Assurance Pentester freelance

Non. Le test d'intrusion n'est pas une profession réglementée à assurance obligatoire, contrairement aux avocats, experts-comptables ou constructeurs. Aucun texte ne vous impose de souscrire une RC Pro pour exercer en freelance, quel que soit votre statut (micro-entreprise, EURL, SASU). Mais l'absence d'obligation légale ne vous protège de rien : votre responsabilité reste engagée sur vos deniers personnels si vous êtes en nom propre, et sur l'actif de la société sinon. Et dans les faits, l'exigence vient d'ailleurs : la quasi-totalité des grands comptes, ESN, banques et administrations conditionnent la signature de la commande à la production d'une attestation RC Pro à jour.

C'est la situation la plus délicate du métier. Sortir du scope — une IP voisine dans le même bloc, un sous-domaine appartenant en réalité à un tiers, un SaaS hébergé chez un prestataire du client — peut constituer un accès frauduleux à un système de traitement automatisé de données, qui est un délit pénal. Votre RC Pro ne paiera jamais une amende pénale : c'est interdit. Elle peut en revanche indemniser le tiers touché et, si votre contrat comporte une garantie défense-recours, prendre en charge vos frais d'avocat. La vraie protection reste documentaire : ordre de mission signé, périmètre listé IP par IP, autorisation écrite de l'hébergeur quand le client n'est pas propriétaire de l'infrastructure.

Le principe est simple : une donnée que vous n'auriez pas dû sortir de l'environnement client engage votre responsabilité, même sans intention. Si le client doit notifier l'incident, informer ses utilisateurs ou subit une sanction, il se retournera vers vous. La RC Pro classique couvre les conséquences pécuniaires de cette faute envers le client et les personnes concernées. En revanche, l'ensemble des frais dits cyber — notification, forensic, gestion de crise, rançon — relève d'une garantie cyber distincte, à souscrire en complément. Pratique élémentaire : ne jamais dumper au-delà de la preuve minimale, chiffrer le stockage temporaire, purger et attester la destruction à la remise du rapport.

Pas automatiquement. Beaucoup de contrats limitent la garantie aux tests techniques et excluent implicitement les opérations impliquant des personnes physiques ou une intrusion sur site. Or le red team cumule les expositions : phishing qui déclenche une réaction disproportionnée d'un salarié, intrusion physique qui abîme une porte ou un lecteur de badge, blessure pendant l'opération, plainte d'un collaborateur piégé qui invoque un préjudice moral. Déclarez ces prestations explicitement à la souscription, avec leur part dans votre chiffre d'affaires. Faites confirmer par écrit que l'intrusion physique et le pretexting entrent dans l'activité garantie, et vérifiez que le volet dommages corporels causés aux tiers n'est pas exclu sur ces missions.

C'est le sinistre le plus coûteux du métier et le plus souvent oublié. Le client vous a payé pour trouver, il se fait compromettre six mois plus tard sur une vulnérabilité qui était dans le périmètre testé, et il vous reproche un défaut de diligence. La RC Pro couvre ce manquement dans l'exécution de la prestation intellectuelle, dès lors que la faille était réellement dans le scope et détectable avec les moyens contractuellement prévus. D'où l'importance capitale de la rédaction du rapport : dater les tests, lister ce qui a été testé et surtout ce qui ne l'a pas été, mentionner les limitations de temps, les environnements indisponibles et les comptes non fournis. Ces réserves écrites sont votre première ligne de défense.

Votre contrat est un contrat professionnel : ni le délai de rétractation de 14 jours ni la loi Hamon ne s'appliquent, ce sont des dispositifs réservés aux particuliers. La règle de droit commun est la résiliation à l'échéance annuelle, avec un préavis de deux mois, par lettre recommandée ou tout moyen prévu au contrat. En cours d'année, un changement significatif de situation qui modifie le risque — vous passez du pentest web au red team physique, vous embauchez, votre chiffre d'affaires double, vous ouvrez une activité de MSSP — ouvre une possibilité de résiliation ou impose au minimum une déclaration à l'assureur. Ne l'omettez pas : une activité non déclarée est une activité non garantie.