EDD et POI : le consultant Seveso, gardien de données ultra-sensibles
Vos livrables décrivent où et comment frapper un site industriel. Cette concentration de données fait du consultant un maillon critique de la sûreté.
- Une EDD et un POI contiennent la cartographie exacte des vulnérabilités d'un site : quantités stockées, points de défaillance, scénarios pires cas, plans détaillés.
- Ces documents relèvent souvent de clauses de confidentialité strictes, parfois de la protection du potentiel scientifique et technique de la nation pour les sites stratégiques.
- Une fuite — vol de poste, intrusion, envoi erroné, sous-traitant négligent — peut engager votre responsabilité contractuelle et exposer le site à un risque de malveillance.
- Une assurance cyber couvre la gestion de l'incident, la responsabilité envers le client et les frais de notification, là où la RC Pro classique s'arrête.
Ce que contiennent vraiment vos livrables
On parle beaucoup de la qualité technique de l'étude de dangers et trop peu de sa nature : c'est l'un des documents les plus sensibles qu'une entreprise industrielle puisse produire. Un consultant Seveso, par construction, en est le dépositaire central.
Que trouve-t-on dans vos livrables ? La liste des substances dangereuses présentes et leurs quantités exactes. La localisation précise des stockages les plus critiques. Les scénarios de pires conséquences, avec leurs enveloppes d'effets. Les points de défaillance unique d'un procédé. Le détail des mesures de maîtrise des risques — donc, en creux, ce qui se passe si on les contourne. Et dans le POI, l'organisation précise de la réponse à la crise, les délais d'intervention, les moyens disponibles.
Lu par le bon expert, cet ensemble est une notice : il décrit où et comment un site industriel est vulnérable. Cette concentration d'information fait de vous un acteur de la sûreté, au-delà de la sécurité. Ce n'est pas une posture théorique : pour certains sites d'importance vitale ou relevant du potentiel scientifique et technique de la nation, la divulgation de ces éléments est encadrée par des dispositifs de protection spécifiques.
Il faut bien saisir la nuance entre les deux notions. La sécurité, c'est ce qui prévient l'accident involontaire : la défaillance d'un équipement, l'erreur d'exploitation, l'aléa naturel. C'est votre cœur de métier. La sûreté, c'est ce qui prévient l'acte volontaire de malveillance : intrusion, sabotage, attaque ciblée. Or vos livrables, conçus pour améliorer la première, constituent un mode d'emploi pour qui chercherait à compromettre la seconde. Vous produisez l'antidote et le poison dans le même document. Cette dualité, rarement formulée, est pourtant au centre de votre responsabilité de dépositaire.
Les voies de fuite que vous sous-estimez
Quand on pense fuite de données, on imagine une cyberattaque sophistiquée. La réalité du consultant indépendant ou en petite structure est beaucoup plus prosaïque, et c'est ce qui la rend dangereuse.
- Le poste nomade volé ou perdu. Un ordinateur portable contenant les EDD de plusieurs clients dérobé dans une voiture ou un train. Si le disque n'est pas chiffré, l'intégralité de votre portefeuille documentaire est exposée.
- L'envoi erroné. Le mauvais destinataire en copie d'un mail, un fichier déposé sur un partage mal restreint, une clé USB oubliée chez un client. Le geste le plus banal sur le document le plus sensible.
- Le sous-traitant ou collaborateur. Vous déléguez une partie de la modélisation ou de la rédaction. Le maillon faible de votre chaîne devient le vôtre : la confidentialité que vous devez à votre client, vous la devez aussi à travers ceux que vous faites intervenir.
- L'intrusion ciblée. Rançongiciel chiffrant vos dossiers, hameçonnage visant vos accès, exfiltration silencieuse. Un cabinet détenant les plans de plusieurs sites Seveso est une cible bien plus intéressante qu'il ne le croit.
Le point commun de tous ces scénarios : la valeur du dommage n'a aucun rapport avec la taille de votre structure. Un consultant seul peut, par une seule négligence, exposer un site classé entier.
Votre responsabilité : double, contractuelle et réglementaire
Une fuite de données issues de vos missions vous expose sur deux plans distincts qu'il faut bien séparer.
Le plan contractuel d'abord. Vos contrats de mission Seveso comportent presque systématiquement des clauses de confidentialité fortes, parfois assorties de pénalités. En cas de divulgation, votre client vous opposera le manquement à cette obligation, indépendamment de tout préjudice prouvé pour certaines clauses. Et si la fuite facilite un acte de malveillance, le préjudice devient considérable.
Le plan des données personnelles ensuite. Vos dossiers ne contiennent pas que de la donnée technique : organigrammes de crise, coordonnées des personnels d'astreinte, identités d'intervenants. Une fuite touchant ces éléments relève du RGPD et peut déclencher une obligation de notification à la CNIL, voire aux personnes concernées, sous 72 heures pour les violations à risque.
La RC Pro classique couvre votre faute professionnelle dans le contenu de l'étude. Elle n'est pas conçue pour gérer un incident de sécurité informatique : la restauration de vos systèmes, l'investigation forensique, la notification, l'accompagnement de crise, la responsabilité spécifique née de la perte de confidentialité. C'est l'objet d'une assurance cyber dédiée, qui intervient là où la RC Pro s'arrête.
Le coût réel d'un incident, bien au-delà du rançongiciel
L'erreur classique est de réduire le risque cyber à la rançon réclamée par un attaquant. Pour un consultant Seveso, le coût d'un incident se compose de plusieurs strates, dont la plus visible n'est pas toujours la plus lourde.
| Poste | Nature de la dépense |
|---|---|
| Réponse à incident | Investigation forensique, identification de la faille, confinement, restauration des systèmes et des données. |
| Interruption d'activité | Impossibilité de travailler pendant la remédiation, livrables retardés, missions décalées, perte d'exploitation. |
| Obligations réglementaires | Notification CNIL, information des personnes concernées, accompagnement juridique de la conformité RGPD. |
| Responsabilité contractuelle | Réparation due aux clients dont la confidentialité a été rompue, pénalités contractuelles, perte de marchés. |
| Réputation | Perte de confiance des exploitants, qui confient des secrets industriels au cabinet le plus discret, pas au plus connu. |
Pour un consultant indépendant ou une petite structure, l'addition de ces postes peut représenter plusieurs fois le chiffre d'affaires annuel. La perte de réputation, en particulier, est insidieuse : un cabinet dont on apprend qu'il a laissé fuiter les plans d'un site Seveso ne perd pas seulement le client concerné, il perd la matière première de sa relation commerciale — la confiance. C'est cette accumulation, davantage que la rançon initiale, qui menace réellement la survie de l'activité, et que seule une couverture pensée pour le risque numérique permet d'absorber.
Construire une hygiène documentaire à la hauteur des enjeux
Protéger des données aussi sensibles ne demande pas un budget de grande entreprise, mais une discipline constante. Voici le socle minimal pour un consultant Seveso.
- Chiffrement systématique. Disques des postes fixes et portables, sauvegardes, supports amovibles. Un poste chiffré perdu n'est pas une fuite, c'est un incident matériel.
- Cloisonnement par client. Évitez le dossier fourre-tout. Une compromission doit pouvoir être circonscrite à un seul client, pas exposer tout votre portefeuille.
- Transferts sécurisés. Bannissez les pièces jointes pour les livrables critiques au profit d'espaces de dépôt chiffrés et à accès tracé et limité dans le temps.
- Encadrement des sous-traitants. Répercutez vos obligations de confidentialité par contrat et vérifiez leurs pratiques. Vous restez responsable de leur maillon.
- Authentification renforcée et sauvegardes hors ligne. Double facteur sur les accès, sauvegardes déconnectées pour survivre à un rançongiciel.
- Politique de purge. Ne conservez pas indéfiniment les dossiers achevés sur vos postes de travail. Une donnée archivée hors ligne et chiffrée n'est plus exposée au quotidien ; un dossier qui traîne sur un disque actif l'est en permanence.
Aucune de ces mesures n'est coûteuse ni hors de portée d'un indépendant. Ce qui fait la différence, ce n'est pas l'outillage mais la régularité : la fuite naît presque toujours du jour où l'on déroge à sa propre discipline, parce qu'on est pressé ou en déplacement. Documenter ces pratiques et s'y tenir constitue aussi, en cas de litige, la preuve que vous aviez pris les précautions attendues d'un professionnel diligent.
Cette hygiène réduit la probabilité et la gravité d'un incident, mais ne l'annule pas. Le risque résiduel — l'attaque réussie, l'erreur humaine, la défaillance d'un tiers — appelle un transfert assurantiel. Au-delà de la cyber, pensez aussi à la protection de votre parc informatique, support matériel de toutes ces données. Et pour l'ensemble de votre exposition métier, consultez la couverture pensée pour le consultant Seveso.
Questions fréquentes
Oui. Une EDD et un POI décrivent précisément les substances dangereuses, leurs quantités, les points de défaillance et l'organisation de la réponse de crise. Entre de mauvaises mains, ces documents constituent une cartographie des vulnérabilités du site. Pour certains sites stratégiques, leur divulgation est même encadrée par des dispositifs de protection spécifiques.
Non. La RC Pro couvre votre faute professionnelle dans le contenu de l'étude, pas un incident de cybersécurité. La gestion de crise, l'investigation forensique, la restauration des systèmes, les frais de notification et la responsabilité née de la perte de confidentialité relèvent d'une assurance cyber dédiée.
Oui, dès lors que vos dossiers contiennent des données personnelles : coordonnées du personnel d'astreinte, organigrammes de crise, identités d'intervenants. Une fuite touchant ces éléments peut déclencher une obligation de notification à la CNIL sous 72 heures pour les violations présentant un risque.
Oui. Vous restez tenu de l'obligation de confidentialité envers votre client, y compris pour les intervenants que vous faites participer à la mission. Le maillon faible de votre chaîne devient le vôtre. Il faut répercuter vos obligations par contrat et vérifier les pratiques de sécurité de vos sous-traitants.
Le chiffrement est indispensable mais insuffisant seul. Un poste chiffré perdu devient un simple incident matériel, ce qui est déjà essentiel. Mais il faut le compléter par le cloisonnement par client, des transferts sécurisés et tracés, l'authentification renforcée et des sauvegardes hors ligne pour résister à un rançongiciel.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant Seveso — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant Seveso →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.