Assurance pour ESN et sociétés de conseil IT
Réponse courte
Une ESN doit prioriser la RC Pro, exigée par pratiquement tous ses clients avant signature, en vérifiant que la garantie des dommages immatériels non consécutifs est suffisante — c'est la forme que prend presque tout préjudice informatique. Viennent ensuite l'assurance cyber, indispensable dès que l'entreprise détient des accès aux systèmes de ses clients, puis la RCMS pour les dirigeants et la prévoyance obligatoire prévue par la convention Syntec.
Les enjeux d'assurance d'une ESN
Un préjudice presque toujours purement financier
Retard de mise en production, régression, surcoût de reprise : le dommage est immatériel et non consécutif. C'est précisément la garantie que les contrats RC Pro standards plafonnent le plus bas.
Une responsabilité qui varie selon le type de mission
La régie relève en principe d'une obligation de moyens, le forfait d'une obligation de résultat. Un même incident n'engage donc pas l'ESN de la même façon selon le contrat signé.
Des accès privilégiés aux systèmes des clients
Infogérance, TMA, comptes d'administration : l'ESN devient un maillon de la chaîne de sécurité de ses clients, et une porte d'entrée potentielle vers leurs systèmes.
Une chaîne de sous-traitance à couvrir
Freelances, partenaires, portage : l'ESN répond devant son client de toute la prestation, y compris de la part qu'elle n'a pas réalisée elle-même.
Les assurances recommandées pour une ESN
Quatre garanties couvrent l'essentiel de l'exposition d'une entreprise de services du numérique, de la première mission en régie à l'infogérance de systèmes critiques.
Assurance RC Pro
Couvre les conséquences d'un livrable non conforme, d'un retard préjudiciable ou d'une régression en production chez votre client.
Assurance Cyber
Couvre la reconstitution des données, la perte d'exploitation et la responsabilité envers les clients dont les systèmes sont atteints.
Assurance RCMS
Protège le patrimoine personnel des dirigeants en cas de faute de gestion reprochée, y compris après une cession ou un LBO.
Assurance Homme-clé
Verse un capital à l'entreprise en cas d'absence prolongée d'un associé ou d'un expert dont dépendent les comptes majeurs.
Régie, forfait, infogérance : ce qui change côté assurance
La même équipe, chez le même client, n'expose pas l'ESN de la même manière selon le contrat qui encadre la mission.
| Critère | Régie / assistance technique | Forfait / projet | TMA / infogérance |
|---|---|---|---|
| Nature de l'engagement | Obligation de moyens : le client pilote la mission et encadre le consultant. | Obligation de résultat : engagement sur un périmètre, un délai et un prix. | Engagement de disponibilité et de niveau de service, sur la durée. |
| Fait générateur typique | Compétence ou diligence insuffisante du consultant mis à disposition. | Livrable non conforme, régression en production, dérive de planning. | Indisponibilité, perte de données, correctif tardif sur un incident. |
| Garantie principalement mobilisée | RC Pro — dommages immatériels causés au client. | RC Pro, volet dommages immatériels non consécutifs et retard. | RC Pro et assurance cyber, selon l'origine de l'interruption. |
| Point de vigilance au contrat | Activité de mise à disposition de personnel bien déclarée. | Plafond spécifique de l'immatériel non consécutif, et non le plafond global. | Périmètre d'infogérance et accès privilégiés aux systèmes clients déclarés. |
| Exigence client fréquente | Attestation RC Pro nominative avant démarrage. | Plafond minimum imposé dans le contrat cadre ou l'appel d'offres. | Attestation cyber en complément de la RC Pro. |
Pourquoi le plafond global d'une RC Pro ne suffit pas à juger d'un contrat d'ESN
Point de vigilance
Les préjudices informatiques sont presque toujours des dommages immatériels non consécutifs : une perte financière sans dommage matériel préalable. Beaucoup de contrats affichent un plafond global confortable tout en sous-limitant cette garantie précise. C'est ce sous-plafond, et non le plafond de tête, qui détermine la couverture réelle d'une ESN.
Trois lignes méritent une lecture attentive dans les conditions particulières. Le montant garanti au titre des dommages immatériels non consécutifs, exprimé par sinistre et par année d'assurance. La franchise applicable à cette garantie, souvent plus élevée que la franchise générale. Et la définition de l'activité assurée, qui doit couvrir explicitement les prestations réellement vendues : développement, intégration, hébergement, infogérance, formation, édition de logiciel. Le glossaire détaille ce que recouvrent les notions de plafond de garantie, de franchise et d'exclusion de garantie.
Le second angle mort concerne l'évolution de l'offre. Une ESN qui passe du conseil à l'édition d'un produit SaaS, ou qui ajoute une activité d'hébergement, modifie la nature de son risque sans nécessairement penser à actualiser sa déclaration. En cas de sinistre, l'assureur peut opposer que le dommage relève d'une activité non garantie. La déclaration du risque se met à jour par avenant, pas au renouvellement suivant.
Guide complet de l'assurance RC ProPourquoi une ESN est jugée sur sa sécurité autant que sur sa compétence
Exigences clients
Un prestataire informatique dispose souvent d'accès permanents aux systèmes de ses clients. Il devient de ce fait un vecteur possible de compromission pour l'ensemble de son portefeuille. Les donneurs d'ordre soumis à des obligations de cybersécurité répercutent leurs exigences dans les contrats de prestation, ce qui déplace la question de la technique vers le juridique et l'assurance.
La directive européenne NIS 2 élargit sensiblement le périmètre des entités soumises à des obligations de gestion du risque numérique, et couvre notamment les fournisseurs de services numériques et de services gérés. Son effet le plus immédiat pour une ESN est indirect : ses clients concernés lui imposent, par voie contractuelle, des engagements de sécurité, des délais de notification d'incident et des clauses d'audit. Ces engagements créent une responsabilité nouvelle, qui doit se retrouver dans le contrat d'assurance.
Un contrat cyber d'ESN se lit donc sur deux volets distincts. Le volet « dommages propres » finance la reconstitution des données, la perte d'exploitation et la gestion de crise. Le volet « responsabilité » indemnise les clients dont les données ou les systèmes ont été atteints, et prend en charge les frais de défense. Un contrat qui ne couvre que le premier laisse l'ESN exposée sur ce qui la menace le plus : la réclamation de son propre client.
Guide complet de l'assurance cyberComment gérer les attestations quand chaque client en réclame une
En pratique
Une ESN en croissance produit des attestations en continu : contrat cadre, appel d'offres, référencement fournisseur, renouvellement annuel. Le retard sur une attestation bloque une signature, et une attestation dont le libellé d'activité ne correspond pas à la mission se fait refuser. Centraliser les contrats et les échéances évite ces frictions.
C'est le rôle de la plateforme Quartz : la centralisation des contrats met les attestations à disposition de l'équipe commerciale sans passer par un courtier à chaque demande, le suivi de contrat anticipe les échéances, et la gestion collaborative donne un accès partagé aux équipes juridique, RH et avant-vente.
Sur le fond, si la distinction entre la responsabilité de la société et celle de ses dirigeants reste floue, le comparatif RC Pro ou RCMS la traite point par point. Et si vous hésitez sur le mode d'accompagnement, courtier traditionnel ou plateforme compare les trois modèles du marché.
Questions fréquentes sur l'assurance des ESN
Une ESN a-t-elle l'obligation légale de souscrire une RC Pro ?
Non. Les entreprises de services du numérique n'exercent pas une profession réglementée : aucun texte ne leur impose de responsabilité civile professionnelle, contrairement aux professions juridiques, comptables ou aux intermédiaires d'assurance. L'obligation est en pratique contractuelle : la quasi-totalité des grands comptes et des acheteurs publics exigent une attestation RC Pro, avec un plafond minimum, comme condition d'entrée en relation. Le contrat est donc indispensable commercialement, même sans contrainte légale.
Un projet au forfait livré en retard ou non conforme engage-t-il la RC Pro ?
Oui, et c'est le scénario de sinistre le plus fréquent en ESN. Une mission au forfait fait généralement naître une obligation de résultat : l'ESN s'engage sur un périmètre fonctionnel, un délai et un prix. Un livrable non conforme, une régression en production ou un retard préjudiciable ouvrent droit à réparation pour le client, et la RC Pro intervient sur ce préjudice. En régie, l'engagement est en principe une obligation de moyens : le client pilote, et la faute doit porter sur la compétence ou la diligence du consultant mis à disposition.
Les dommages immatériels non consécutifs sont-ils bien couverts ?
C'est le point à vérifier en priorité. En informatique, le préjudice type est purement financier : perte de chiffre d'affaires, surcoût de reprise, pénalités de retard, sans aucun dommage matériel préalable. L'assurance qualifie cela de dommage immatériel non consécutif, et de nombreux contrats standards le sous-limitent fortement ou l'excluent. Un contrat RC Pro dont le plafond global est élevé mais dont la garantie immatériel non consécutif est plafonnée bien plus bas ne couvre pas réellement l'exposition d'une ESN.
Qui couvre les sous-traitants et les freelances mobilisés sur une mission ?
L'ESN reste responsable devant son client de l'ensemble de la prestation, y compris de la part réalisée par ses sous-traitants. Deux précautions se cumulent : déclarer l'activité de sous-traitance au contrat RC Pro, car certaines polices la limitent à un pourcentage du chiffre d'affaires ; et exiger de chaque indépendant ou partenaire une attestation RC Pro à jour, avec un plafond cohérent. Sans cela, un recours contre le sous-traitant peut rester lettre morte et la charge finale pèse sur l'ESN.
Une cyberattaque qui atteint un client via les accès de l'ESN, qui la prend en charge ?
Deux garanties se répartissent le sujet. L'assurance cyber de l'ESN traite ses propres conséquences : reconstitution des données, perte d'exploitation, gestion de crise, notification. La mise en cause par le client, elle, relève de la responsabilité civile — sur le volet cyber de la RC Pro ou sur la garantie de responsabilité incluse dans le contrat cyber. Un prestataire disposant d'accès privilégiés aux systèmes de ses clients doit vérifier explicitement que cette responsabilité envers les tiers est garantie, et pas seulement ses propres dommages.
La convention collective Syntec impose-t-elle des garanties à une ESN ?
La convention collective Syntec, qui couvre les bureaux d'études techniques et les sociétés de conseil, prévoit un régime de prévoyance obligatoire au bénéfice des salariés : garanties décès, incapacité de travail et invalidité. Cette obligation est distincte des assurances de responsabilité et de l'assurance cyber, qui protègent l'entreprise et non les collaborateurs. Une ESN doit donc traiter les deux volets, et vérifier que son contrat de prévoyance est bien conforme aux garanties minimales de sa branche.
Que demandent concrètement un grand compte ou un acheteur public avant de signer ?
Le plus souvent une attestation d'assurance nominative, en cours de validité, mentionnant l'activité exacte couverte et le montant des plafonds par sinistre et par année. Les appels d'offres publics fixent fréquemment un plafond minimal, et les marchés portant sur des systèmes sensibles ajoutent une exigence de garantie cyber. Le refus le plus courant ne porte pas sur le plafond mais sur le libellé d'activité : une attestation qui mentionne « conseil informatique » alors que la mission relève de l'infogérance peut être rejetée.
À examiner aussi selon votre situation
Deux contrats restent utiles à une ESN, sans être propres à son activité de service.
Assurance du local professionnel
Une ESN multi-agences cumule des sites à déclarer et un parc informatique largement nomade. Deux points déterminent l'indemnisation réelle : l'actualisation des capitaux après chaque vague de recrutement, et la souscription explicite de la garantie pertes d'exploitation.
Assurance chômage du dirigeant
Un gérant majoritaire ou un président de société de services est exclu du régime d'assurance chômage. Seul un contrat volontaire lui verse un revenu de remplacement en cas de révocation ou de liquidation, et l'adhésion suppose deux ans d'existence.
Découvrez nos autres secteurs
Explorez nos cas d'usage selon votre secteur d'activité.
