Assurance RC Pro pour expert en renseignement sur les cybermenaces (CTI)

Non. Le renseignement sur les cybermenaces n'est pas une profession réglementée : aucun texte n'impose au consultant CTI de s'assurer, contrairement aux avocats, experts-comptables ou agents immobiliers dont l'assurance conditionne l'exercice. L'exigence vient d'ailleurs : grands comptes, banques, opérateurs et marchés publics réclament presque systématiquement une attestation RC Pro en cours de validité avant de signer, avec un plafond minimum fixé au cahier des charges. Il faut donc distinguer l'obligation légale, inexistante ici, de l'exigence du donneur d'ordre, très fréquente. Sans obligation légale, votre responsabilité reste pleinement engageable dès qu'une faute cause un dommage à un tiers.

Oui, c'est le coeur même du contrat : la RC Pro couvre l'erreur professionnelle, y compris l'erreur d'analyse, tant qu'elle n'est pas volontaire. Une corrélation d'infrastructure réutilisée ou une empreinte plantée par l'attaquant qui vous conduit à nommer le mauvais groupe relève de la faute assurable ; la faute intentionnelle ou dolosive est exclue par la loi (article L.113-1 du Code des assurances) comme par tous les contrats. Attention à un point précis : la mise en cause pour propos dénigrants ou diffamatoires est souvent exclue ou proposée en option. Faites vérifier cette ligne si vos rapports nomment des entités identifiables.

La collecte reste assurable tant qu'elle demeure passive et documentée : lecture de forums, exploitation de fuites déjà diffusées, abonnement à des flux commerciaux, analyse d'échantillons en environnement confiné. Ce qui ne l'est pas, c'est l'acte illicite : accéder sans autorisation à un système, acheter des identifiants volés, se maintenir dans un espace fermé par usurpation d'identité. Aucun assureur ne prend en charge les conséquences d'un acte pénalement répréhensible commis sciemment. Protégez-vous avec un mandat écrit du client délimitant le périmètre de collecte, une durée de conservation courte et la journalisation systématique de vos sources.

Il peut toujours vous assigner, et c'est précisément là que la garantie sert : elle finance la défense même quand la réclamation est mal fondée. Sur le fond, la veille CTI relève en principe d'une obligation de moyens — vous devez déployer les diligences de l'état de l'art, pas garantir l'exhaustivité d'un espace clandestin par nature mouvant. Encore faut-il que votre contrat de prestation le dise : une clause promettant une couverture complète, un SLA de détection ou une liste fermée de sources déplace le débat vers l'obligation de résultat. Vos engagements écrits pèsent autant que la police.

Elles ne répondent pas au même sinistre. La RC Pro répare le dommage que vous causez à autrui : rapport erroné, indicateur bloquant, divulgation fautive, conseil de remédiation inadapté. L'assurance cyber répare votre propre sinistre : compromission de votre plateforme de collecte, chiffrement de votre base de renseignement, reconstitution des données, frais de notification si les informations que vous hébergez fuitent. Pour ce métier l'exposition est double, puisque vous détenez des éléments sensibles appartenant à vos clients : incidents non publics, indicateurs, identifiants exposés. Les deux garanties se combinent utilement, souvent au sein d'un même contrat.

Votre contrat est professionnel : ni le délai de rétractation de 14 jours ni la loi Hamon ne s'appliquent, ces dispositifs étant réservés aux particuliers. Vous résiliez à l'échéance annuelle en respectant un préavis de deux mois (article L.113-12 du Code des assurances), ou en cours d'année si votre situation change au point de modifier le risque garanti (article L.113-16). En sens inverse, toute évolution significative — ajout de la réponse à incident, premier client hors Union européenne, revente de vos flux, recrutement d'analystes — doit être déclarée à l'assureur : c'est cette déclaration qui maintient la garantie efficace.