Un test d’intrusion ressemble techniquement à une attaque : sans autorisation écrite du propriétaire du système, il peut tomber sous le coup de l’article 323-1 du Code pénal. La convention d’audit vous protège pénalement ; l’assurance RC Pro cybersécurité vous protège quand le test provoque une panne ou une fuite chez le client.
Périmètre, preuves, incidents : voici ce qu’un pentesteur indépendant ou un petit cabinet doit verrouiller avant de lancer le premier scan.
Ce que dit le Code pénal
L’article 323-1 du Code pénal punit l’accès ou le maintien frauduleux dans un système de traitement automatisé de données de deux ans d’emprisonnement et de 60 000 € d’amende. Si des données sont supprimées ou modifiées, ou si le fonctionnement du système est altéré, la peine passe à trois ans et 100 000 €. Elle atteint cinq ans et 150 000 € pour un système de données personnelles mis en œuvre par l’État.
Ce qui distingue le pentest de l’attaque, c’est l’autorisation. Elle doit venir de la personne qui a le droit d’en donner une, c’est-à-dire le propriétaire ou l’exploitant du système, et pas seulement du service informatique d’une filiale ou d’un prestataire d’hébergement.
| Situation | Risque pénal |
|---|---|
| Test dans le périmètre autorisé, aux dates prévues | Aucun : l’accès est autorisé |
| Test hors périmètre (sous-domaine, filiale, hébergeur tiers) | Accès non autorisé possible |
| Test qui supprime ou altère des données | Peine aggravée si l’accès n’était pas autorisé |
| Poursuite du test après la fin de mission | Maintien non autorisé |
La convention d’audit : ce qu’elle doit contenir
Le document qui vous protège est la convention ou lettre d’autorisation signée avant le début de la mission. Elle précise le périmètre exact (adresses IP, domaines, applications), les dates et horaires, les techniques admises ou exclues (déni de service, ingénierie sociale), les interlocuteurs à prévenir en cas d’incident et le sort des données consultées.
Si une partie du système est hébergée chez un tiers, son accord est souvent nécessaire. La détention d’outils d’attaque est par ailleurs tolérée pour un motif légitime, notamment de recherche ou de sécurité informatique (article 323-3-1 du Code pénal).
À retenir
- Sans autorisation écrite du propriétaire du système, le pentest peut être un délit.
- La convention fixe le périmètre, les dates, les techniques et les contacts d’urgence.
- Un hébergeur ou un prestataire tiers doit parfois donner son accord.
- Les données consultées pendant le test doivent être protégées et détruites.
📖 À lire aussi : si vous assurez aussi des missions de conformité, notre guide DPO externe : missions et responsabilités détaille les risques propres au conseil RGPD.
Les incidents qui coûtent cher
La production tombe pendant le test
Un scan trop agressif fait tomber le site marchand d’un client un samedi matin. Les ventes perdues et l’intervention d’urgence de l’hébergeur vous sont réclamées.
Les données récupérées qui s’échappent
Vous extrayez des données de test, puis votre poste est compromis ou votre rapport est envoyé au mauvais destinataire. Votre client doit gérer une violation de données qu’il n’aurait pas eue sans vous.
La faille passée sous silence
Votre rapport ne mentionne pas une vulnérabilité critique que vous auriez dû voir. Quelques semaines plus tard, elle est exploitée. Le client met en cause la qualité de l’audit.
Le pentesteur a deux contrats à soigner : celui qui l’autorise à attaquer, et celui qui l’assure quand l’attaque déborde.
Ce que doit couvrir l’assurance d’un pentesteur
La RC Pro prend en charge les dommages immatériels causés au client par une erreur dans votre mission : interruption d’activité, perte de données, faille non signalée. Pour ce métier, regardez les garanties de la RC Pro d’un consultant en cybersécurité : dommages immatériels non consécutifs, atteinte aux données, frais de défense et extension cyber pour vos propres systèmes.
Certains contrats destinés aux métiers du numérique excluent les tests d’intrusion ou les limitent à l’audit documentaire. Les métiers voisins (DPO, data, hébergement, développement) sont présentés dans notre rubrique RC Pro informatique et numérique, avec leurs exclusions habituelles.
✅ Notre conseil : demandez à votre assureur une confirmation écrite que les tests d’intrusion autorisés sont couverts, y compris l’ingénierie sociale si vous la pratiquez.
Votre devis RC Pro cybersécurité
Le comparateur Prialys interroge plusieurs assureurs à partir de votre activité réelle. Vous voyez les plafonds et les exclusions, puis vous signez en ligne et recevez l’attestation demandée dans les appels d’offres.
Décrivez vos missions d’audit et de test : vous voyez les offres qui acceptent la cybersécurité offensive.
Comparer les offres RC Pro cybersécurité →
Signature électronique en ligne. Votre attestation arrive dès la souscription, ou dès la validation de votre dossier quand l’assureur l’exige.
Les erreurs que nous voyons souvent
- Démarrer sur un simple courriel du responsable informatique, sans convention signée.
- Tester un sous-domaine hébergé chez un tiers sans son accord.
- Conserver les données extraites après la remise du rapport.
- Souscrire une RC « informatique » qui exclut l’audit de sécurité.
⚠️ Attention : un test réalisé hors autorisation n’est pas couvert : l’assurance ne prend pas en charge les conséquences d’une infraction pénale.
Une mission sensible à préparer ?
Un courtier Prialys vérifie avec vous les plafonds attendus par vos clients et les exclusions de votre contrat.
Prendre rendez-vousou appelez le 09 52 92 25 30
Questions fréquentes
Un pentest est-il légal ?
Oui, s’il est autorisé par écrit par le propriétaire ou l’exploitant du système, dans le périmètre et aux dates prévus. Sans autorisation, l’accès peut constituer le délit de l’article 323-1 du Code pénal.
Que doit contenir une convention de test d’intrusion ?
Le périmètre précis, les dates et horaires, les techniques admises ou exclues, les contacts d’urgence, le traitement des données consultées et la signature d’une personne habilitée à autoriser l’accès.
Mon assurance couvre-t-elle une panne provoquée par mon test ?
Une RC Pro adaptée couvre les dommages immatériels causés au client par une erreur dans votre mission. Vérifiez que les tests d’intrusion figurent bien parmi les activités garanties.
Faut-il l’accord de l’hébergeur du client ?
Souvent oui, quand l’infrastructure appartient à un tiers. Les conditions générales des hébergeurs encadrent généralement les tests d’intrusion sur leurs plateformes.
Ce que nous conseillons
Pas de test sans convention signée, pas de convention sans périmètre précis, pas de mission sans contrat d’assurance qui cite l’audit offensif. Le prix d’une RC Pro de pentesteur dépend de vos missions et de votre chiffre d’affaires : faites la simulation.
Si vos clients sont des établissements de santé, des banques ou des opérateurs importants, ils demanderont souvent un plafond plus élevé et une attestation nominative pour chaque marché. Pour vos autres activités, notre comparateur RC Pro couvre plus de 2 000 métiers.
Sources
- Code pénal, articles 323-1 et 323-3-1.
- Loi n° 2015-912 du 24 juillet 2015 (rédaction en vigueur de l’article 323-1).
L’auteur : l’équipe Prialys
Prialys est un cabinet de courtage en assurances installé à Escalquens, près de Toulouse (ORIAS n° 24005412). Nous accompagnons chaque jour des indépendants, des TPE et des professions réglementées dans le choix de leur RC Pro, avec un comparateur en ligne et des courtiers joignables au 09 52 92 25 30.