Assurance Consultant cybersécurité ICS

Oui, et c'est la règle générale sur les sites industriels sensibles. Les exploitants d'installations classées, les opérateurs d'énergie, d'eau ou les sites pharmaceutiques conditionnent quasi systématiquement l'accès à un plan de prévention et à une attestation d'assurance avec un plafond minimal. Ce n'est pas une obligation légale d'assurance pesant sur vous : c'est une exigence contractuelle du donneur d'ordre, négociée dans le contrat-cadre ou le cahier des charges. Lisez le montant demandé avant de signer : certains grands comptes exigent des plafonds élevés en dommages immatériels, et une attestation standard ne suffit pas toujours. Faites vérifier la cohérence entre le plafond exigé et celui réellement souscrit.

C'est précisément là que se joue la défense. Si le rapport délimite clairement le périmètre — cellules auditées, automates exclus, réseaux non couverts, systèmes hors scope faute d'accès — et si la limite a été notifiée par écrit au client, votre responsabilité est difficile à engager sur un équipement resté hors champ. Si le périmètre est flou ou seulement oral, le client soutiendra qu'il vous avait mandaté sur l'ensemble de l'installation OT. L'assureur prendra en charge votre défense dans les deux cas, mais l'issue dépend de vos écrits. Concrètement : périmètre daté, exclusions listées, réserves écrites à chaque contrainte d'accès imposée par l'exploitant.

C'est le point à vérifier ligne à ligne avant de signer. Un balayage réseau, un test d'intrusion ou une sollicitation d'automate en production peut faire tomber un équipement fragile et arrêter une ligne : c'est un risque d'intervention, pas une simple faute de conseil. Beaucoup de contrats RC Pro généralistes excluent ou limitent les tests intrusifs, surtout hors environnement de recette. Il faut donc déclarer explicitement cette activité et obtenir la garantie correspondante. En parallèle, l'autorisation écrite de l'exploitant, la fenêtre d'intervention validée et la sauvegarde préalable de la configuration restent vos meilleures protections.

En principe non, mais encore faut-il le prouver. Le juge regardera si vous aviez identifié le risque, si vous l'aviez hiérarchisé et si vous aviez explicitement alerté sur les conséquences d'une non-remédiation. Un rapport qui liste cinquante écarts sans priorisation ni alerte claire sur les plus critiques vous expose : le client dira qu'il n'a pas été mis en mesure de comprendre l'urgence. Conservez la trace de la remise du rapport, de la présentation au comité, et des relances sur les écarts critiques restés ouverts. Le devoir de conseil du prestataire technique implique une mise en garde formalisée, pas seulement une observation noyée dans une annexe.

Oui, et c'est la particularité de votre métier. Un durcissement insuffisant posé lors d'un audit peut n'être exploité que deux ou trois ans plus tard, et la mise en cause survient alors bien après la facture finale. D'où l'importance de la garantie subséquente, qui couvre les réclamations reçues après la fin du contrat pour des prestations réalisées pendant sa validité. Vérifiez sa durée — plusieurs années selon les contrats — et surtout ne laissez jamais de trou entre deux assureurs : une période non couverte devient un angle mort permanent sur toutes les missions de cette période. En cas de changement d'assureur, la continuité de la reprise du passé se négocie.

Votre contrat est un contrat professionnel : ni le délai de rétractation de 14 jours ni la loi Hamon ne s'appliquent, ils sont réservés aux particuliers. La résiliation se fait à l'échéance annuelle avec un préavis de deux mois, conformément au Code des assurances. Une possibilité supplémentaire existe en cas de changement de situation affectant le risque — cessation d'activité, changement de profession, modification substantielle du périmètre. C'est justement le point sensible : si vous passez de l'audit documentaire au test intrusif, ou si vous commencez à intervenir sur des sites classés, déclarez-le sans attendre. Une aggravation non déclarée peut faire réduire l'indemnité au moment du sinistre.