Assurance Cybersécurité & tests d'intrusion

Oui, c'est même le cœur du risque du pentester : il s'agit d'un dommage immatériel causé à un tiers, généralement qualifié de dommage immatériel consécutif quand il découle d'une atteinte à un système ou à des données. Vérifiez deux points sur votre contrat : que les dommages immatériels non consécutifs — pertes financières sans dommage matériel préalable — soient garantis, car c'est fréquemment le cas ici ; et le niveau de plafond, car une perte d'exploitation sur une plateforme marchande grimpe vite. Un contrat RC Pro généraliste « informatique » sans extension spécifique aux tests offensifs vous laissera exposé sur l'essentiel.

L'autorisation écrite (règle d'engagement, mandat de test, périmètre daté et signé) vous protège au pénal contre le reproche d'accès frauduleux à un système : sans elle, votre activité serait purement et simplement illégale. Elle ne vous exonère pas de votre responsabilité civile envers le client si vous causez un dommage par faute, ni surtout envers les tiers qui n'ont rien signé — hébergeur, éditeur SaaS, utilisateurs finaux, clients de votre client. C'est précisément ce que couvre la RC Pro. Un plafond de responsabilité contractuel négocié réduit l'exposition côté client, mais il est inopposable aux tiers.

Cela dépend de la nature de l'écart. Une erreur d'exécution — plage IP mal recopiée, sous-domaine partagé avec un autre client, machine mutualisée non identifiée par le client — reste une faute involontaire, donc assurable, et c'est la situation la plus fréquente. En revanche, une extension délibérée du périmètre sans accord, ou un test mené sans mandat, entre dans le terrain de la faute intentionnelle ou dolosive, que la loi interdit d'assurer. La ligne se trace sur la preuve : mandat signé, périmètre horodaté, journaux d'outils conservés. C'est votre premier réflexe de protection, avant même le contrat.

C'est la mise en cause la plus redoutée du métier, et elle est bien de nature professionnelle : le client vous reproche un manquement à votre obligation de moyens. Vous n'êtes pas tenu de garantir un résultat — aucun test ne prouve l'absence de vulnérabilité — mais vous devez avoir travaillé selon l'état de l'art et le périmètre convenu. La RC Pro couvre ce type de faute intellectuelle et finance votre défense technique, souvent longue. Votre meilleure protection reste rédactionnelle : préciser noir sur blanc dans le rapport la date, le périmètre, les limites et ce qui n'a pas été testé.

Non par défaut. Beaucoup de missions red team ou d'audits volumineux mobilisent des indépendants ou des confrères sur une partie du périmètre. Vous restez responsable envers le client de leurs actes, mais votre contrat ne garantit en principe que vos propres salariés et vous-même. Deux réflexes : exiger de chaque intervenant une attestation RC Pro à jour, avec un plafond cohérent avec la mission ; et demander à votre assureur si votre contrat couvre votre responsabilité du fait des sous-traitants — c'est une extension à négocier explicitement, pas un acquis. Sans cela, un incident causé par un tiers vous laisse seul face au client.

Non. Un contrat souscrit pour les besoins de votre activité professionnelle n'ouvre ni droit de rétractation de 14 jours ni résiliation infra-annuelle à la Hamon : ces mécanismes sont réservés aux particuliers. La règle de droit commun est la résiliation à l'échéance annuelle, avec un préavis de deux mois (article L.113-12 du Code des assurances). S'y ajoutent des cas ponctuels, notamment le changement de situation affectant le risque — cessation d'activité, changement de profession — encadré par l'article L.113-16. Anticipez donc votre préavis, et surtout ne résiliez jamais avant que le nouveau contrat ne soit effectif : un trou de garantie sur ce métier est intenable.