Assurance cyber pour ESN et sociétés de conseil IT
Réponse courte
Le risque cyber d'une ESN est un risque d'accumulation. Une compromission de son outillage d'administration peut atteindre simultanément l'ensemble de son parc client, ce qui déplace l'enjeu du plafond par sinistre vers le plafond annuel et vers la clause de sinistre sériel. S'y ajoutent des exigences de souscription renforcées, du fait des accès privilégiés détenus chez les clients.
À partir de quand une ESN doit-elle souscrire une assurance cyber ?
Le déclencheur est la détention d'accès, pas la taille du parc.
-
Dès la détention d'accès permanents chez un client
Un compte d'administration, un accès VPN ou un tunnel de supervision font de l'ESN un maillon de la chaîne de sécurité du client. L'exposition existe dès le premier accès, avant toute mission d'infogérance formalisée.
-
À la première mission de TMA ou d'infogérance
Un engagement de disponibilité sur la durée transforme l'incident technique en manquement contractuel. L'ESN devient elle-même le fournisseur dont la carence est habituellement exclue chez ses clients.
-
Au premier questionnaire de sécurité fournisseur
Les grands comptes auditent leurs prestataires informatiques et exigent souvent une attestation cyber en complément de la RC Pro. Le questionnaire porte sur les mêmes points que l'analyse de l'assureur.
-
Dès qu'un client soumis à NIS 2 répercute ses obligations
La directive élargit les obligations de gestion du risque numérique et couvre notamment les fournisseurs de services numériques et gérés. Ses effets atteignent l'ESN par voie contractuelle : engagements de sécurité, délais de notification, clauses d'audit.
Pourquoi le risque d'une ESN est un risque d'accumulation
Nature du risque
Une entreprise ordinaire subit un incident qui l'affecte elle. Une ESN peut subir un incident qui affecte tous ses clients en même temps : compromission de son outil de déploiement, de sa console d'administration ou de son annuaire. Le sinistre n'est pas plus probable, il est beaucoup plus large.
Cette caractéristique change la lecture du contrat. Le plafond par sinistre, qui suffit à raisonner pour une entreprise classique, devient secondaire : ce qui compte est le plafond par année d'assurance, puisque toutes les réclamations arriveront dans la même fenêtre. Un contrat dont le plafond annuel équivaut au plafond par sinistre offre une protection très inférieure à ce que son montant suggère.
La clause de sinistre sériel devient alors décisive, et son effet est ambivalent. Si les réclamations de quarante clients issues d'une même compromission sont regroupées en un sinistre unique, un seul plafond par sinistre s'applique et une seule franchise est due — mais ce plafond doit absorber l'ensemble. Si elles sont traitées séparément, chaque dossier dispose de son plafond, mais autant de franchises s'accumulent et le plafond annuel s'épuise. Aucune des deux rédactions n'est bonne en soi : il faut la lire en regard de la taille du parc.
Conséquence pratique sur la souscription : l'assureur voudra connaître le nombre de clients pour lesquels l'ESN détient des accès, la nature de ces accès et leur segmentation. Une architecture où un même jeu d'identifiants ouvre plusieurs environnements clients est un point de refus fréquent. Le guide de l'assurance cyber détaille le socle de mesures attendu.
Comment se répartissent les dommages propres et la responsabilité envers les clients
Périmètre
Le volet dommages propres finance la remise en état de l'ESN : investigation, reconstitution, perte d'exploitation, gestion de crise. Le volet responsabilité indemnise les clients dont les systèmes ou les données ont été atteints. Pour un prestataire disposant d'accès privilégiés, un contrat sans ce second volet laisse l'essentiel du risque dehors.
La distinction se complique par le fait que l'ESN peut être atteinte de deux manières opposées. Dans le premier cas, l'attaque la vise directement et se propage vers ses clients : sa responsabilité est engagée. Dans le second, l'attaque vient d'un environnement client et remonte vers ses propres systèmes : elle est victime, et cherche à se retourner contre le client ou son assureur. La qualification détermine le volet mobilisé et l'assureur qui pilote la crise.
Le point de rédaction à vérifier est la définition du système d'information assuré. Elle doit englober les environnements clients auxquels l'ESN accède dans le cadre de ses missions, faute de quoi une intervention effectuée sur l'infrastructure d'un tiers peut être considérée hors périmètre. C'est une extension à demander expressément pour l'infogérance.
Reste l'articulation avec la responsabilité civile professionnelle. Une mise en cause par un client peut être portée sur le terrain de la prestation défaillante, donc de la RC Pro, ou sur celui de l'atteinte aux données, donc du volet responsabilité du contrat cyber. Confier les deux contrats au même interlocuteur évite qu'ils se renvoient le dossier au moment où l'ESN a besoin d'une réponse rapide.
Que fait NIS 2 aux contrats d'une ESN, en pratique
Conformité
La directive NIS 2 élargit le périmètre des entités soumises à des obligations de gestion du risque numérique et couvre notamment les fournisseurs de services numériques et de services gérés. Son effet le plus immédiat pour une ESN est indirect : ses clients concernés lui imposent contractuellement des engagements de sécurité, de notification et d'audit.
Ces engagements créent une responsabilité nouvelle, de nature contractuelle. Un délai de notification d'incident de vingt-quatre heures inscrit dans un contrat cadre devient une obligation dont le manquement est sanctionnable, indépendamment de l'incident lui-même. Une clause d'audit permet au client de venir vérifier les mesures annoncées, et un écart constaté peut fonder une résiliation ou une réclamation.
L'ESN se trouve donc à devoir aligner trois documents qui ne se parlent pas naturellement : ses engagements contractuels envers ses clients, les mesures réellement en place, et le périmètre de son contrat d'assurance. Un délai de notification promis plus court que ce que ses moyens permettent, ou une mesure annoncée dans un questionnaire mais non déployée, créent une exposition non couverte — la déclaration inexacte pouvant être opposée par l'assureur.
Le sujet devient un sujet de pilotage plus que de souscription. Suivre les engagements pris client par client, les échéances des attestations et la cohérence entre les deux relève d'un outil plutôt que d'un tableur : c'est l'objet de la centralisation des contrats et de la gestion collaborative entre les équipes avant-vente, juridique et sécurité. La page ESN replace ce sujet dans l'ensemble des garanties du secteur.
Questions fréquentes : assurance cyber et ESN & conseil IT
Qui paie quand une attaque atteint un client via les accès de l'ESN ?
Deux garanties se répartissent le sujet. Les conséquences chez l'ESN — investigation, reconstitution de ses données, sa perte d'exploitation, la gestion de crise — relèvent du volet dommages propres de son contrat cyber. La mise en cause par le client relève de la responsabilité civile : soit le volet responsabilité du contrat cyber, soit le volet cyber de la RC Pro selon la rédaction. Un prestataire détenant des accès privilégiés doit vérifier explicitement que cette responsabilité envers les tiers est garantie, et pas seulement ses propres dommages.
Une seule compromission touchant trente clients compte-t-elle pour un ou trente sinistres ?
Cela dépend de la clause de sinistre sériel du contrat. Si les réclamations issues d'un même fait générateur sont regroupées, il s'agit d'un sinistre unique : une seule franchise, mais un seul plafond par sinistre pour absorber l'ensemble. Si elles sont traitées séparément, chaque dossier dispose de son plafond mais autant de franchises sont dues, et le plafond annuel s'épuise plus vite. Pour une ESN, c'est l'une des deux ou trois clauses les plus importantes du contrat.
Une ESN peut-elle être refusée à la souscription à cause de ses accès clients ?
Oui, et c'est fréquent lorsque la gestion des accès est insuffisamment segmentée. Les points examinés sont l'authentification multifacteur sur les comptes à privilèges, la séparation des environnements clients, la rotation et le coffrage des secrets, et la journalisation des connexions d'administration. Une architecture où un même jeu d'identifiants ouvre plusieurs environnements clients constitue un motif de refus ou d'exclusion, parce qu'elle transforme un incident local en incident de portefeuille.
Le contrat cyber couvre-t-il les interventions réalisées sur l'infrastructure d'un client ?
Seulement si la définition du système d'information assuré le prévoit. Beaucoup de contrats la limitent aux systèmes détenus ou exploités par l'assuré, ce qui laisse hors périmètre les opérations menées sur l'infrastructure d'un tiers — soit le cœur de l'activité d'infogérance. C'est une extension à demander expressément, faute de quoi une erreur de manipulation en production chez un client pourrait ne relever que de la RC Pro, sans les moyens de gestion de crise du contrat cyber.
Une ESN est-elle directement soumise à la directive NIS 2 ?
La directive couvre notamment les fournisseurs de services numériques et de services gérés, ce qui place de nombreuses ESN dans son champ, avec des seuils et des catégories qui dépendent de l'activité et de la taille. Mais l'effet le plus immédiat est indirect : les clients concernés répercutent leurs obligations dans les contrats de prestation sous forme d'engagements de sécurité, de délais de notification et de droits d'audit. Ces engagements contractuels créent une exposition à traiter, quelle que soit la qualification directe de l'ESN.
Faut-il déclarer à l'assureur la liste des clients dont on détient les accès ?
L'assureur demande généralement le nombre de clients concernés, la nature des accès et le mode de gestion des secrets, plutôt qu'une liste nominative. Ces éléments servent à évaluer le risque d'accumulation et à calibrer le plafond annuel. Ils doivent être actualisés : une ESN qui double son parc d'infogérance ou remporte un contrat sur une infrastructure critique change son profil de risque, et la déclaration s'actualise par avenant sans attendre l'échéance.
Pour aller plus loin
Assurance Cyber
Garanties, exclusions courantes et cadre réglementaire applicable, tous secteurs confondus.
ESN & conseil IT
Régie, forfait, TMA et infogérance.
Les autres assurances du secteur ESN & conseil IT
Assurance Cyber dans les autres secteurs
