Introduction

Une architecture numérique décentralisée n’est pas assurable en l’état du droit positif. Le constat n’appelle pas le reproche adressé d’ordinaire aux assureurs, qui auraient tardé à comprendre une matière nouvelle. Il désigne une carence de l’ordre juridique, lequel a imposé des garanties sans avoir défini l’objet sur lequel elles porteraient.

Un mot d’abord sur la terminologie. Le droit de l’Union ne connaît pas la notion d’architecture décentralisée. Il définit la technologie des registres distribués comme celle qui permet l’exploitation et l’utilisation de registres distribués, le registre distribué comme un répertoire d’informations qui conserve un enregistrement des transactions et qui est partagé et synchronisé au sein d’un ensemble de nœuds au moyen d’un mécanisme de consensus, et ce mécanisme comme les règles et procédures par lesquelles ces nœuds parviennent à un accord sur la validation d’une transaction¹. La catégorie juridique est plus large que celle à laquelle on l’identifie d’ordinaire, puisque la définition du crypto-actif vise la technologie des registres distribués ou une technologie similaire. Elle comprend donc les chaînes de blocs sans autorisation, les chaînes à autorisation dont l’accès et la validation sont réservés à des participants agréés, les registres organisés en graphes orientés acycliques, les protocoles de finance décentralisée et les organisations autonomes décentralisées qui s’y greffent, ainsi que les réseaux pair-à-pair de stockage². L’exposé retiendra le vocabulaire de la chaîne de blocs, employé de manière générique, parce qu’elle en est l’espèce dominante. Deux notions techniques reviendront constamment. Le contrat intelligent est un programme déployé sur le registre, dont l’exécution se déclenche à la survenance de conditions prédéfinies. L’oracle est le dispositif qui transmet au registre une donnée extérieure, tel un cours de change, dont ce programme a besoin pour s’exécuter.

Le règlement sur les marchés de crypto-actifs offre de cette carence l’illustration la plus nette³. Son article 67 permet aux prestataires de services sur crypto-actifs de satisfaire à leurs exigences prudentielles au moyen d’une police d’assurance substituable aux fonds propres de base de catégorie 1, et énumère sept risques que cette police doit couvrir, parmi lesquels les pertes résultant d’interruptions de l’activité ou de défaillances des systèmes et la négligence grave dans la conservation des crypto-actifs et des fonds des clients⁴. Nulle disposition n’indique en revanche à quel étalon la tenue du système, et par conséquent la négligence, doivent être appréciées.

Cette lacune ne procède pas d’une inadvertance de rédaction. Le législateur a pris soin d’exclure de l’imputation au prestataire les incidents qui procèdent d’un problème inhérent à l’exploitation du registre distribué que celui-ci ne contrôle pas, ainsi qu’on le montrera⁵. Il a donc identifié la couche technique qui échappe à la responsabilité des acteurs qualifiés, sans lui assigner de répondant.

La thèse défendue procède de ce diagnostic et se formule en deux propositions que la nature prospective de l’exercice commande d’énoncer au conditionnel. L’assurabilité de ces architectures supposerait d’abord que le droit reconnût un principe général de fiabilité structurelle, imposant à celui qui conçoit, déploie ou maintient une architecture destinée à recevoir des avoirs de tiers de répondre de la tenue de cette architecture. Elle supposerait ensuite que la certification volontaire de ce standard, délivrée selon un schéma public par un organisme accrédité, emportât une présomption réfragable de conformité, sans que l’absence de certificat fît naître aucune présomption de manquement. Le premier terme procurerait à l’assureur un objet, le second une preuve.

La démonstration emprunte un ordre contraint par la matière. Il faut établir d’abord que le droit positif commande l’assurance sans construire l’assurabilité, puis que les conditions auxquelles la technique assurantielle demeure opérante se trouvent ici mises en défaut, non par archaïsme mais par absence de leurs présupposés. Vient ensuite la construction proposée, dans son contenu normatif et dans son mécanisme probatoire, avant l’examen de ses effets sur les opérations du contrat d’assurance, celui des objections qui lui sont opposables et celui des véhicules par lesquels le droit positif pourrait la recevoir.

Une précision de méthode s’impose. L’exercice est prospectif : il propose au droit une construction qu’il ne contient pas encore. Il s’efforce en revanche de ne rien avancer du droit positif qui ne s’y trouve, de citer sur sources primaires et de signaler les points où la proposition excède l’état actuel des textes. Aucune jurisprudence n’est invoquée : la question posée n’en a pas encore reçu, et il a paru préférable de le constater plutôt que de solliciter des décisions rendues sur d’autres objets.

I. Une obligation d’assurance privée d’objet

A. L’assurance conçue comme équivalent fonctionnel des fonds propres

L’article 67 du règlement sur les marchés de crypto-actifs oblige les prestataires à disposer en permanence de garanties prudentielles au moins égales au plus élevé de deux montants, le capital minimal permanent fixé à l’annexe IV ou le quart des frais généraux fixes de l’année précédente. Ces garanties peuvent prendre la forme de fonds propres de base de catégorie 1, d’une police d’assurance couvrant les territoires de l’Union où les services sont fournis, ou d’une combinaison des deux⁶.

Le paragraphe 5 détermine les caractéristiques formelles de la police : durée initiale d’un an au moins, préavis de résiliation de quatre-vingt-dix jours au minimum, souscription auprès d’une entreprise agréée, fourniture par une entité tierce, publication sur le site internet du prestataire⁷. Le paragraphe 6 énumère les sept risques que la couverture doit comprendre, soit la perte de documents, les déclarations inexactes ou trompeuses, les actes, erreurs ou omissions entraînant un manquement aux obligations légales et réglementaires, au devoir d’agir de manière honnête, loyale et professionnelle ou aux obligations de confidentialité, le manquement à l’obligation de prévenir les conflits d’intérêts, les pertes résultant d’interruptions de l’activité ou de défaillances des systèmes, la négligence grave dans la conservation des crypto-actifs et des fonds des clients, et la responsabilité envers les clients au titre de l’article 75, paragraphe 8⁸.

La portée de ce dispositif mérite d’être mesurée. En rendant la police substituable aux fonds propres, le législateur traite l’assurance comme un équivalent fonctionnel du capital. Une telle équivalence suppose que le second terme soit aussi disponible que le premier. Or les fonds propres se constituent par une décision de l’entreprise, tandis que la police dépend du consentement d’un tiers qui ne le donnera qu’après avoir compris ce qu’il garantit. Le texte confie ainsi au marché une tâche de qualification que le marché n’a ni la légitimité ni les instruments d’accomplir.

B. Le silence sur l’étalon et l’absence de véhicule normatif

La difficulté s’aggrave d’une observation que la doctrine n’a pas encore relevée. L’article 67 s’achève à son paragraphe 6, immédiatement suivi de l’article 68 relatif au dispositif de gouvernance, et il ne comporte, à la date de la présente contribution, aucune habilitation permettant à une autorité européenne de surveillance de préciser, par normes techniques, ni les modalités de la police ni l’étalon d’appréciation des risques qu’elle doit couvrir. L’article 67 n’est invoqué, dans le reste du règlement, qu’aux fins du calcul des fonds propres des émetteurs de jetons et de la preuve à joindre à la demande d’agrément, l’annexe IV en fixant les montants⁹. La disposition n’est donc pas une base d’habilitation en attente d’exécution, mais un commandement sans relais.

Le reste du titre V confirme l’orientation retenue. L’article 68 exige des membres de l’organe de direction une honorabilité suffisante, des connaissances, des compétences et une expérience adéquates, et l’absence de condamnation pour des infractions portant atteinte à leur honorabilité¹⁰. Ces exigences portent sur des qualités de personnes. Aucune ne porte sur les propriétés du système. Le droit qualifie l’acteur et laisse l’architecture hors de son regard.

L’exception se trouve ailleurs, et elle est demeurée largement inétudiée. L’article 7, paragraphe 4, du règlement instituant le régime pilote pour les infrastructures de marché reposant sur la technologie des registres distribués impose aux exploitants des dispositifs informatiques et de cybersécurité proportionnés à la nature, à la taille et à la complexité de leurs activités, qui garantissent en permanence la continuité, la transparence, la disponibilité, la fiabilité et la sécurité de leurs services, en ce compris, selon les termes mêmes du texte, la fiabilité des contrats intelligents utilisés dans l’infrastructure. Le même paragraphe ajoute que l’autorité compétente peut demander un audit de ces dispositifs à l’effet d’en évaluer la fiabilité, qu’elle désigne alors un auditeur indépendant et que le coût de l’audit incombe à l’infrastructure¹¹.

Le droit de l’Union connaît donc déjà, en un point isolé de son corpus, une exigence de fiabilité portant sur la structure technique elle-même, assortie d’une vérification par un tiers indépendant et d’une imputation des frais. Il ne l’a ni généralisée au-delà du périmètre restreint des infrastructures de marché, ni dotée du moindre effet probatoire, ni ouverte à l’initiative de l’opérateur, l’audit demeurant commandé par l’autorité.

C. L’imputation introuvable

L’article 7, paragraphe 6, du règlement sur le régime pilote complète le tableau en logeant la responsabilité de l’exploitant, en cas de perte de fonds, de sûretés ou d’instruments financiers fondés sur la technologie des registres distribués, à hauteur de la valeur de marché de l’actif perdu, avec exonération lorsqu’il prouve que la perte procède d’un événement extérieur échappant à son contrôle raisonnable et dont les conséquences étaient inévitables malgré tous les efforts raisonnables déployés pour l’éviter¹². Un risque plafonné dans son montant et borné par une cause d’exonération objective présente, d’un point de vue actuariel, la physionomie d’un risque assurable. Cette physionomie demeure sans emploi faute de critère permettant d’apprécier si l’exploitant a tenu sa structure en bon état.

L’article 75, paragraphe 8, du règlement sur les marchés de crypto-actifs procède de la même logique et va plus loin dans l’aveu. Le prestataire qui assure la conservation répond envers ses clients de la perte de tout crypto-actif ou des moyens d’accès résultant d’un incident qui lui est imputable, sa responsabilité étant plafonnée à la valeur de marché au moment de la survenue de la perte. Le texte précise que les incidents non imputables comprennent tout événement dont le prestataire démontre qu’il s’est produit indépendamment de la fourniture du service ou de ses activités, tel qu’un problème inhérent à l’exploitation du registre distribué qu’il ne contrôle pas.

Cette dernière incise est capitale pour notre propos, et il faut en déplier la conséquence. Le législateur y désigne expressément une couche de risque, celle du protocole sous-jacent, dont il admet qu’elle échappe au prestataire qualifié et surveillé. Il ne lui assigne pour autant aucun répondant. Il en résulte que la perte causée par cette couche demeure chez le détenteur, alors même que l’article 67 oblige le prestataire à s’assurer contre les défaillances de systèmes. L’obligation d’assurance et l’exonération de responsabilité se rencontrent ainsi sur le même terrain, sans que le texte explique comment un assureur devrait couvrir ce dont nul ne répond.

Le règlement sur la résilience opérationnelle numérique du secteur financier ne comble pas cette lacune, quelle que soit l’ampleur du cadre qu’il institue¹³. Il soumet des entités financières identifiées à un dispositif de gestion du risque lié aux technologies de l’information, à la notification des incidents majeurs, à des programmes de tests et à la maîtrise du risque lié aux prestataires tiers, les plus critiques d’entre eux relevant d’un cadre de surveillance propre. Ce dispositif suppose, par construction, une entité à surveiller. Un protocole dont nul n’est l’exploitant ne tombe sous aucune de ses rubriques, et c’est précisément ce protocole qui porte le risque le plus difficile à assurer.

D. L’impasse du recours subrogatoire

L’obstacle se referme du côté du recours, et le droit belge en vigueur suffit à le montrer. La responsabilité du fait des produits défectueux est codifiée aux articles 6.41 et suivants du Code civil depuis le 1er janvier 2025, et l’article 6.42 définit le produit comme tout bien meuble corporel, l’électricité étant seule assimilée¹⁴. Le logiciel en est donc exclu. L’article 6.51 limite au surplus les dommages indemnisables aux atteintes aux personnes, y compris le dommage moral, et aux dommages causés aux biens d’un type normalement destiné à l’usage ou à la consommation privés, à l’exclusion des pertes purement économiques¹⁵.

La directive du 23 octobre 2024 relative à la responsabilité du fait des produits défectueux range désormais le logiciel parmi les produits¹⁶, mais son régime ne s’appliquera qu’aux produits mis sur le marché ou mis en service après le 9 décembre 2026, date à laquelle expire également le délai de transposition¹⁷. Elle ne modifie au surplus pas la donnée essentielle pour notre objet, puisqu’elle limite les dommages réparables à la mort et aux lésions corporelles, au dommage causé à des biens qui ne sont pas utilisés exclusivement à des fins professionnelles et à la destruction ou à la corruption de données non professionnelles, son considérant 24 précisant que les pertes purement économiques ne déclenchent pas par elles-mêmes la responsabilité qu’elle institue, sans préjudice du droit à réparation au titre d’autres régimes¹⁸. Elle exclut enfin les logiciels libres et ouverts développés ou fournis en dehors du cadre d’une activité commerciale¹⁹, c’est-à-dire précisément le régime de développement dont relèvent les bibliothèques cryptographiques, les implémentations de clients et les standards de jetons dont la défaillance provoque les sinistres les plus graves.

La perte d’un crypto-actif ne se laisse ranger dans aucune des catégories réparables. Elle n’est ni une atteinte à la personne, ni un dommage causé à une chose corporelle, ni la destruction de données au sens de ces textes, puisque le registre demeure intact et que seule la maîtrise de l’actif a changé de mains. Elle constitue une perte purement économique, et elle demeure par conséquent régie par le droit commun national.

Aucun instrument européen n’est en chantier pour saisir cette responsabilité, la proposition de directive sur la responsabilité en matière d’intelligence artificielle ayant été retirée²⁰. Le vide constaté n’est donc pas transitoire.

L’assureur qui indemnise est subrogé, à concurrence du montant versé, dans les droits et actions de l’assuré ou du bénéficiaire contre les tiers responsables du dommage, en vertu de l’article 95 de la loi du 4 avril 2014 relative aux assurances²¹. Encore faut-il que ces tiers existent. Lorsque la perte procède d’une couche que le droit de l’Union déclare non imputable et d’un composant que le droit des produits exclut de son champ, la subrogation s’exerce dans le vide. L’assureur supporte alors la charge entière, sans espoir de partage, ce qui revient à lui demander de fonctionner comme un fonds de garantie sans en avoir ni la ressource ni le mandat.

II. Les conditions d’assurabilité mises en défaut

A. L’enseignement d’un précédent : le risque de terrorisme

L’assurance repose sur un petit nombre de conditions que l’on énonce rarement, parce qu’elles vont de soi partout ailleurs. Il faut un événement incertain mais descriptible, une population de risques assez homogène pour être rapprochée, une indépendance suffisante entre les sinistres pour que le calcul des probabilités opère sur un grand nombre de cas, une mesure du dommage, et un responsable contre lequel l’assureur qui a payé pourra se retourner²².

Le droit belge a déjà éprouvé la défaillance de ces conditions, et la doctrine en a conduit l’analyse à propos du risque de terrorisme. Dans une étude consacrée à la loi du 1er avril 2007, Bernard Dubuisson a montré que ce risque ne répond à aucune loi de fréquence, qu’il ne se prête pas à la modélisation, que son cumul est considérable et l’incertitude sur le sinistre maximum possible extrêmement élevée, que l’exposition très variable des situations livre l’assureur à l’antisélection, c’est-à-dire à la concentration des mauvais risques chez celui qui ne peut les distinguer, que la prévention y est d’un secours limité puisqu’elle déplace la cible plutôt qu’elle ne réduit l’aléa, et que l’assuré comme l’assureur ignorent le degré réel d’exposition. Il en concluait que l’on ne peut s’appuyer exclusivement sur les techniques traditionnelles de l’assurance et que la mutualisation est difficile à réaliser sans intervention légale²³.

Cette analyse conserve sa valeur alors même que la loi commentée a été abrogée. La solution du texte qui l’a remplacée confirme d’ailleurs le diagnostic. Là où le risque résiste à la mutualisation ordinaire, le législateur institue un régime de solidarité, borne l’engagement par un plafond absolu annuel de 1,7 milliard d’euros et un plafond relatif provisoire de 565 millions d’euros par acte, indexe ces montants sur l’indice des prix à la consommation et confie à un Comité de règlement des sinistres, où siègent des représentants publics et l’association de réassurance du secteur, le soin d’arrêter les pourcentages d’indemnisation²⁴.

La leçon à retenir est de méthode plutôt que de solution. L’intervention législative n’a pas créé l’assurabilité par décret. Elle a défini l’événement, désigné qui le qualifie, borné l’engagement et réparti la charge. Elle a donc fourni au marché ce qui lui manquait, une description opposable et une limite calculable.

B. Ce que le risque structurel met en défaut

La description fait défaut la première. Un contrat d’assurance se forme autour d’un risque énoncé, et l’énoncé emprunte au droit ses catégories. L’incendie, le dégât des eaux, l’effondrement d’un ouvrage renvoient à des états du monde que le droit a nommés avant que l’assureur ne les tarife. La défaillance d’une architecture décentralisée n’a pas reçu ce baptême. Faut-il tenir pour sinistre l’exploitation d’une erreur de logique dans un contrat intelligent, la capture du mécanisme de consensus par un participant devenu majoritaire, la compromission d’une clé administrative, la transmission d’une donnée fausse par un oracle, l’abandon silencieux du système par ceux qui le maintenaient ? Chacune de ces hypothèses appelle une qualification distincte, et aucune ne figure dans le vocabulaire juridique disponible.

Vient ensuite l’impossibilité de trier. Celui qui connaît la fragilité de son architecture a le plus d’intérêt à s’assurer, et celui qui l’a bâtie avec soin supporterait, dans un tarif indifférencié, le coût des autres. L’assureur dépourvu d’instrument de discrimination fixe une prime moyenne qui écarte les bons risques et retient les mauvais. Le phénomène n’est pas propre au numérique, mais il y atteint une intensité particulière, car la qualité d’une structure logicielle ne s’aperçoit pas de l’extérieur, et la publication du code n’y remédie pas : elle déplace la difficulté vers la capacité de l’évaluateur à le lire.

La mutualisation se heurte à un obstacle plus lourd encore. Elle présuppose que les sinistres ne surviennent pas ensemble, et l’assureur de biens immobiliers sait qu’un incendie à Anvers ne déclenche pas un incendie à Namur. Le risque numérique obéit à la logique inverse. Une vulnérabilité logée dans une bibliothèque cryptographique, un standard de jeton ou une implémentation de client affecte au même instant tous les systèmes qui en dépendent. La géographie du risque cesse d’être spatiale pour devenir généalogique : elle suit l’arbre des dépendances logicielles, et cet arbre reste largement invisible à celui qui souscrit. Là où l’assureur de catastrophes naturelles dispose d’un zonage, d’historiques et de modèles de cumul, l’assureur d’architectures décentralisées ne dispose d’aucune cartographie des corrélations qui le menacent.

S’y ajoute le caractère instantané et définitif de la perte. Le droit des assurances s’est construit sur l’idée qu’entre la survenance et la consolidation du dommage s’ouvre un intervalle pendant lequel des mesures conservatoires peuvent être prises et le sauvetage organisé. Le transfert d’un actif vers une adresse contrôlée par un tiers ne laisse aucun intervalle. Il n’y a rien à préserver ni à récupérer, et la seule question qui demeure est celle du montant.

L’imputation, enfin, fait défaut pour les raisons établies plus haut, et il suffit de les rappeler : le droit de l’Union désigne lui-même une couche de risque qu’il déclare non imputable, et le droit des produits en exclut les composants.

Ces cinq défaillances n’en forment qu’une, et la nommer éclaire la suite. Celui qui confie une valeur à une architecture ne peut observer la qualité de ce à quoi il se fie, et celui qui pourrait l’observer n’est tenu par aucune obligation de le faire. Cette asymétrie structurelle est le trait qui sépare ces architectures des autres objets assurables, et c’est sur elle, non sur ses manifestations, que devrait porter l’intervention.

Une différence capitale sépare d’ailleurs le risque structurel du risque terroriste, dont il paraissait si proche. L’acte terroriste est par nature le fait d’un tiers insaisissable, tandis que la défaillance d’une architecture procède d’un choix de conception, donc d’un comportement humain susceptible d’être apprécié selon un étalon de diligence. Le risque structurel n’est pas inassurable par nature. Il est inassuré faute d’énoncé. C’est pourquoi la solution ne requerrait pas ici un fonds public, mais une norme de comportement.

C. La sanction prudentielle de l’indétermination

Ces défaillances remontent jusqu’aux règles prudentielles qui gouvernent l’assureur lui-même. L’article 101, paragraphe 3, de la directive solvabilité II exige que le capital de solvabilité requis soit calibré de manière à prendre en considération l’ensemble des risques quantifiables auxquels l’entreprise est exposée, et qu’il corresponde à la valeur en risque de ses fonds propres de base avec un niveau de confiance de 99,5 % à l’horizon d’un an²⁵. La valeur en risque désigne la perte que l’entreprise ne dépassera, sur cet horizon, qu’avec une probabilité d’un demi pour cent.

La formulation est déterminante. Ce que l’assureur ne peut quantifier, il ne peut l’adosser à du capital réglementaire, et ce qu’il ne peut adosser à du capital, ses organes ne l’autoriseront pas à souscrire. Le refus de garantie ne traduit donc pas une préférence commerciale : il est la conséquence, sur le bilan de l’assureur, d’une lacune située en amont, dans la description juridique du risque. Il s’ensuit que l’intervention utile ne porterait ni sur le produit, ni sur la capacité, ni sur l’incitation fiscale, mais sur l’énoncé.

III. La fiabilité structurelle comme principe général de droit

A. Trois statuts possibles pour une même exigence

Le mot de fiabilité figure déjà dans les textes, ainsi qu’on l’a montré. Reste à décider de son statut, et trois régimes sont concevables, aux effets très inégaux. Simple spécification technique, la fiabilité n’oblige que celui qui l’a volontairement adoptée. Règle écrite, elle n’oblige que dans les hypothèses que le texte a prévues, ce qui laisse hors de son atteinte les architectures sans exploitant. Principe général, elle gouvernerait l’appréciation du comportement de quiconque met en circulation une structure à laquelle des tiers confient une valeur, y compris dans les situations que nul texte n’a envisagées.

C’est ce troisième statut que l’on revendique ici, et l’objection vient aussitôt : un principe général ne se décrète pas. Elle est juste et n’est pas dirimante. En droit belge, les principes généraux n’ont pas été inventés par le législateur. La fraude qui corrompt tout, le respect des droits de la défense ou la prohibition de l’enrichissement sans cause se sont imposés par la reconnaissance d’une exigence que l’ordre juridique supposait sans l’avoir écrite. La fiabilité structurelle occupe une position comparable. Le règlement sur le régime pilote exige la fiabilité des dispositifs et celle des contrats intelligents. Le règlement sur la résilience opérationnelle organise la maîtrise du risque informatique. Le règlement sur les marchés de crypto-actifs impose une couverture des défaillances de systèmes. Chacun de ces textes raisonne comme si l’on savait ce qu’est un système en bon état, et aucun ne le dit. Un principe général est précisément ce qui donne un nom à cette présupposition partagée.

B. Objet et contenu du standard

L’énoncé proposé serait le suivant : celui qui conçoit, déploie ou maintient une architecture numérique destinée à recevoir des avoirs de tiers répond de la tenue structurelle de cette architecture. Cette tenue se décompose en quatre obligations qui ne se recouvrent pas.

La conception doit être fiable, ce qui suppose une vérification dont la profondeur serait proportionnée à la valeur exposée. La stabilité doit être assurée dans le temps, ce qui vise la maîtrise des modifications, des dépendances et des mécanismes de mise à jour. La gouvernance doit être transparente, en ce sens que les pouvoirs exerçables sur le système, leurs titulaires et leurs conditions d’exercice devraient être connaissables avant l’engagement. La clôture doit être responsable, car un système auquel des valeurs sont confiées ne peut être abandonné sans que ceux qui s’y sont fiés disposent d’une voie de sortie.

Ces quatre obligations ne constituent pas un catalogue technique, dont la rédaction relève d’un référentiel et non d’un principe. Elles déterminent les chefs sous lesquels la diligence du concepteur serait appréciée, de la même manière que la solidité de l’ouvrage détermine, en matière de construction, le chef sous lequel s’apprécie celle du constructeur.

Une précision de périmètre s’impose ici, car le critère du domaine et celui de l’étude ne se confondent pas. Le domaine propre du principe est défini par l’asymétrie structurelle, c’est-à-dire par l’impossibilité, pour celui qui se fie à un système, d’observer la qualité de ce à quoi il se fie. Ce critère englobe les technologies dites boîte noire bien au-delà des registres distribués. La présente étude se borne au sous-ensemble dans lequel des avoirs de tiers sont confiés au système, qui est le périmètre pertinent pour l’assurance, sans préjuger de l’extension du principe aux autres architectures que l’asymétrie caractérise.

Le standard serait en outre gradué par nature. Une architecture qui reçoit des avoirs modestes et une infrastructure qui en concentre des volumes considérables ne sauraient être soumises à la même profondeur de vérification. La proportionnalité n’est pas ici une concession, mais une condition de cohérence avec l’article 6.6, paragraphe 2, 2°, du Code civil, qui commande de mettre en rapport le risque de survenance du dommage, sa nature et son étendue avec les efforts et mesures nécessaires pour l’éviter²⁶.

C. Le déplacement de la qualification de l’acteur vers la structure

Le déplacement qu’opérerait ce principe mérite d’être souligné : il porte l’exigence sur la structure et non sur la personne. Le titre V du règlement sur les marchés de crypto-actifs qualifie des acteurs, vérifie leur honorabilité et surveille leurs dirigeants. Cette méthode suppose qu’il y ait quelqu’un à qualifier, et lorsque le système fonctionne sans exploitant, elle ne mord sur rien.

Le principe de fiabilité structurelle s’attacherait à des propriétés observables du système, lesquelles existent indépendamment de la question de savoir qui le gouverne et demeurent vérifiables là même où la qualification des acteurs échoue. Il ne se substituerait pas au régime des acteurs. Il le compléterait par le bas, en atteignant la couche que l’article 75, paragraphe 8, du règlement a expressément laissée hors de l’imputation.

D. Les réceptacles du droit belge, et ce qui leur manque

Le droit belge offre au standard deux réceptacles distincts, qu’il faut tenir séparés sous peine de confusion.

Dans la relation contractuelle, le standard est opératoire à droit constant. L’article 5.71 du Code civil, intitulé Contenu du contrat, oblige en effet non seulement à ce qui est exprimé dans le contrat, mais encore à tous les effets que la loi, la bonne foi et les usages y attachent²⁷. Un référentiel public de fiabilité structurelle, s’il venait à s’imposer dans la pratique professionnelle, entrerait dans le contrat par la voie des usages, sans qu’aucune disposition nouvelle fût nécessaire. Pour les contrats de service conclus à compter du 1er septembre 2027, le livre 7 du Code civil prêtera au même résultat un appui plus explicite encore, son article 7.4.12, paragraphe 2, obligeant le prestataire à prendre les mesures de sécurité que la loi, la bonne foi et les usages requièrent, et son article 7.4.15 définissant le service conforme par référence aux stipulations contractuelles et aux attentes raisonnables du client, appréciées notamment au regard des usages et de la nature du service²⁸. Le même article ajoute que le prestataire répond de tout défaut de conformité existant, fût-ce en germe, au moment de la délivrance, formule qui décrit avec exactitude la vulnérabilité introduite à la conception et exploitée plusieurs années après la livraison.

Hors du contrat, le réceptacle est l’article 6.6, paragraphe 2, du Code civil, qui définit la norme générale de prudence par le comportement d’une personne prudente et raisonnable placée dans les mêmes circonstances, et qui énumère les éléments dont il peut être tenu compte, parmi lesquels l’état des techniques et des connaissances scientifiques ainsi que les règles de l’art et les bonnes pratiques professionnelles. Ces deux points sont le point d’ancrage du standard. Y reconnaître la fiabilité structurelle reviendrait à verser dans cet étalon un contenu déterminé pour les architectures numériques, de sorte que le juge disposerait d’un référent et l’assureur d’un objet.

Il faut dire aussitôt la limite de ces deux réceptacles, sans quoi la démonstration serait flatteuse et fausse. Ils suffisent à faire vivre le standard comme règle de comportement. Ils ne suffisent pas à produire l’effet attendu en matière d’assurance, et quatre éléments leur manquent : un référentiel reconnu, qui donne au contenu des usages une consistance opposable, un statut du certificateur, un régime probatoire attaché à l’évaluation, et un fondement pour l’utilisateur qui n’a conclu aucun contrat avec le concepteur. C’est à ces quatre manques, et à eux seuls, qu’une intervention législative serait utile.

Une dernière observation achève de valider la méthode suivie, et elle est tirée de la loi du 22 juillet 2026 elle-même. Ses articles 38 et 40 modifient la loi du 31 mai 2017 et la loi du 9 mai 2019 pour y remplacer le renvoi aux articles 1792 et 2270 de l’ancien Code civil par un renvoi à l’article 7.4.57 du Code civil, lequel recueille désormais la responsabilité décennale sous l’intitulé des défauts de conformité menaçant la stabilité²⁹. L’obligation d’assurance ne se définit donc pas par elle-même. Elle se définit par renvoi à l’énoncé qui nomme le défaut, au point que déplacer cet énoncé contraint le législateur à rectifier le texte assurantiel dans le même mouvement. C’est exactement ce lien qui fait défaut aux architectures numériques, où la couverture a été commandée sans qu’aucune disposition ne dise de quoi elle répond.

IV. La présomption de conformité attachée à la certification

A. Un mécanisme que le droit de l’Union pratique déjà

Un principe dépourvu de mécanisme probatoire resterait une élégance doctrinale. Le second terme de la construction serait donc une présomption : la certification de la fiabilité structurelle, délivrée selon un schéma public par un organisme accrédité, ferait présumer la conformité du système au standard, jusqu’à preuve du contraire. Par schéma, on entend l’ensemble publié des règles selon lesquelles l’évaluation est conduite et la décision prise, de sorte que chacun puisse savoir, avant de s’y fier, ce qui a été vérifié et comment.

La technique n’a rien d’une audace. Le droit de l’Union la pratique depuis l’instauration de la nouvelle approche, et le domaine numérique vient d’en fournir l’illustration la plus proche de notre objet. L’article 27 du règlement sur la cyberrésilience dispose que les produits conformes à des normes harmonisées dont les références ont été publiées au Journal officiel sont présumés conformes aux exigences essentielles de l’annexe I couvertes par ces normes. Il habilite la Commission à préciser par actes délégués quels schémas européens de certification de cybersécurité peuvent servir à démontrer cette conformité. Il prévoit enfin que la délivrance d’un certificat au niveau d’assurance substantiel au minimum dispense le fabricant de l’évaluation de conformité par un tiers pour les exigences correspondantes³⁰.

Le législateur européen a donc déjà admis qu’une évaluation privée, encadrée et accréditée, produise un effet juridique de dispense et de présomption, les schémas concernés étant ceux adoptés sur le fondement du règlement relatif à la certification de cybersécurité³¹. La proposition défendue ici ne créerait pas cette technique. Elle l’étendrait à un objet qu’elle n’atteint pas encore, et lui attacherait, en droit civil et en droit des assurances, des conséquences que le droit des produits n’a pas eu à régler.

B. Objet, périmètre et niveau d’assurance

L’objet de la présomption devrait être défini avec précision, faute de quoi elle promettrait ce qu’elle ne peut tenir. Elle porterait sur la conformité au standard, non sur l’absence de sinistre. Un système certifié peut être attaqué avec succès sans que le certificat ait été mensonger, de même qu’un ouvrage conforme aux règles de l’art peut céder sous une charge exceptionnelle.

Elle porterait ensuite sur un périmètre déterminé. Ce qui n’a pas été soumis à l’évaluation n’entrerait pas dans la présomption, et le certificat devrait énoncer son périmètre avec une clarté telle qu’un tiers puisse en apercevoir les bords.

Elle porterait enfin sur un niveau d’assurance, c’est-à-dire sur la profondeur de la vérification conduite et sur la puissance de l’adversaire contre lequel le système a été éprouvé, ce que les critères communs appellent le potentiel d’attaque³². La nuance est capitale et constamment perdue dans l’usage commercial des labels : un niveau élevé ne signifie pas que le système est meilleur, mais qu’il a été examiné plus profondément et contre un attaquant supposé plus redoutable. Le niveau est demandé, non mérité, et il se trouve plafonné par les pièces que le candidat produit. L’assureur achète ainsi une information sur l’intensité du contrôle, non une promesse de performance.

L’architecture du référentiel devrait être non compensatoire, sous peine de ruiner l’information que l’assureur recherche. Un premier étage réunirait des exigences éliminatoires limitativement énumérées, dont la satisfaction est binaire et dont une seule en défaut emporterait le refus, et non la délivrance d’un niveau inférieur. Un deuxième étage graduerait les niveaux d’assurance par profondeur de vérification. Un troisième établirait un profil de risque résiduel axe par axe, qui ne serait jamais agrégé en une note unique. Une moyenne pondérée permettrait en effet de compenser une conception fragile par une gouvernance irréprochable, ce qui est absurde en matière de fiabilité.

Il faut reconnaître ici une difficulté que l’honnêteté commande de ne pas dissimuler. Il n’existe, à la date de la présente contribution, aucune norme internationale publiée portant sur la sécurité des contrats intelligents. Un schéma devrait donc construire son propre corps d’exigences, en s’appuyant sur les normes disponibles pour ce qu’elles savent faire, soit la profondeur d’évaluation et le potentiel d’attaque pour les critères communs et leur méthodologie, sans revendiquer une conformité qu’aucun texte publié ne permet d’affirmer.

C. Un effet probatoire réfragable et asymétrique

L’effet probatoire se déduirait des règles ordinaires de la preuve, telles que le livre 8 du Code civil les organise. Celui qui veut faire valoir une prétention en supporte la charge, toutes les parties étant tenues de collaborer loyalement à l’administration de la preuve, le juge ne pouvant déplacer cette charge que par un jugement spécialement motivé dans des circonstances exceptionnelles, et celui qui supporte la charge d’un fait négatif pouvant se contenter d’en établir la vraisemblance³³.

Appliqué à un défaut de tenue structurelle, ce régime place le demandeur dans une position très difficile, puisqu’il lui faudrait établir qu’un système dont il ne maîtrise ni le code ni l’historique a manqué à un standard dont le contenu n’est pas écrit. Inversement, le concepteur diligent se trouve dans la position d’avoir à prouver un fait négatif. La présomption dénouerait cette double impasse. Elle donnerait au certifié une position probatoire nette, et laisserait au contestataire une voie ouverte, celle d’établir que le système n’était pas, en fait, conforme à ce que le certificat affirmait. Elle s’articulerait au surplus avec l’article 7.4.16 du Code civil, qui met à charge du client la preuve que le défaut existait, fût-ce en germe, au moment de la délivrance³⁴.

L’asymétrie est le point d’équilibre de tout le dispositif et doit être affirmée sans nuance : l’absence de certificat ne ferait naître aucune présomption de manquement. Celui qui n’a pas sollicité d’évaluation resterait jugé selon le droit commun, charge au demandeur d’établir le défaut de tenue structurelle. Sans cette asymétrie, la certification deviendrait une autorisation déguisée, et le principe, conçu pour ouvrir l’accès à l’assurance, se refermerait en barrière à l’entrée. L’enjeu n’est pas de rendre la certification obligatoire, mais de la rendre utile.

Trois limites internes empêcheraient la présomption de dégénérer en immunité. La première est temporelle. Une architecture se modifie, et la certification ne vaudrait que pour l’état évalué, toute modification substantielle non soumise à réévaluation faisant tomber la présomption pour la partie affectée. Cela suppose un versionnement non rétroactif des certificats et une traçabilité des changements. La deuxième tient à la non-compensation qui vient d’être décrite. La troisième tient à la loyauté : la dissimulation d’une information à l’évaluateur priverait le certificat de sa base et, du côté du contrat d’assurance, ramènerait le preneur sous l’empire des sanctions de la déclaration inexacte.

D. Les conditions institutionnelles de l’effet probatoire

Une condition institutionnelle commande l’ensemble. La présomption ne pourrait s’attacher qu’à une évaluation dont l’indépendance est structurellement garantie. Cela suppose la publicité du schéma, une accréditation conduite conformément au règlement fixant les prescriptions relatives à l’accréditation et à la norme ISO/IEC 17065, une instance de décision composée de personnes n’ayant pas participé à l’évaluation, une instance distincte chargée de sauvegarder l’impartialité, et une règle d’incompatibilité interdisant d’évaluer un système que l’organisme ou ses liés ont conçu ou conseillé, y compris pendant un délai de vingt-quatre mois après une telle prestation³⁵.

Tant que l’accréditation n’est pas acquise, l’attestation ne peut se présenter que pour ce qu’elle est, le constat d’une partie tierce non accréditée, dépourvu d’effet présomptif, et cette mention ne devrait pas pouvoir être désactivée. Une présomption adossée à un schéma opaque ne vaudrait pas mieux que l’opacité qu’elle prétend corriger.

V. Les effets sur le contrat d’assurance

A. La déclaration du risque

L’article 58 de la loi du 4 avril 2014 oblige le preneur à déclarer exactement, lors de la conclusion du contrat, toutes les circonstances connues de lui qu’il doit raisonnablement considérer comme constituant pour l’assureur des éléments d’appréciation du risque. Il le dispense de déclarer celles qui sont déjà connues de l’assureur ou que celui-ci devrait raisonnablement connaître³⁶.

Appliquée à une architecture décentralisée, cette obligation est aujourd’hui inexécutable dans les deux sens. Le preneur ignore ce qu’il doit dire, l’assureur ignore ce qu’il est réputé savoir. Un schéma de certification public résoudrait les deux difficultés d’un même geste. Il fixerait la liste des éléments d’appréciation, puisque ce sont ceux que le référentiel examine. Il définirait le socle de connaissance imputable à l’assureur, puisque le schéma est publié.

Le dossier de certification deviendrait alors le support matériel de la déclaration, et les sanctions de l’omission ou de l’inexactitude retrouveraient une assiette intelligible : le manquement se mesurerait à un référentiel au lieu de s’apprécier au jugé³⁷.

B. L’aggravation du risque

L’article 81 impose au preneur de déclarer en cours de contrat, dans les conditions de l’article 58, les circonstances nouvelles de nature à entraîner une aggravation sensible et durable du risque de survenance de l’événement assuré. Il assortit ce devoir de sanctions progressives. La prestation reste due lorsque le défaut de déclaration n’est pas reprochable au preneur. Elle est réduite selon le rapport entre la prime payée et celle qui aurait été due lorsqu’il lui est reprochable. La garantie peut être refusée en cas d’intention frauduleuse³⁸.

Transposer ce régime à une architecture vivante supposait jusqu’ici de répondre à une question sans réponse. Un changement de dépendance logicielle, l’ajout d’une fonction administrative, la modification d’un quorum de gouvernance constituent-ils une aggravation sensible et durable ? Le référentiel fournirait le critère que le droit ne donne pas : serait déclarable toute modification excédant le périmètre certifié ou abaissant le niveau d’assurance atteint.

La règle de réduction proportionnelle deviendrait elle-même applicable. Elle suppose en effet que l’on puisse calculer la prime qui aurait été due si l’aggravation avait été prise en considération, et les niveaux d’assurance constitueraient l’échelle tarifaire qui manque à ce calcul.

C. La tarification, les garanties et les limites de la limitation

Un assureur ne segmente que ce qu’il distingue. La gradation par niveau d’assurance lui fournirait une variable de segmentation, et le profil de risque résiduel établi axe par axe lui donnerait la matière de ses franchises et de ses exclusions. L’intérêt du refus d’agrégation apparaît ici pleinement : une note globale permettrait de compenser une conception fragile par une gouvernance irréprochable et détruirait l’information recherchée. Ce que l’assureur veut savoir n’est pas si le système est bon en moyenne, mais où il est faible.

Les polices actuelles se protègent par des exclusions si larges qu’elles vident souvent la couverture de sa substance, ce qui expose l’assureur lui-même au reproche d’une garantie illusoire. Un périmètre certifié permettrait d’écrire des exclusions circonscrites, portant sur les composants non évalués et sur les versions non réévaluées, et de laisser à la garantie un contenu véritable. Le même mécanisme donnerait un sens opératoire à la couverture de la négligence grave dans la conservation des avoirs de la clientèle, que l’article 67, paragraphe 6, f), impose sans dire à quel étalon la négligence se mesure.

Du côté du concepteur, la liberté de limiter sa responsabilité est moins grande qu’on ne le croit souvent, et le droit belge offre ici trois degrés. En matière décennale, l’article 7.4.57, paragraphe 3, du Code civil frappe de nullité absolue toute clause tendant à exclure ou à limiter la responsabilité pour les défauts menaçant la stabilité. Dans le régime des produits, l’article 6.50 rend la clause limitative ou exonératoire inopposable à la personne lésée³⁹. En droit commun des contrats, l’article 5.89 admet en principe la clause exonératoire, qui ne se présume pas, mais lui oppose trois limites impératives, soit la faute intentionnelle, l’atteinte à la vie ou à l’intégrité physique, et la clause qui viderait le contrat de sa substance⁴⁰. Reconnaître la fiabilité structurelle ne créerait donc pas un terrain d’exonération nouveau, puisque les clauses qui videraient le standard de son contenu se heurteraient à ces limites.

D. La subrogation, ou le débiteur retrouvé

L’effet le plus important est celui qui répond à l’objection d’imputation. Le système de certification créerait ce qui manque au recours de l’article 95 de la loi du 4 avril 2014, c’est-à-dire un patrimoine identifiable en bout de chaîne. L’organisme accrédité qui aurait délivré un certificat sans accomplir les diligences que son schéma lui imposait engagerait sa responsabilité, et cette responsabilité serait assurable, puisqu’elle procéderait d’un manquement professionnel classique, aisément décrit.

Il faut mesurer ce que cet apport corrige, et l’article 6.3 du Code civil le montre mieux que tout raisonnement. Son paragraphe 1er permet au cocontractant assigné sur le fondement extracontractuel d’opposer les moyens de défense tirés du contrat, et son paragraphe 2 étend cette faculté à l’auxiliaire de ce cocontractant, les seules exceptions étant l’atteinte à l’intégrité physique ou psychique et la faute commise avec l’intention de causer un dommage⁴¹. L’utilisateur qui n’a contracté avec personne se heurte donc, en remontant la chaîne, aux stipulations d’un contrat auquel il est étranger. Le certificateur, lui, ne tient sa responsabilité d’aucun contrat conclu avec le concepteur, mais de la mission qu’il a lui-même acceptée selon un schéma public. Voilà pourquoi il offrirait un débiteur là où la chaîne contractuelle n’en offre pas.

La délimitation de cette responsabilité commande toutefois la viabilité du dispositif : l’évaluateur ne répondrait pas de la défaillance du système qu’il a examiné, mais de la faute commise dans la conduite de son examen. Il n’est pas la caution du concepteur.

E. Le capital réglementaire et l’accès à la réassurance

Dès lors que les risques se laisseraient classer par niveau d’assurance et décrire par un profil résiduel, des portefeuilles suffisamment homogènes pourraient être constitués, des historiques de sinistralité accumulés par classe et des traités en excédent de sinistre négociés sur une base intelligible. Le cumul lui-même deviendrait approchable, puisque la certification exposerait les dépendances qui le provoquent et permettrait d’apercevoir les concentrations aujourd’hui invisibles.

Le risque redeviendrait alors quantifiable au sens de l’article 101, paragraphe 3, de la directive solvabilité II, c’est-à-dire adossable à du capital réglementaire. L’option ouverte par l’article 67, paragraphe 4, b), du règlement sur les marchés de crypto-actifs cesserait d’être une faculté théorique pour devenir un choix économique réel. La boucle se refermerait sur le point de départ de cette étude : l’équivalence que le législateur a postulée entre la police et le capital ne devient effective qu’au prix de l’énoncé qu’il a omis.

VI. Objections

Une proposition qui ne s’expose pas à ses objections ne mérite pas d’être discutée. Six critiques sérieuses peuvent être adressées au dispositif, et toutes ne reçoivent pas une réponse également satisfaisante.

La première est celle du conformisme. Tout référentiel engendre une pratique qui vise le référentiel plutôt que l’objectif qu’il poursuit, et d’autres domaines ont montré des organisations franchissant avec succès les examens de conformité tout en demeurant fragiles. Le modèle non compensatoire, qui refuse de racheter une faiblesse par une force, atténuerait ce travers sans le faire disparaître. La seule parade réelle consisterait à faire porter l’évaluation sur la profondeur de la vérification plutôt que sur la déclaration du candidat, et à réévaluer périodiquement, ce qui a un coût que la construction doit assumer plutôt que dissimuler.

Vient ensuite la critique de la capture. Celui qui écrit le référentiel écrit, en pratique, les conditions auxquelles ses propres pratiques seront jugées conformes, et les acteurs les mieux dotés franchiraient plus aisément des épreuves qu’ils auraient contribué à dessiner. Le risque vise directement les protocoles communautaires, dépourvus de structure commerciale et de budget d’audit. Trois garde-fous le limiteraient sans l’annuler : la publicité intégrale du schéma, qui expose les règles à la critique ; l’accréditation par une autorité indépendante, qui soustrait le schéma à son auteur ; et la faculté, pour tout tiers intéressé, de demander la certification d’un protocole, faculté sans laquelle un système pleinement décentralisé ne pourrait jamais être certifié, puisqu’il n’a personne pour en faire la demande. Reste la question du coût, qui demeure une barrière objective et appellerait, le cas échéant, des mécanismes de mutualisation ou de soutien dont il serait malhonnête de prétendre qu’ils sont déjà conçus.

La troisième critique porte sur l’évaluateur. Faire de lui un débiteur potentiel est l’un des apports du dispositif, mais c’est aussi une menace pour son existence, car une responsabilité illimitée tarirait l’offre d’évaluation ou la réserverait à quelques acteurs capables d’en porter le poids. La délimitation proposée plus haut, qui circonscrit sa responsabilité à la faute commise dans la conduite de son examen, devrait être affirmée expressément si l’on ne veut pas que la jurisprudence la construise au gré des sinistres les plus spectaculaires.

La quatrième critique est celle de l’aléa moral, et elle mérite d’être prise au sérieux, car elle retourne contre le dispositif sa propre logique. Un certificat qui fait présumer la conformité pourrait inciter le concepteur à relâcher sa vigilance après l’avoir obtenu, et l’assuré couvert à moins soigner ce dont il est couvert. Le droit des assurances connaît pourtant cette difficulté depuis toujours et la traite par l’obligation de déclarer les circonstances connues lors de la conclusion, par le régime de l’aggravation du risque en cours de contrat et par la faculté de réduire ou de refuser la prestation lorsque le sinistre procède d’un manquement reprochable à l’assuré⁴². Le certificat ne neutraliserait aucun de ces mécanismes : il leur fournirait au contraire une base de comparaison, puisque l’écart entre l’état certifié et l’état réel se laisserait établir, là où il demeure aujourd’hui une appréciation sans mesure. La réévaluation périodique et l’obligation de déclarer les modifications substantielles du périmètre certifié compléteraient le dispositif, à peine de caducité de la présomption.

La cinquième critique est la plus difficile, parce qu’elle vise une limite intrinsèque du dispositif. La présomption procurerait à l’assureur un objet, une segmentation et un recours ; elle ne lui procurerait pas de capacité. Un sinistre systémique, frappant simultanément des dizaines de systèmes qui partagent une dépendance commune, demeurerait un risque de cumul que nulle qualification juridique ne réduit. Le précédent du terrorisme montre toutefois qu’un risque corrélé n’est pas pour autant un risque abandonné, pourvu que la puissance publique accepte d’en porter la queue de distribution au moyen d’un régime de solidarité plafonné. Rien de tel n’existe à ce jour pour le numérique, et la fiabilité structurelle ne saurait en tenir lieu.

La dernière critique est territoriale. Une architecture décentralisée ne connaît pas de frontière, et une présomption consacrée dans un ordre juridique ne vaut que dans cet ordre. La réponse se trouve dans le véhicule choisi, puisque l’accréditation conduite selon le règlement fixant les prescriptions relatives à l’accréditation et selon les normes de la série ISO/IEC 17000 constitue, par construction, un instrument de reconnaissance transfrontalière. Admettre que cet effet demande du temps n’affaiblit pas la proposition : il en situe l’horizon.

Aucune de ces objections ne porte sur le point décisif, qui est que l’inassurabilité actuelle procède d’une lacune de description et non d’une impossibilité technique. Elles invitent à construire le dispositif avec prudence. Elles ne dispensent pas de le construire.

VII. Les voies de consécration

La prospective n’a d’utilité que si elle désigne des véhicules existants. Quatre voies paraissent ouvertes, qui ne s’excluent pas et dont les calendriers se recoupent.

A. La clause de réexamen du règlement sur les marchés de crypto-actifs

L’article 140 du règlement impose à la Commission de présenter, au plus tard le 30 juin 2027, après consultation de l’Autorité bancaire européenne et de l’Autorité européenne des marchés financiers, un rapport sur l’application du règlement, accompagné le cas échéant d’une proposition législative. Ce réexamen présente une particularité remarquable pour notre sujet, car son paragraphe 2 oblige à y faire figurer le nombre et la valeur des fraudes, escroqueries, piratages, paiements liés à des rançongiciels, cyberattaques, vols et pertes de crypto-actifs déclarés dans l’Union⁴³. Le législateur a donc prévu de réunir précisément la matière statistique sans laquelle aucun assureur ne tarife.

Deux amendements suffiraient à en tirer parti : adosser l’option assurantielle de l’article 67, paragraphe 4, b), à une évaluation de la fiabilité structurelle du système sous-jacent, et insérer une disposition transversale énonçant le standard ainsi que l’effet présomptif de sa certification. Il serait prudent d’y joindre l’habilitation qui manque à l’article 67, afin que les modalités de la police et l’étalon des risques couverts puissent être précisés par normes techniques.

B. La généralisation du régime pilote

La deuxième voie consisterait à généraliser ce que le régime pilote contient déjà. L’article 7, paragraphe 4, du règlement portant ce régime réunit en germe les trois éléments du dispositif : une exigence de fiabilité visant explicitement les contrats intelligents, un audit confié à un évaluateur indépendant, un coût mis à la charge de l’opérateur. Trois modifications l’achèveraient : sortir du périmètre des seules infrastructures de marché, transformer l’audit ordonné par l’autorité en évaluation que l’opérateur peut solliciter, et attacher à son résultat la présomption qui lui fait défaut.

C. Un schéma européen de certification

La troisième voie est celle de la certification de cybersécurité. Le règlement relatif à l’ENISA et à la certification de cybersécurité permet l’adoption de schémas européens, et l’article 27 du règlement sur la cyberrésilience montre comment une présomption s’y rattache. La réserve énoncée plus haut sur l’absence de norme publiée en matière de contrats intelligents conserve ici toute sa force, car un tel schéma devrait bâtir son corps d’exigences avant de pouvoir se réclamer d’une normalisation qui n’existe pas.

D. Les deux branches de la voie nationale

La branche prétorienne est ouverte dès à présent. L’étalon de la personne prudente et raisonnable que retient l’article 6.6, paragraphe 2, du Code civil se prête à recevoir, par ses points 3° et 4°, le contenu que l’état des techniques et les règles de l’art donnent à la tenue d’une architecture numérique, sans qu’aucun texte nouveau soit requis. En matière contractuelle, l’article 5.71 permet au juge d’y rattacher les suites que les usages attachent à la convention.

La branche législative est plus décisive, et son calendrier presse. La directive sur la responsabilité du fait des produits défectueux doit être transposée au plus tard le 9 décembre 2026 et ne s’appliquera qu’aux produits mis sur le marché ou mis en service après cette date. Elle laisse hors de son champ les pertes purement économiques, tout en réservant expressément, à son considérant 24, le droit à réparation ouvert par d’autres régimes de responsabilité. La transposition constitue donc la fenêtre législative la plus proche, et deux objets s’y présentent ensemble : d’une part, le sort du logiciel, que la directive range parmi les produits alors que l’article 6.42 du Code civil définit le produit comme un bien meuble corporel ; d’autre part, le traitement de la perte purement économique, que l’article 6.51 exclut du régime. C’est par l’ouverture du considérant 24 que le législateur belge pourrait créer, hors du régime des produits, le recours qui manque à l’assureur subrogé.

La séquence à suivre est celle que la matière de la construction a éprouvée : nommer le désordre, désigner celui qui en répond, borner la responsabilité dans le temps, et alors seulement organiser l’assurance. Les lois du 31 mai 2017 et du 9 mai 2019 n’ont pas créé un marché par décret. Elles ont tiré les conséquences d’un édifice antérieur qui nommait le désordre, désignait un débiteur et bornait la durée à dix ans, la première imposant aux entrepreneurs, architectes et autres prestataires intellectuels, à l’exclusion du promoteur, l’assurance de la responsabilité décennale pour les seuls travaux d’habitation où l’intervention d’un architecte est requise et pour la seule solidité, stabilité et étanchéité du gros oeuvre fermé, la seconde instituant un régime distinct d’assurance de la responsabilité professionnelle⁴⁴. La recodification a confirmé la solidité de cette architecture en déplaçant l’énoncé sans l’altérer. L’ordre de ces opérations n’est pas indifférent, et c’est son inversion qui a produit l’impasse actuelle en matière de crypto-actifs.

E. Une observation sur l’espace africain

Un mot enfin sur l’espace africain, où la question se pose en des termes qu’il serait imprudent de calquer sur l’Europe. Le droit uniforme de l’Organisation pour l’harmonisation en Afrique du droit des affaires ne comporte aucun acte consacré aux architectures numériques, et la matière de l’assurance n’y relève pas des actes uniformes. Elle est régie, pour les États parties au traité instituant la Conférence interafricaine des marchés d’assurances, par le code des assurances applicable dans ces États depuis le 15 février 1995, et par des régimes nationaux dans les États qui n’y sont pas parties⁴⁵.

La construction proposée demeurerait transposable dans cet espace, parce qu’elle repose sur l’accréditation et l’évaluation, techniques indifférentes au contenu du droit substantiel, et parce qu’un marché assurantiel en formation a moins d’habitudes à défaire qu’un marché mature. Il s’agit là d’une piste de travail et non d’une proposition arrêtée. Elle appellerait une étude distincte, menée sur les textes et non par analogie.

Conclusion

L’assurance a ceci de particulier qu’elle ne crée rien : elle révèle. Un risque devient assurable lorsque le droit a su dire ce qui doit arriver, qui en répond et selon quel étalon ce répondant sera jugé. Lorsqu’un risque demeure hors d’atteinte de la technique assurantielle, il convient de chercher d’abord la cause du côté du droit, et non du côté de l’actuaire.

La fiabilité structurelle ne serait pas une norme supplémentaire que l’on ajouterait à celles qui existent déjà. Elle serait la condition à laquelle ces normes deviennent applicables. Le règlement sur les marchés de crypto-actifs exige une couverture des défaillances de systèmes sans dire ce qu’est un système bien tenu. Le régime pilote exige la fiabilité des contrats intelligents sans dire à quoi elle se mesure. Le règlement sur la résilience opérationnelle organise la maîtrise du risque informatique pour des entités identifiées et laisse hors de son atteinte celles qui n’ont pas d’identité. Chacun de ces textes suppose résolue une question qu’aucun n’a posée.

Le coût de l’attente doit être mesuré. Tant que l’option assurantielle ouverte par l’article 67 demeure théorique, la seule voie praticable reste la détention de fonds propres, ce qui réserve l’activité aux acteurs les mieux capitalisés et contredit l’ambition d’ouverture que le législateur affichait. Tant que la perte purement économique causée par un composant défaillant ne rencontre aucun débiteur, elle demeure supportée par celui qui est le moins apte à la porter, c’est-à-dire par le détenteur de détail. Une obligation qui ne rencontre personne cesse d’être une obligation, et un risque que nul ne peut transférer finit par peser sur le plus faible.

Le calendrier, pour une fois, est favorable, et trois échéances se succèdent. La transposition de la directive sur la responsabilité du fait des produits défectueux, attendue au plus tard le 9 décembre 2026, ouvre la marge dont dépendent le sort du logiciel et le recours subrogatoire. L’entrée en vigueur du livre 7 du Code civil, le 1er septembre 2027, installera dans le droit commun des contrats spéciaux un étalon de conformité et une responsabilité décennale recodifiée. Le réexamen du règlement sur les marchés de crypto-actifs, dû au plus tard le 30 juin 2027, imposera de réunir les données de sinistralité qui manquaient. Le livre 6 offre dès maintenant l’étalon extracontractuel, et le livre 7 vient de démontrer, en déplaçant la responsabilité décennale sans l’altérer, qu’une obligation d’assurance se définit par renvoi à l’énoncé qui nomme le défaut. Les pièces sont sur la table et nul ne les a encore rapprochées.

La proposition se résume en une phrase. Que l’on reconnaisse que celui qui met en circulation une architecture numérique destinée à recevoir les avoirs d’autrui répond de la tenue de cette architecture ; que l’on admette que la certification de cette tenue, délivrée selon un schéma public par un organisme accrédité, fasse présumer la conformité jusqu’à preuve contraire ; et que l’on refuse que l’absence de certificat vaille présomption de faute. Le marché de l’assurance ferait le reste, non par vertu, mais parce qu’il aurait enfin quelque chose à assurer.

Note sur la méthode et les sources

L’exercice est prospectif : il propose au droit une construction qu’il ne contient pas encore. Il s’efforce en revanche de ne rien avancer du droit positif qui ne s’y trouve, de citer sur sources primaires et de signaler les points où la proposition excède l’état actuel des textes. La prospective ne vaut qu’à proportion de l’exactitude de la description dont elle part.

Les actes de l’Union ont été consultés dans leur version publiée au Journal officiel, les lois belges dans leur version publiée au Moniteur belge et coordonnée sur la banque de données Justel, les unes et les autres dans l’état consultable en octobre 2026. Aucune jurisprudence n’est invoquée, la question posée n’en ayant pas encore reçu, et il a paru préférable de le dire plutôt que de solliciter des décisions rendues sur d’autres objets. Une réserve est signalée en son lieu quant à l’article 5.89 du Code civil, dont le texte n’a pu être vérifié sur source primaire à la date de rédaction.

Déclaration d’intérêts

L’auteur exerce à titre indépendant sous le nom d’OMK Conseil et n’entretient aucun lien d’intérêts avec un organisme de certification, un assureur, un émetteur de crypto-actifs ou un prestataire de services sur crypto-actifs. Le cabinet ne fournit aucun service sur crypto-actifs ni conseil en investissement.