Un automate que vous avez audité provoque un accident : qui paie le dommage corporel ?
Le jour où un SCADA que vous avez audité déclenche un arrêt d'urgence raté, le contentieux ne porte plus sur de la donnée mais sur des corps. Voici comment se répartissent les responsabilités.
- L'OT manipule des process physiques : une faille non détectée peut blesser, pas seulement bloquer une base de données.
- Votre rapport d'audit IEC 62443 devient une pièce centrale du dossier judiciaire : tout ce qui n'y figure pas vous expose.
- La frontière entre dommage matériel, immatériel consécutif et dommage corporel détermine quelle garantie joue — et beaucoup de RC Pro IT plafonnent le corporel.
- Une RC Pro avec volet corporel et défense pénale est la seule vraie protection sur les sites Seveso et OIV.
Pourquoi l'OT change radicalement la nature de votre risque
En cybersécurité informatique classique, le pire scénario d'un audit raté est financier : fuite de données, indisponibilité d'un service, perte de chiffre d'affaires. En cybersécurité OT (Operational Technology), vos recommandations touchent des automates qui ouvrent des vannes, pilotent des fours, régulent une pression ou actionnent des bras robotisés. La conséquence d'une faille n'est plus une ligne dans un journal d'incident : c'est une fuite de produit chimique, une surpression, un démarrage intempestif sur une zone où un opérateur travaille.
Cette bascule du virtuel vers le physique fait entrer en scène une catégorie de préjudice que la RC Pro informatique standard couvre mal, voire pas du tout : le dommage corporel. Un consultant qui audite un SCADA Schneider sur une station d'épuration, ou un automate Siemens sur une ligne agroalimentaire, doit intégrer que sa prestation peut, indirectement, être mise en cause dans un accident du travail ou un sinistre environnemental.
C'est précisément la raison pour laquelle les plafonds exigés sur ces missions montent à 1, 3 voire 5 millions d'euros : on ne couvre plus un préjudice économique, on couvre une atteinte aux personnes et à l'environnement.
Le scénario type : l'arrêt d'urgence qui ne se déclenche pas
Prenons un cas réaliste. Vous réalisez un audit IEC 62443 sur une unité de production. Vous cartographiez les automates, vous testez la segmentation, vous documentez les vulnérabilités exploitables. Trois mois plus tard, une commande non authentifiée — restée accessible sur le réseau Profinet — est utilisée (par erreur de maintenance ou par malveillance) pour forcer un état automate qui neutralise une chaîne d'arrêt d'urgence. Un opérateur est blessé.
L'enquête remonte naturellement jusqu'à votre rapport. Trois questions vont décider de votre sort :
- Aviez-vous identifié cette commande non authentifiée ? Si oui, l'aviez-vous qualifiée au bon niveau de criticité, ou noyée dans une liste de 80 findings sans hiérarchie ?
- Aviez-vous explicitement recommandé sa remédiation ? Une vulnérabilité mentionnée mais non assortie d'une préconisation claire est une zone grise dangereuse.
- Votre périmètre couvrait-il ce segment réseau ? Un périmètre mal écrit dans le devis peut soit vous sauver, soit vous enfoncer.
Dans ce type de dossier, votre livrable n'est plus un document technique : c'est une pièce de procédure que l'avocat de la victime, l'inspection du travail et l'expert judiciaire vont disséquer ligne par ligne.
Trois responsabilités distinctes peuvent être engagées en même temps
Un même accident peut ouvrir trois fronts juridiques simultanés, et il est essentiel de comprendre que votre assurance ne répond pas de la même manière à chacun.
| Type de mise en cause | Qui agit | Ce qui est en jeu |
|---|---|---|
| Responsabilité civile contractuelle | Votre client industriel | Indemnisation de ses pertes (arrêt, dommages matériels, recours) |
| Responsabilité civile délictuelle | La victime ou ses ayants droit | Réparation du préjudice corporel |
| Responsabilité pénale | Le ministère public | Blessures ou homicide involontaires, mise en danger |
La RC civile est assurable : c'est le cœur de votre RC Pro. La responsabilité pénale, elle, est personnelle et non assurable dans son volet sanction (vous ne pouvez pas assurer une amende pénale). En revanche, les frais de défense pénale — avocat, expertise, représentation — sont couvrables, et c'est souvent là que se joue la survie financière d'un consultant indépendant face à une instruction qui dure des années.
La question n'est pas seulement « mon assurance paiera-t-elle l'indemnité ? » mais « qui financera mes 40 000 € de frais de défense pendant l'instruction ? ».
Le piège des garanties : matériel, immatériel, corporel
Beaucoup de consultants OT pensent être couverts parce qu'ils ont une « RC Pro IT ». Le problème tient à la structure des garanties. Une RC Pro conçue pour un développeur ou un consultant cloud couvre essentiellement les dommages immatériels (perte d'exploitation, perte de données, atteinte à la réputation). Elle prévoit souvent un sous-plafond faible pour le corporel, parce que ce risque est marginal dans le métier visé.
Pour un consultant OT, c'est l'inverse : le dommage corporel et le dommage matériel (un automate grillé, un équipement endommagé par un démarrage non maîtrisé) sont au cœur du risque. Vous devez donc vérifier précisément :
- Le plafond dédié aux dommages corporels, qui doit être aligné sur les exigences de vos donneurs d'ordre (souvent 1 à 5 M€).
- La présence d'une RC Exploitation couvrant les dommages causés pendant votre présence sur site, distincte de la RC professionnelle qui couvre la faute intellectuelle.
- L'absence d'exclusion « risques industriels » ou Seveso qui viderait la garantie de son sens sur vos missions les plus exposées.
Un audit honnête de votre contrat actuel révèle souvent que la garantie réellement utile en cas d'accident physique est… absente ou plafonnée à quelques dizaines de milliers d'euros. Pour comprendre la mécanique générale, notre page assurance RC Pro détaille la distinction entre faute professionnelle et dommage d'exploitation, et notre fiche dédiée au consultant cybersécurité OT récapitule les garanties à viser selon vos clients.
Comment réduire votre exposition avant même l'assurance
L'assurance intervient en aval ; la maîtrise du risque commence dans votre méthodologie. Quelques réflexes font une différence décisive en cas de litige :
- Hiérarchisez vos findings. Un rapport qui distingue clairement les vulnérabilités critiques pouvant impacter la sûreté de fonctionnement (safety) des autres montre que vous avez fait votre travail d'alerte.
- Tracez vos recommandations et leurs refus. Si le client a décidé de ne pas remédier une faille que vous aviez signalée comme critique, conservez l'échange écrit. C'est votre meilleure défense.
- Écrivez un périmètre précis. Indiquez ce que vous avez testé, ce que vous n'avez pas testé, et les limites de l'audit (absence d'accès à certains automates, fenêtre de test restreinte).
- Documentez la distinction safety / security. Vous n'êtes généralement pas l'auditeur de sûreté fonctionnelle ; précisez-le pour ne pas hériter d'une responsabilité qui relève d'un autre intervenant.
Ces précautions ne remplacent pas une couverture adaptée, mais elles déterminent la facilité avec laquelle votre assureur défendra votre dossier — et donc le coût réel d'un sinistre pour vous.
Questions fréquentes
Rarement de façon suffisante. Les RC Pro conçues pour les métiers IT privilégient les dommages immatériels et plafonnent souvent fortement le corporel. Sur des missions OT, vous avez besoin d'un contrat avec un plafond dommages corporels élevé et une RC Exploitation explicite.
Si vous avez clairement identifié et signalé la vulnérabilité critique, et conservé la preuve écrite du refus de remédiation par le client, votre responsabilité est très atténuée. C'est pourquoi la traçabilité de vos recommandations est votre meilleure protection.
Non. Une sanction pénale est personnelle et non assurable. En revanche, les frais de défense pénale (avocat, expertise, représentation pendant l'instruction) sont couvrables par la protection juridique de votre RC Pro, ce qui est déterminant car ces instructions sont longues et coûteuses.
La RC professionnelle couvre la faute intellectuelle (erreur d'audit, vulnérabilité non détectée). La RC exploitation couvre les dommages matériels ou corporels que vous causez par votre présence ou votre action physique sur le site. Sur un site industriel, les deux sont indispensables.
Les donneurs d'ordre Seveso, OIV et OSE exigent fréquemment des plafonds de 1 à 5 millions d'euros, avec un volet dommages corporels clairement chiffré. Déclarez précisément ce périmètre à votre assureur pour éviter toute mauvaise surprise au moment du sinistre.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant cybersécurité OT — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant cybersécurité OT →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.