Ransomware après un audit « conforme » : anatomie chiffrée d'un litige

Prenons un cas représentatif, reconstitué à partir de situations fréquentes. Une PME industrielle d'une cinquantaine de salariés vous mandate pour un audit organisationnel de cybersécurité. Votre mission : évaluer la gouvernance, les politiques, la gestion des accès et la stratégie de sauvegarde. Vous remettez un rapport pointant quelques axes d'amélioration, mais concluant à un niveau de maturité globalement satisfaisant.

Trois mois plus tard, l'entreprise est victime d'un ransomware. Le serveur de production est chiffré, les sauvegardes — connectées en permanence au réseau — sont également touchées. L'activité s'arrête huit jours. Le dirigeant, sous le choc, se retourne vers vous : « Vous aviez validé notre sécurité. »

Ce reproche, même s'il paraît injuste, est le point de départ d'un contentieux. La question n'est pas de savoir si vous avez « validé » la sécurité — vous ne l'avez pas garantie — mais de déterminer ce que votre mission couvrait réellement, et si une diligence attendue a été omise.

Le client ne réclame pas une somme abstraite. Il agrège des postes de préjudice bien identifiés. Voici une décomposition typique de la réclamation :

Ce sont presque exclusivement des dommages immatériels : aucune machine n'a été physiquement détruite, mais le préjudice financier est massif. C'est exactement le type de dommage qu'une RC Pro mal calibrée peut exclure si elle ne couvre que les dommages matériels et corporels.

Toute l'issue du dossier se joue sur une question : qu'aviez-vous mission de vérifier ?

Si votre lettre de mission stipulait un audit organisationnel et que la faille exploitée était une vulnérabilité technique sur un service exposé (par exemple un accès distant mal sécurisé), vous pouvez démontrer que ce point était hors périmètre. À l'inverse, si la stratégie de sauvegarde faisait explicitement partie de votre mission et que vous n'avez pas relevé que les sauvegardes étaient connectées en permanence — donc vulnérables au chiffrement —, l'omission devient difficile à défendre.

Dans la majorité des litiges cyber post-audit, ce n'est pas la compétence du prestataire qui est attaquée, mais le flou du périmètre contractuel. Un audit dont le périmètre est mal délimité par écrit est un audit qui expose son auteur.

Trois éléments pèsent lourd dans la balance :

• La lettre de mission et son annexe technique de périmètre.
• Les réserves formulées dans le rapport et les recommandations non suivies par le client.
• L'état de l'art au moment de l'audit : une diligence aujourd'hui standard, comme vérifier l'isolement des sauvegardes, est attendue d'un professionnel.

Ce scénario illustre parfaitement la complémentarité de deux couvertures que l'on confond souvent.

La RC Pro intervient sur la réclamation du client contre vous. Elle prend en charge l'analyse de votre responsabilité, finance votre défense, mande des experts pour contester ou réduire le montant réclamé, et indemnise le client si votre responsabilité est finalement retenue. Sans elle, les seuls frais de défense — expertise technique, avocat spécialisé — peuvent atteindre plusieurs dizaines de milliers d'euros, même si vous avez raison sur le fond.

La garantie cyber, elle, protège votre propre cabinet. Si c'est vous qui êtes chiffré, si les données techniques sensibles de vos clients que vous hébergez sont compromises, c'est la cyber qui finance votre remise en état, la gestion de crise et les éventuelles notifications. Elle ne couvre pas la mise en cause de votre conseil — c'est le rôle de la RC Pro.

Pour un délégué sécurité numérique, l'idéal est d'articuler les deux. Vous conseillez à vos clients de ne pas faire l'impasse sur la cyber : il serait paradoxal d'en faire l'impasse pour vous-même.

Même si une faute vous est imputée, encore faut-il prouver qu'elle a causé le sinistre. C'est le terrain de l'expertise, et c'est souvent là que se gagnent ou se perdent les dossiers cyber.

Reprenons notre scénario. Supposons qu'une omission vous soit reprochée sur l'isolement des sauvegardes. La question décisive devient : le ransomware aurait-il causé les mêmes dégâts si vous aviez relevé ce point ? Plusieurs hypothèses s'ouvrent :

• Si le client, alerté, aurait corrigé immédiatement et aurait pu restaurer ses données sans payer de rançon, votre omission a un impact financier mesurable sur le préjudice.
• Si la porte d'entrée de l'attaque (un accès distant compromis, un poste utilisateur infecté) était totalement hors de votre périmètre, le chiffrement aurait eu lieu de toute façon : le lien entre votre éventuelle omission et le sinistre s'affaiblit.
• Si le client n'avait de toute façon pas suivi vos recommandations passées, sa propre négligence vient réduire votre part de responsabilité.

Dans un sinistre cyber, le montant réclamé et le montant finalement retenu sont rarement les mêmes. L'écart se joue sur l'expertise du lien de causalité — d'où l'intérêt vital d'une assurance qui finance la contre-expertise technique.

C'est une raison de plus pour ne pas affronter seul ce type de dossier : la qualité de l'expertise mobilisée pèse directement sur la facture finale.

Le meilleur litige est celui qui n'a pas lieu. Plusieurs leviers, mis en place dès la signature de la mission, réduisent à la fois la probabilité d'une réclamation et son ampleur potentielle :

1. La clause de limitation de responsabilité. Plafonner contractuellement votre responsabilité, par exemple à un multiple du montant de la mission, encadre votre exposition. Cette clause doit être rédigée avec soin pour être opposable et ne pas être réputée non écrite.
2. La définition du niveau de service attendu. Préciser la fréquence des points de suivi, le délai de réaction en cas d'alerte, le mode de signalement, évite les attentes implicites du client qui se transforment ensuite en reproches.
3. La répartition explicite des rôles. Indiquer ce que le client doit faire de son côté (appliquer les correctifs, maintenir ses sauvegardes, former ses équipes) crée une responsabilité partagée et limite la vôtre.
4. La clause d'assurance réciproque. Exiger que le client dispose lui-même d'une couverture cyber l'incite à internaliser une partie de son risque, plutôt que de le reporter intégralement sur vous.

Ces clauses ne suppriment pas la possibilité d'un litige, mais elles modifient profondément le rapport de force le jour où il survient. Combinées à une RC Pro adaptée, elles forment un dispositif de protection cohérent.

Un même sinistre peut se solder par un non-lieu ou par une condamnation lourde, selon votre préparation en amont. Quelques pratiques font toute la différence :

1. Formalisez systématiquement le périmètre dans une lettre de mission, avec une annexe technique listant ce qui est et n'est pas couvert.
2. Hiérarchisez et datez vos recommandations, en distinguant les actions critiques des améliorations de confort.
3. Faites accuser réception de vos rapports et de vos alertes : un client qui n'a pas mis en œuvre une recommandation critique en porte une part de responsabilité.
4. Déclarez vite. Dès la première réclamation, même informelle, prévenez votre assureur. Une déclaration tardive peut compromettre la prise en charge.
5. Conservez vos preuves techniques : captures, configurations observées, échanges. Elles établissent l'état réel du système au moment de votre intervention.

Retrouvez les garanties recommandées pour votre activité sur la page dédiée au délégué sécurité numérique.