Assurance Conseil en cybersécurité

Elles vous protègent au pénal — l'accès et le maintien dans un système d'information ne sont licites qu'avec l'autorisation écrite de celui qui en répond — mais pas au civil. Une autorisation de tester n'est pas une autorisation de casser : le client peut toujours invoquer une faute d'exécution, fenêtre d'intervention non respectée, intensité disproportionnée, absence de sauvegarde vérifiée avant de lancer. C'est la RC Pro, et non votre contrat de mission, qui absorbe l'arrêt d'exploitation.

Votre engagement est une obligation de moyens : appliquer l'état de l'art à la date de la mission, sur le périmètre convenu, pas garantir un SI inviolable. Deux éléments décident du dossier : la traçabilité du périmètre — ce que vous aviez le droit de tester, ce qui vous a été refusé, ce qui était hors scope — et la clarté écrite de vos réserves. La RC Pro intervient si une négligence est retenue contre vous, et finance votre défense même lorsqu'elle ne l'est pas.

Aucun texte n'impose la RC Pro à cette activité : le conseil en cybersécurité n'est pas une profession réglementée à assurance obligatoire, contrairement au médecin, à l'avocat ou au constructeur. En pratique elle est incontournable, mais pour une autre raison : grands comptes, marchés publics et référentiels de qualification réclament une attestation avec un plafond minimum avant tout référencement, souvent en exigeant la couverture des dommages immatériels non consécutifs. Distinguez bien l'obligation légale de l'exigence du donneur d'ordre.

C'est le point à verrouiller avant de signer. Tant que vous recommandez et que le client arbitre, vous restez dans le champ classique du conseil. Dès que vous détenez une délégation opérationnelle — budget, validation d'architecture, acceptation formelle d'un risque, signature d'une politique — l'exposition change de nature et plusieurs contrats la limitent ou l'excluent. Faites inscrire noir sur blanc « RSSI externalisé » ou « direction de la sécurité déléguée » aux conditions particulières.

Les contrats de RC Pro fonctionnent le plus souvent en base réclamation : c'est la date à laquelle le client réclame qui déclenche la garantie, pas celle de votre intervention. Deux clauses décident donc tout : la reprise du passé, qui couvre les missions antérieures à la souscription, et la garantie subséquente, qui continue de vous couvrir après la fin du contrat — au minimum cinq ans en responsabilité civile professionnelle (article L.124-5 du Code des assurances). Ne restez jamais un seul jour sans contrat.

Prévenez l'assureur sans attendre : vous êtes tenu de déclarer en cours de contrat les circonstances nouvelles qui aggravent le risque — effectif, chiffre d'affaires, nouvelle prestation comme la red team ou la réponse à incident. Un contrat professionnel n'ouvre ni les 14 jours de rétractation ni la loi Hamon, réservés aux particuliers : la résiliation intervient à l'échéance annuelle avec deux mois de préavis (L.113-12), ou lors d'un changement de situation professionnelle (L.113-16).