Une faille que vous avez ratée est exploitée 6 mois plus tard : responsable ?

Vous avez réalisé un audit de sécurité pour un cabinet comptable. Vous avez rendu un rapport propre : quelques recommandations de durcissement, aucune vulnérabilité critique signalée, un niveau de maturité jugé satisfaisant. Le client est rassuré, paie la prestation, classe le rapport.

Six mois plus tard, un ransomware chiffre l'ensemble de son SI. L'analyse post-incident révèle que l'attaquant est entré par un service d'accès distant mal configuré, présent au moment de votre audit. Le client estime que vous auriez dû le voir, et il vous adresse une réclamation : il vous tient pour responsable de l'intégralité de son préjudice, soit la rançon évitée, la remise en état, l'arrêt d'activité et la notification de la fuite à ses propres clients.

La question centrale : une faille que vous n'avez pas détectée engage-t-elle automatiquement votre responsabilité ? La réponse, en droit, est non. Mais elle est nuancée, et cette nuance se prépare bien avant l'incident.

C'est un scénario d'autant plus déstabilisant qu'il survient après une mission jugée réussie. Vous avez été payé, remercié, et plusieurs mois se sont écoulés. La réclamation tombe alors comme un retour de boomerang, souvent porté par l'assureur du client lui-même, qui après avoir indemnisé le ransomware cherche un responsable contre qui se retourner. Ce mécanisme de recours subrogatoire est très fréquent et explique pourquoi des consultants se retrouvent attaqués longtemps après la fin de leur intervention.

Le consultant en cybersécurité, comme la plupart des prestataires intellectuels, est soumis à une obligation de moyens, et non à une obligation de résultat. Vous ne promettez pas un système d'information inviolable, ce qui serait techniquement impossible et juridiquement absurde. Vous vous engagez à mettre en œuvre, avec sérieux et compétence, les diligences que l'on attend raisonnablement d'un professionnel de votre niveau.

Concrètement, le juge ne vous reprochera pas d'avoir manqué une faille : il vérifiera si un consultant normalement compétent, dans les mêmes conditions, l'aurait détectée. Le simple fait qu'un dommage soit survenu ne suffit donc pas à caractériser votre faute. C'est au client de démontrer un manquement précis dans la conduite de votre mission.

Vous n'êtes pas l'assureur de la sécurité de votre client. Vous êtes le professionnel qui doit prouver qu'il a fait son travail selon les règles de l'art, dans le périmètre convenu.

L'obligation de moyens vous protège tant que vous l'avez respectée. Trois situations la font basculer en responsabilité engagée.

• Une méthode inadaptée : avoir conduit un simple audit documentaire là où le cahier des charges supposait des tests techniques, ou ne pas avoir utilisé les outils standards de la profession.
• Un périmètre incohérent : avoir exclu de l'audit le service même par lequel l'attaque est passée, sans l'avoir signalé comme zone non couverte. Le service d'accès distant, dans notre cas, était-il dans le périmètre ?
• Une couverture inférieure à la commande : avoir facturé un audit complet et livré un échantillonnage partiel sans alerter le client sur les limites de l'examen.

Dans chacun de ces cas, ce n'est pas la faille manquée qui vous condamne : c'est l'écart entre ce que vous deviez faire et ce que vous avez fait. D'où l'importance vitale du document qui formalise tout cela.

Beaucoup de consultants voient le rapport comme un livrable technique. C'est en réalité la pièce maîtresse de votre protection juridique. Trois rubriques y sont décisives.

1. Le périmètre testé et non testé : énoncer explicitement ce qui n'a pas été examiné. Une faille située hors périmètre déclaré ne peut, par construction, vous être reprochée.
2. Les réserves et hypothèses : mentionner les limites de la méthode, les zones où l'accès n'a pas été fourni, les configurations que vous n'avez pas pu vérifier faute d'information du client.
3. La date et la photographie à l'instant T : un audit décrit un état à une date donnée. Une faille introduite par une modification postérieure du SI ne relève pas de votre diagnostic.

Un rapport qui mentionne, par exemple, que le service d'accès distant n'a pas pu être testé faute d'accès fourni par le client renverse complètement la charge de la responsabilité. À l'inverse, un rapport laconique affirmant un niveau de sécurité satisfaisant sans réserve vous expose pleinement.

Supposons que le dossier penche en votre défaveur : le service vulnérable était dans le périmètre, et un confrère l'aurait détecté. Votre assurance RC Pro intervient alors sur l'erreur de diagnostic, qui est précisément une faute professionnelle assurable.

Elle prend en charge deux choses essentielles. D'abord, la défense juridique : un expert mandaté par l'assureur va discuter le lien de causalité et le partage de responsabilité. Car le client, qui n'a souvent pas appliqué vos recommandations ni maintenu son SI, porte généralement une part du dommage. Ensuite, l'indemnisation de la part de préjudice qui vous est imputée, dans la limite des plafonds. Sans RC Pro adaptée, c'est votre patrimoine personnel qui répond d'une réclamation pouvant atteindre des centaines de milliers d'euros. Découvrez les garanties dédiées à votre activité sur la page assurance conseil en cybersécurité.

Le scénario d'une faille exploitée six mois après l'audit soulève une question que beaucoup de consultants ignorent : combien de temps reste-t-on exposé ? En matière de responsabilité contractuelle, le client dispose en principe d'un délai de plusieurs années pour agir à compter de la découverte du dommage. Autrement dit, un audit réalisé aujourd'hui peut générer une réclamation longtemps après la fin de la mission.

Cette temporalité a deux conséquences pratiques. D'abord, votre assurance doit fonctionner en base réclamation et idéalement prévoir une garantie subséquente : si vous cessez votre activité ou changez d'assureur, une réclamation tardive portant sur une ancienne mission doit rester couverte. Vérifiez ce point précis dans vos conditions générales, car c'est un angle mort fréquent des contrats consultant.

Ensuite, l'écoulement du temps peut jouer en votre faveur sur le lien de causalité. Plus l'intervalle entre votre audit et l'incident est long, plus il est probable que le SI ait évolué, qu'un correctif n'ait pas été appliqué ou qu'une nouvelle vulnérabilité soit apparue après votre passage. Un rapport bien daté, rappelant qu'il décrit un état figé, devient alors un argument puissant pour démontrer que la faille exploitée n'est pas celle que vous deviez voir.

La défense d'un consultant cyber se construit dès la signature de la mission, pas le jour de la réclamation.

• Faire signer un cahier des charges précis définissant le type d'audit, le périmètre et la profondeur attendue.
• Documenter chaque diligence : outils utilisés, plages testées, comptes analysés, captures horodatées.
• Inscrire systématiquement les réserves et le périmètre non couvert dans le rapport, et les faire accuser réception par le client.
• Rappeler par écrit que la sécurité est un état dynamique et que le rapport reflète une situation à une date donnée.
• Souscrire une RC Pro couvrant explicitement l'erreur de diagnostic et la défense juridique, et non un contrat conseil minimaliste.

La faille manquée est le cauchemar récurrent de la profession. Mais entre le consultant qui a tracé son travail et balisé son périmètre, et celui qui a rendu un rapport rassurant sans réserve, le sort juridique n'a rien de commun.