Un pentest fait tomber la prod du client : qui paie les 80 000 € ?

Vous êtes consultant en cybersécurité, mandaté pour un test d'intrusion externe sur l'infrastructure d'une PME industrielle. Vous lancez une phase d'énumération sur une plage d'adresses fournie par le client. L'un des services exposés est un vieil ERP non documenté, hébergé sur le même serveur que l'outil de production. Le rythme de vos requêtes, parfaitement banal pour un système moderne, sature le service legacy. À 14h12, l'ERP tombe. Avec lui, la prise de commandes, la facturation et le suivi des expéditions de l'usine.

La production redémarre à 1h du matin après intervention de l'infogérant. Bilan : près de onze heures d'arrêt en pleine journée ouvrée. Le client chiffre sa perte d'exploitation, ajoute les heures de son prestataire informatique appelé en urgence et les pénalités contractuelles dues à deux de ses propres clients livrés en retard. La facture présentée frôle les 80 000 €.

Vous n'avez rien fait d'illégal ni d'incompétent. Vous avez fait votre métier. Et pourtant, c'est vous qu'on regarde.

Un test d'intrusion consiste, par définition, à reproduire le comportement d'un attaquant sur un système qui ne vous appartient pas. Vous interagissez volontairement avec des actifs critiques, parfois fragiles, souvent mal cartographiés par le client lui-même. Le droit français encadre strictement l'accès et le maintien dans un système de traitement automatisé de données (articles 323-1 et suivants du Code pénal) : seul un mandat explicite transforme votre intrusion en prestation licite.

Sur le plan de la responsabilité civile, vous êtes tenu d'une obligation de moyens renforcée par votre qualité de professionnel. Un dommage causé à la production du client n'est pas en soi une faute : c'est un risque inhérent à la mission. La question que tranchera l'assureur, puis le cas échéant le juge, est simple : avez-vous agi dans le cadre autorisé et selon les règles de l'art ?

Un pentest sans mandat écrit n'est pas un pentest mal documenté : c'est une intrusion non autorisée. La nuance fait basculer le dossier du terrain assurantiel au terrain pénal.

Dans ce type de sinistre, l'issue se joue sur le document signé avant la mission, pas sur les compétences techniques. Trois éléments sont déterminants.

• Le périmètre (scope) : la liste exacte des adresses, domaines et services autorisés. Si l'ERP figurait dans le scope, vous étiez dans votre droit. S'il n'y figurait pas mais répondait sur une IP autorisée, la rédaction du mandat devient l'enjeu central.
• La fenêtre d'intervention : les créneaux validés. Un test agressif lancé un mardi à 14h sans fenêtre négociée se défend mal ; le même test programmé la nuit, à la demande du client, change radicalement la lecture.
• Les conditions et limites : intensité autorisée, exclusion explicite des tests de déni de service, obligation d'un plan de repli et d'un contact d'astreinte côté client.

Avec ces trois lignes correctement renseignées et un test mené proprement, le dommage est un dommage immatériel consécutif couvert par votre assurance RC Pro. Sans elles, vous portez seul le risque, et l'assureur peut invoquer une faute intentionnelle ou un dépassement de mandat pour refuser sa garantie.

La somme réclamée par un client n'est presque jamais le simple coût de l'arrêt machine. Voici comment se compose un préjudice de ce type.

On atteint vite 80 000 €, dont une large part en dommages immatériels purs, c'est-à-dire des pertes financières sans dommage matériel direct. C'est précisément le poste que beaucoup de contrats RC Pro génériques excluent ou sous-plafonnent. Pour un métier qui touche au cœur des systèmes critiques, la couverture des dommages immatériels n'est pas une option : c'est le centre de gravité du contrat.

Lorsque le mandat est carré, votre RC Pro intervient sur plusieurs fronts. Elle assure la défense face à la réclamation : un assureur sérieux mandate un expert pour démontrer que le test respectait les règles de l'art, ce qui réduit souvent le montant retenu. Elle indemnise ensuite les dommages immatériels reconnus dans la limite des plafonds souscrits.

Restent des zones à surveiller. La franchise demeure à votre charge. Une faute lourde caractérisée (test hors scope assumé, absence totale d'autorisation) reste exclue. Enfin, si l'incident touche vos propres outils, vos accès ou les données client stockées chez vous, c'est une garantie cyber qui prend le relais, pas la seule RC Pro. Vérifiez que votre contrat consultant cybersécurité combine bien les deux volets, et comparez les conditions pour votre métier sur la page assurance conseil en cybersécurité.

Dans un sinistre de pentest destructeur, l'erreur classique du consultant est de croire qu'il porte seul le dommage. En réalité, le client a presque toujours une part de responsabilité, et c'est un levier majeur de réduction de la facture.

Le client a fourni le périmètre : s'il a inclus une IP sans signaler qu'elle hébergeait un ERP critique non maintenu, il a manqué à son devoir d'information. Il est par ailleurs tenu de garantir l'intégrité de ses sauvegardes : un système legacy sans plan de restauration testé révèle une négligence de sa part, pas de la vôtre. Enfin, l'absence de fenêtre de test imposée par le client, ou son refus d'un créneau nocturne pour ne pas gêner l'exploitation, l'expose à assumer le risque qu'il a lui-même créé.

Le partage de responsabilité n'est pas une faveur : c'est une mécanique juridique que votre assureur active systématiquement pour ramener votre quote-part à une fraction du dommage total.

D'où l'importance de tracer non seulement vos propres actions, mais aussi les informations transmises par le client et celles qu'il a omises. Un échange écrit où vous demandez l'état des sauvegardes avant un test vaut, le jour du litige, bien plus qu'une longue argumentation technique.

Quelques réflexes transforment un risque ingérable en risque maîtrisé.

1. Exiger un mandat écrit signé avant toute action, avec scope, fenêtre et conditions noir sur blanc.
2. Demander au client de confirmer ses sauvegardes et leur restauration avant un test pouvant impacter la production.
3. Obtenir un contact d'astreinte joignable pendant toute la fenêtre de test.
4. Bannir par défaut les tests de déni de service et documenter l'intensité de vos scans.
5. Conserver une journalisation horodatée de chaque action : c'est votre meilleure preuve en cas de litige.
6. Souscrire une RC Pro qui couvre explicitement les dommages immatériels et les tests d'intrusion, pas un contrat conseil standard.

Le pentest qui casse la prod n'est pas une fatalité de carrière : c'est un risque connu, qui se contractualise en amont et s'assure correctement. La différence entre une mauvaise journée et une faillite tient à un document signé et à une ligne de garantie.