Assurance Pentester

Non. Le test d'intrusion n'est pas une profession réglementée soumise à une obligation légale d'assurance, contrairement à un expert-comptable, un avocat ou un constructeur. Mais l'absence d'obligation légale ne veut pas dire absence de contrainte : la quasi-totalité des donneurs d'ordre réclament une attestation avant signature, les marchés publics et les grands comptes en font une condition d'éligibilité, et les contrats-cadres l'imposent par une clause dédiée. Distinguez donc trois niveaux : pas d'obligation légale, une exigence contractuelle quasi systématique, et une simple bonne pratique de protection de votre patrimoine.

Elle vous protège sur un terrain, pas sur l'autre. Les règles d'engagement signées légitiment votre intrusion et écartent le risque pénal d'accès frauduleux à un système d'information ; elles délimitent aussi le périmètre, ce qui est votre meilleure preuve en cas de litige. En revanche, elles ne vous exonèrent pas des dommages que votre intervention cause : le client peut engager votre responsabilité contractuelle pour manquement à votre obligation de moyens, et un tiers touché par ricochet peut agir sur le fondement de l'article 1240 du code civil. Conservez systématiquement la convention signée et les horaires de test.

Trois points, avant d'envoyer le document. D'abord que l'activité déclarée mentionne explicitement le test d'intrusion et l'audit de sécurité, et pas seulement une formule vague de conseil informatique : une activité non décrite se retourne contre vous au moment du sinistre. Ensuite que les dommages immatériels non consécutifs sont bien garantis et avec quelle sous-limite, car c'est là que se logent l'indisponibilité et la perte d'exploitation, votre risque principal. Enfin la portée géographique, si les actifs testés sont hébergés hors de France. Une attestation générique passe rarement un service achats exigeant.

Tout dépend du mode de déclenchement de votre contrat. La plupart des RC Pro fonctionnent en base réclamation (article L.124-5 du code des assurances) : la garantie joue selon la date à laquelle la réclamation vous parvient, avec un délai subséquent après la fin du contrat et, à l'entrée, une reprise du passé qui couvre les missions antérieures. Vérifiez ces deux paramètres quand vous changez d'assureur et n'acceptez jamais de trou entre deux contrats. Sur le fond, un pentest reste une obligation de moyens : les limites de périmètre et de profondeur écrites dans votre rapport sont votre meilleure défense.

Les deux, chacune de son côté. La RC Pro indemnise le préjudice subi par vos clients dont les vulnérabilités non corrigées et les identifiants se retrouvent dans la nature : c'est un dommage causé à un tiers. L'assurance cyber traite vos propres pertes quand vous êtes la victime : remise en état de votre poste ou de votre serveur, investigation numérique, notification à la CNIL et aux clients concernés, gestion de crise, éventuelle rançon. Un pentester stocke la cartographie des faiblesses de ses clients, ce qui en fait une cible de valeur : les deux garanties se complètent au lieu de se substituer.

Oui, et sans attendre l'échéance. Tout changement qui modifie le risque doit être déclaré : passage de micro-entreprise à société, premier salarié, recours à un sous-traitant, montée en gamme vers du red team, de l'ingénierie sociale ou de l'audit de systèmes industriels. Une activité exercée mais non déclarée peut faire tomber la garantie au moment du sinistre. Côté sortie, un contrat professionnel n'ouvre ni délai de rétractation de 14 jours ni résiliation loi Hamon : vous résiliez à l'échéance annuelle avec un préavis de deux mois (article L.113-12) ou, lors d'un changement de situation professionnelle, dans les conditions de l'article L.113-16.