ; rapprocher ce produit des seuls coûts directs laisse les effets commerciaux hors du calcul du dommage net complet.

La question du coût total reste plus large. Les dépenses de réponse et de restauration coexistent avec les effets commerciaux d’une interruption : ventes manquées, perturbations des stocks ou efforts pour rétablir l’activité. Réduire l’analyse au rapprochement de 131,3 millions de charges directes et de 100 millions d’assurance donnerait à ces charges le rôle de mesure exhaustive du sinistre. Les publications consultées ne fournissent pas la ventilation du règlement qui permettrait cette affectation.

Un autre chiffre appelle la même attention. En mai 2025, M&S avait avancé environ 300 millions de livres d’effet sur le résultat opérationnel de l’exercice 2025/26 alors en cours, avant mesures de réduction des coûts, assurance et actions commerciales. 8 C’était une prévision datée, soumise à l’évolution de la reprise. En déduire mécaniquement l’indemnité connue transformerait une estimation initiale en bilan définitif, en laissant disparaître le travail de reconstitution du dommage réellement subi.

L’information la plus utile tient donc dans la combinaison des pièces : une assurance reçue, des coûts directs qui continuent à être comptabilisés, et un préjudice commercial dont l’isolement exige d’autres données. Pour l’entreprise comme pour le lecteur, reconnaître ces périmètres donne davantage de sens aux montants. On peut constater l’apport de l’assurance et conserver ouverte la mesure complète des conséquences.

Les garanties de JLR restent à documenter

Au centre de la chaîne, la situation de JLR demande une autre discipline. Le 23 septembre 2025, The Insurer rapporte, sur la foi de sources anonymes du marché, qu’un placement cyber n’aurait pas été finalisé avant l’incident et que JLR paraissait dépourvu de couverture directe. Le média précise que JLR, Lockton et Tata ont décliné ses demandes de commentaire, et qu’il n’a pas pu vérifier une éventuelle couverture propre à Tata. 12

L’affirmation a depuis été reprise au Parlement : le 14 juillet 2026, Baroness Paul of Shepherd’s Bush décrit JLR comme dépourvu de cyberassurance. Cette déclaration publique laisse toujours hors champ les polices du groupe et l’éventuel périmètre Tata. 18

L’information de presse et cette déclaration doivent conserver leurs attributions et leurs réserves. Les pièces primaires examinées pour ce volet n’établissent ni le programme d’assurance applicable au cyberincident ni un montant final d’indemnisation de JLR. Le rapport annuel mentionne d’autres assurances et une filiale d’assurance ; leur présence ne renseigne pas, à elle seule, la garantie de ce sinistre. 13 Dans une représentation graphique, cette lacune doit rester une donnée inconnue : la remplacer par zéro créerait une certitude.

Cette prudence protège aussi la qualité de la comparaison. Vertu publie un règlement, M&S décrit un produit reçu, tandis que le programme cyber de JLR reste insuffisamment documenté dans le corpus. Les placer sur un même podium de « bons » et de « mauvais » assurés supposerait de connaître leurs choix, leurs contrats et leurs pertes sur une base comparable. L’enquête disponible éclaire des mécanismes et des résultats précis ; elle offre encore une visibilité inégale sur les décisions qui les ont précédés.

Une dépendance à assurer, une concentration à porter

Du côté de l’assureur, suivre la chaîne commerciale conduit à une autre question : combien de contrats un événement peut-il mobiliser ? Si plusieurs entreprises assurées dépendent du même constructeur, leur exposition comporte une origine commune. La diversification apparente des titulaires de polices peut alors coexister avec une concentration du risque. C’est une conséquence du réseau de dépendances, que l’on peut déduire de sa structure sans lui attribuer un coût agrégé fictif.

La Prudential Regulation Authority britannique demande aux assureurs de mesurer et de gérer leurs expositions cyber, y compris lorsque les contrats restent silencieux sur leur inclusion ou leur exclusion. Sa déclaration de supervision, dans sa version de novembre 2024, demande également des tests tenant compte de l’agrégation des pertes. 17 Ce cadre aide à comprendre pourquoi désigner les dépendances et définir les plafonds possède une importance de part et d’autre du contrat.

Pour l’entreprise, le point de départ demeure son activité : le système indispensable, le fournisseur difficile à remplacer, le client dont l’arrêt prive l’atelier de commandes. Pour l’assureur, cette même carte doit être rapprochée de toutes les autres expositions acceptées. Une extension peut élargir la protection d’un fournisseur tout en demandant une mesure plus fine de la concentration autour de son client. L’évolution du produit fait ainsi entrer la relation commerciale dans l’évaluation du risque.

La prochaine étape documentaire serait d’obtenir, avec leurs dates d’effet, les clauses réellement souscrites et les décisions de règlement. Chez Vertu, elles permettraient d’identifier la garantie mobilisée et les versements successifs. Chez un fournisseur tel qu’Autins, elles éclaireraient le traitement de l’arrêt des commandes. Pour JLR, la question préalable reste le périmètre des polices et des entités assurées. Cette enquête repose sur des documents publics ; aucun entretien ni retour d’entreprise n’a été obtenu.

Le cas Vertu donne déjà une réponse concrète au titre de cette série : une partie de la perte a été transférée à des assureurs, avec une franchise et un calendrier documentés. La comparaison avec les fournisseurs et avec M&S précise ce qu’il faut suivre pour aller plus loin : la relation protégée, le dommage retenu et la réception de l’argent. C’est à cet endroit que la carte de l’assurance rejoint celle des paiements dont une entreprise a besoin pour continuer à travailler.

Méthode et périmètre

Cette enquête documentaire a été arrêtée au 18 octobre 2026. Elle croise publications financières des entreprises, annonces réglementaires, modèles et explications publics d’assureurs, ainsi qu’un texte du superviseur britannique. La publication Vertu du 14 octobre 2026 a également été examinée pour actualiser la collecte. 16 L’information de presse sur la couverture de JLR et la déclaration parlementaire restent attribuées à leurs auteurs. Les contrats individuels, dossiers complets de sinistre et relevés de virement demeurent hors du corpus. Les illustrations distinguent les montants déclarés, les calculs reproductibles et les schémas de mécanisme ; les périodes comptables sont séparées des dates de publication et de réception.

Prolonger la lecture

Le premier volet sur les usines de JLR et le deuxième sur le financement des fournisseurs suivent la propagation de l’arrêt. Le besoin en fonds de roulement (BFR) explique les dépenses engagées avant les encaissements. L’enquête sur Greensill, l’assurance et les créances futures étudie un autre contrat de protection, l’assurance-crédit, dont le périmètre conditionne aussi l’accès aux fonds.

Sources documentaires

Les appels numérotés renvoient aux documents ci-dessous. Consultation : 18 octobre 2026.

1. [1] Vertu Motors plc : RNS / FCA · Unaudited interim results for the six months ended 31 August 2025 · 2025-10-08. Current trading / Outlook ; revue du CEO, perturbations JLR et police des pannes de tiers. Vertu déclare une assurance des pannes de tiers et prévoit jusqu’à £5,5m d’impact sur le résultat FY26. Prévision à cette date ; les comptes intermédiaires se terminent avant septembre. Clauses et règlement encore inconnus.
2. [2] Vertu Motors plc : RNS · Business Interruption Insurance Settlement · 2026-04-30. RNS 4797C, paragraphes sur l’accord et son traitement dans FY26. Accord annoncé : £3,9m, franchise de £0,5m, recouvrement net de £3,4m ; l’acompte de £1m est inclus. L’accord et sa comptabilisation sont documentés ; le communiqué ne détaille pas tous les virements. Reprise du même communiqué par Stockopedia.
3. [3] Vertu Motors plc · Final results for the year ended 28 February 2026 · 2026-05-13. PDF p.1 ; p.13, encaissement en mai ; p.20, produit dans FY26 et cash après clôture. £3,4m reconnus sur FY26 ; un encaissement est situé en mai, après clôture, pour des perturbations estimées à £3,9m. Montants arrondis et attribution de l’entreprise. L’échéancier de chaque acompte reste absent.
4. [4] Autins Group plc · AGM Trading Update · 2025-09-17. RNS 5904Z ; paragraphes nommant JLR et les mesures de réduction des dépenses. Autins nomme JLR et annonce modulation des heures, reports ou annulations d’achats de matières et pause des dépenses discrétionnaires. Témoignage d’entreprise ; aucune assurance de ses pertes n’est décrite dans cette annonce.
5. [5] Beazley · Policy Wording and Guidance : Cyber business interruption · sans date éditoriale. Dependent Business Interruption Loss ; Income Loss ; Extra Expense, définitions et exemples. Le guide compare les dépendances fournisseur et client et explique le chiffrage de la marge, des frais maintenus et des surcoûts. Guide commercial illustratif ; les termes varient selon la police et la juridiction.
6. [6] Hiscox UK · Cyber and data insurance : Policy wording · 04/23. PDF pp.3–6, définitions ; pp.7–8, garanties ; pp.14–15, franchises, limites et fin de l’indemnisation. Ce modèle définit les tiers dépendants, les pertes d’exploitation, les franchises temporelles et les bornes contractuelles de l’indemnisation. Modèle UK 04/23 ; conditions particulières absentes. Aucune attribution aux contrats JLR, Vertu ou M&S.
7. [7] CFC · Cyber coverage highlights: Customer business interruption · 2026-01-08. How the coverage works ; Customer business interruption cover in action. CFC présente une extension couvrant la réduction d’achats de clients désignés après un événement cyber malveillant, avec un plafond convenu par client. Annonce commerciale ; avenant intégral non obtenu. L’exemple automobile demeure anonyme et postérieur à l’incident JLR.
8. [8] Marks and Spencer Group plc · Full Year Results for the 52 Weeks Ended 29 March 2025 · 2025-05-21. PDF pp.1 et 3 ; p.52, événement postérieur à la clôture. M&S prévoit environ £300m d’impact sur le résultat opérationnel FY2025/26, avant mesures de coûts, assurance et actions commerciales. Prévision de mai 2025, distincte des comptes clos en mars et d’un dommage final.
9. [9] Marks and Spencer Group plc · Half Year Results for the 26 Weeks Ended 27 September 2025 · 2025-11-05. PDF pp.2–3 ; note 2, pp.35–36 ; note 3, pp.37–38. M&S reconnaît £100m d’assurance dans le résultat ajusté et présente £101,6m de coûts directs séparément en éléments d’ajustement. Périmètres distincts ; leur soustraction ne produit pas le coût économique net de l’attaque.
10. [10] Marks and Spencer Group plc · Full Year Results for the 52 Weeks Ended 28 March 2026 · 2026-05-20. PDF p.2 ; p.19, assurance reçue au premier semestre ; notes 2 et 3, pp.34 et 37. L’année entière conserve £100m d’assurance, reçus au premier semestre, et porte les coûts directs à £131,3m. Les £100m annuels recouvrent ceux du semestre ; dates de virements et ventilation du règlement non publiées.
11. [11] Marks and Spencer Group plc; independent auditor Deloitte LLP · Annual Report and Financial Statements 2026 · 2026-06-01. Pages imprimées 20, 128 et 132 (PDF 22, 130 et 134) ; audit pp.101–102. Le rapport audité confirme l’assurance et £131,3m de coûts directs, dont £109,3m de réponse et restauration immédiates. L’audit financier ne constitue pas un règlement public détaillé de chaque perte assurée. Calendrier officiel des rapports.
12. [12] The Insurer / Reuters · Exclusive: Jaguar Land Rover failed to secure cyber insurance deal ahead of incident, sources say · 2025-09-23. Paragraphes initiaux : sources anonymes, couverture directe rapportée et incertitude sur une police Tata. L’enquête rapporte une apparente absence de couverture cyber directe chez JLR ; l’éventuelle police de Tata demeure non confirmée. Sources anonymes ; JLR, Tata et Lockton ne commentent pas. Aucun contrat ni règlement d’assurance publié.
13. [13] Jaguar Land Rover Automotive plc · Annual Report FY25/26 · FY25/26. Note 4, p.177 imprimée (PDF p.89) ; assurances pp.109 et 202 ; filiales p.229 ; autorisation p.151 (PDF p.76). JLR classe £260m de dépenses cyber en éléments exceptionnels et mentionne d’autres assurances sans publier de contrat cyber applicable. Charges reconnues ; absence de détail public sur l’indemnisation, sans conclusion d’absence de toute garantie. Publication autorisée le 21 mai 2026 ; première date de publication non établie. Le 16 juillet du chemin web date la version hébergée.
14. [14] Vertu Motors plc · Trading Update · 2026-03-05. PDF p.4, JLR : acompte convenu et encaissement attendu. Vertu annonce un acompte de £1m convenu, attendu dans les jours suivants, et à reconnaître dans FY26. Accord et attente annoncés ; aucune date bancaire d’encaissement de cet acompte n’est établie.
15. [15] Vertu Motors plc · Annual Report and Accounts 2026 · 2026-05-22. PDF pp.3, 20 et 29 ; note 6, p.118 (imprimée 117). Le rapport confirme le traitement de l’assurance ; la note 6 précise £3,391m, arrondis à £3,4m dans le récit. Montant détaillé cohérent avec l’arrondi annoncé ; avis de disponibilité du rapport daté du 22 mai. Avis officiel de publication.
16. [16] Vertu Motors plc · Unaudited interim results for the six months ended 31 August 2026 · 2026-10-14. PDF p.1, dates et résultats ; p.30, risques principaux. Dernière publication intermédiaire vérifiée avant clôture documentaire ; les nouveaux résultats couvrent les six mois clos le 31 août 2026. Contrôle d’actualité ; le document n’établit pas un nouvel échéancier du règlement cyber.
17. [17] Prudential Regulation Authority / Bank of England · SS4/17 : Cyber insurance underwriting risk · 2024-11-15. PDF p.6, §1.6 ; p.7, §2.1 et §3.2 ; p.8, §3.3. La PRA distingue risques cyber affirmatifs et non affirmatifs et demande limites d’exposition, stratégies de souscription et tests de cumul. Attentes prudentielles envers les assureurs ; aucun jugement sur une indemnisation particulière.
18. [18] UK Parliament, Hansard · Cyber Security and Resilience (Network and Information Systems) Bill · 2026-07-14. Intervention de Baroness Paul of Shepherd’s Bush à 18 h 31. Source primaire pour ses propos ; aucun contrat de JLR ni périmètre Tata publié dans ce passage.

Textes et illustrations originales : l0g · CC BY 4.0. Les documents cités conservent les droits de leurs éditeurs.