Assurance Consultant cybersécurité OT

Non. Le conseil en cybersécurité n'est pas une profession réglementée : aucun texte ne vous impose de souscrire, contrairement au bâtiment ou aux professions du chiffre. L'exigence vient de vos donneurs d'ordre : un industriel, un exploitant d'énergie ou d'eau réclame l'attestation RC Pro avant même le plan de prévention et l'ouverture des accès site, souvent avec un plafond minimum imposé au contrat. Retenez les trois niveaux : pas d'obligation légale, une exigence contractuelle quasi systématique, et une prudence élémentaire quand vous exercez en nom propre.

Oui, c'est exactement l'objet de la garantie : une faute technique dans l'exécution de la mission qui provoque un préjudice financier chez le client. Deux réserves comptent. L'autorisation d'abord : beaucoup de contrats réduisent ou excluent la garantie quand vous intervenez sans accord écrit sur le périmètre, la fenêtre horaire et les équipements concernés. En OT, ce mail de validation vaut de l'or. La sous-limite ensuite : l'arrêt de production est un dommage immatériel non consécutif, souvent plafonné très en dessous du plafond général du contrat.

C'est le point aveugle du métier : une vulnérabilité non remontée peut n'être exploitée que deux ou trois ans après la mission. La plupart des RC Pro fonctionnent en base réclamation, c'est-à-dire que la date retenue est celle de la mise en cause, pas celle de l'intervention. Vérifiez donc deux clauses : la reprise du passé, qui couvre vos missions antérieures à la souscription, et la garantie subséquente, d'une durée minimale de cinq ans après la fin du contrat (article L.124-5 du Code des assurances).

Regardez moins le plafond global que la ligne dommages immatériels non consécutifs : c'est elle qui paiera un arrêt de production. Un plafond général d'un million d'euros assorti d'une sous-limite immatérielle de 150 000 euros ne tient pas face à une ligne d'embouteillage ou à un poste de livraison. Les grands industriels imposent fréquemment 2 à 5 millions au contrat de prestation. Lisez cette exigence avant de signer la mission : relever un plafond reste possible en cours d'année, mais jamais de façon rétroactive sur un chantier déjà lancé.

Séparez trois choses. Le ransomware subi par votre client relève de sa propre assurance cyber, pas de votre RC Pro. Votre RC Pro intervient si le client soutient que l'attaque a été rendue possible par votre faute : vulnérabilité identifiée mais non signalée, règle de filtrage recommandée à tort, compte d'administration laissé actif après l'intervention. Elle finance alors votre défense et l'indemnité éventuellement mise à votre charge. Enfin, une attaque visant vos propres postes et vos propres rapports d'audit relève d'une cyber-assurance à votre nom, distincte de la RC Pro.

Votre contrat est professionnel : ni le délai de rétractation de quatorze jours ni la loi Hamon ne s'appliquent, ce sont des droits réservés aux consommateurs. Vous résiliez à l'échéance annuelle avec un préavis de deux mois (article L.113-12), et une faculté de résiliation existe en cas de changement de situation professionnelle, notamment une cessation d'activité (article L.113-16). En cours de contrat, déclarez toute évolution qui aggrave le risque (article L.113-2) : ajout de tests d'intrusion, prise en main directe d'automates, missions sur des sites hors de France. Une activité non déclarée n'est pas garantie.