Assurance Délégué sécurité numérique

Aucune obligation légale d'assurance ne pèse sur le conseil en sécurité numérique : ce n'est pas une profession réglementée comme l'avocat, l'expert-comptable ou l'architecte. L'exigence vient d'ailleurs, et elle est presque systématique : marchés publics, contrats-cadres de grands comptes, référencement chez un éditeur ou un intégrateur, conventions avec une collectivité. On vous demande alors une attestation avec un plafond minimal avant signature. Distinguez donc trois niveaux : l'obligation légale, absente ici ; l'exigence contractuelle du donneur d'ordre, très fréquente ; et la bonne pratique, qui consiste à ne pas engager votre structure sur le risque des autres sans filet.

Parce que 90 % de vos sinistres tombent dans cette case. Un dommage immatériel non consécutif, c'est une perte financière subie par votre client sans qu'aucun bien n'ait été cassé : jours d'arrêt, commandes perdues, coût d'un prestataire d'urgence après une intrusion. Or beaucoup de contrats RC Pro généralistes excluent ce poste ou le plafonnent très bas, parce qu'il a été écrit pour des métiers où le dommage est physique. Demandez le montant garanti pour ce poste précis, pas seulement le plafond global de la police : c'est lui qui décide si vous êtes réellement couvert.

Votre RC Pro n'indemnise pas le sinistre de votre client en tant que tel : elle intervient sur la part de préjudice imputable à une faute prouvée de votre mission, par exemple une faille située dans le périmètre que vous aviez audité et déclaré maîtrisé. La remise en état, la perte d'exploitation et la reconstitution de données du client relèvent d'abord de sa propre assurance cyber. Le versement d'une rançon est en général exclu des contrats RC Pro ; quand une police cyber le couvre, la loi conditionne l'indemnisation à un dépôt de plainte dans les 72 heures suivant la connaissance de l'attaque.

Ce sont deux contrats qui ne regardent pas dans la même direction. La RC Pro paie ce que vous devez aux autres ; la cyber paie ce que vous perdez vous : chiffrement de vos propres postes, de vos rapports d'audit, de vos accès clients, plus la cellule de crise et la notification. Le point sensible de votre métier est l'attaque par rebond : un attaquant qui passe par votre poste ou votre outil d'administration pour atteindre vos clients déclenche les deux garanties en même temps. Beaucoup de donneurs d'ordre exigent désormais les deux attestations, surtout dans les secteurs soumis à des obligations de cybersécurité renforcées.

C'est le scénario normal de votre métier, où la faute reprochée date d'un audit ancien et se révèle le jour de l'attaque. La plupart des contrats fonctionnent en base réclamation : c'est la date à laquelle la réclamation vous parvient qui compte, à condition que le contrat soit en cours ou que la période de garantie subséquente courre encore. Le Code des assurances (L.124-5) impose un délai subséquent minimal de cinq ans après la fin du contrat. Vérifiez aussi la reprise du passé, indispensable si vous vous assurez après plusieurs années d'exercice, et prévenez votre assureur en cas de cessation d'activité.

Les tarifs démarrent autour de 14,90 € par mois pour un indépendant qui débute sur une activité de conseil pure et un chiffre d'affaires modeste ; ce sont des ordres de grandeur, seule une proposition établie sur votre déclaration d'activité engage. Le prix suit ensuite le chiffre d'affaires, le plafond exigé par vos clients, la franchise et la présence de tests d'intrusion ou d'infogérance dans votre périmètre. Un contrat professionnel n'ouvre ni rétractation de 14 jours ni résiliation loi Hamon : vous résiliez à l'échéance annuelle avec deux mois de préavis (L.113-12), ou en cours d'année en cas de changement réel de situation professionnelle (L.113-16). Déclarez toute nouvelle prestation : ce qui n'est pas déclaré n'est pas garanti.