Assurance cyber freelance : faut-il la souscrire et que vérifier ?

Tu ouvres un questionnaire fournisseur. Une case demande ton attestation d’assurance cyber, alors que tu pensais avoir une couverture avec ta RC Pro. L’idée d’un incident chez ce client te serre un peu l’estomac : si un compte est compromis, qui paie quoi ?

C’est normal d’hésiter. Une assurance cyber freelance peut aider à financer une crise, mais le mot « cyber » sur un devis ne dit rien, à lui seul, des frais pris en charge. On va partir de tes accès et de tes données, puis lire les garanties à la lumière de ton contrat client. Il n’existe pas d’obligation générale de souscrire une police cyber pour exercer en freelance. Un client peut toutefois l’exiger dans sa convention de prestation.

Quand un freelance a-t-il intérêt à demander un devis cyber ?

La bonne question n’est pas « est-ce que je travaille dans la tech ? ». C’est « que pourrait-il se passer si mon ordinateur ou mon compte professionnel était compromis ? ». On peut se situer avec trois cas.

Situation	Exposition à examiner	Décision de départ
Tu utilises une messagerie, la facturation et des documents ordinaires, sans accès aux systèmes clients	Tes propres fichiers et ton temps de travail	Renforce d’abord ta sécurité et vérifie ta RC Pro. Demande un devis si un arrêt de travail numérique serait difficile à absorber.
Tu disposes d’un compte administrateur sur le cloud, le site ou les outils d’un client	Une erreur ou un vol d’identifiants peut affecter son activité	Demande un devis cyber et fais préciser par écrit les dommages chez le client ainsi que les frais d’intervention.
Tu traites des données de santé, de paie ou d’autres données sensibles pour un client	Une fuite peut déclencher une réponse technique et juridique urgente	Compare une couverture dédiée, les exigences du client et le rôle prévu dans l’accord de traitement des données.

Ce classement reste un point de départ. Un rédacteur qui administre la boutique d’un client est parfois plus exposé qu’un développeur qui n’accède qu’à un dépôt de démonstration. J’ai déjà vu des freelances cloud sous-estimer leur exposition parce qu’ils associaient la cybersécurité au seul pentest. Les droits détenus comptent davantage que l’intitulé du métier.

Plus tes accès donnent de pouvoir sur l’activité d’un client, plus la question du devis cyber mérite une réponse écrite.

Avant toute souscription, réduis ce pouvoir au nécessaire : comptes individuels, double authentification, mises à jour et sauvegardes testées. Le guide d’hygiène informatique de l’ANSSI donne un socle utile. Une police aide à gérer les conséquences d’un incident ; elle ne restaure pas, à ta place, une sauvegarde inexistante. Pour organiser l’accès aux livrables si tu es indisponible, consulte aussi notre plan de continuité freelance.

RC Pro ou assurance cyber : quels frais cherchent-elles à couvrir ?

Il faut séparer la réclamation d’un tiers de tes propres dépenses. Si un accès que tu gères est compromis et que ton client te réclame réparation pour une interruption, on examine la responsabilité que tu as encourue. Si tu dois payer un spécialiste pour comprendre l’incident sur tes outils, remettre des données en état ou continuer à travailler, ce sont d’abord tes frais.

Poste de dépense	Question à poser au contrat
Dommages réclamés par le client et frais de défense	La RC Pro couvre-t-elle cette situation précise, y compris une atteinte aux données ou un incident de sécurité ? Une garantie de responsabilité cyber est-elle nécessaire ?
Expertise informatique, conseil juridique et notification	La police cyber prend-elle en charge ces frais dès la découverte de l’incident ? Faut-il appeler une assistance désignée avant d’engager une dépense ?
Restauration, interruption de ton activité et frais supplémentaires	Ces pertes propres sont-elles garanties, avec quel délai de carence et selon quelle méthode de calcul ?

Notre guide RC Pro freelance t’aide à retrouver les clauses de responsabilité déjà souscrites. Ne déduis rien du seul intitulé « option cyber ». France Assureurs indique que la responsabilité liée à une attaque peut être comprise ou non dans une RC générale ; la reconstitution des données et les pertes d’exploitation relèvent de garanties cyber possibles. Une fiche de contrat combiné RC Pro et cyber d’AIG illustre aussi que des postes, comme la carence d’un prestataire externe, peuvent n’être proposés qu’en option.

Deux devis portant le même nom peuvent répondre à des incidents très différents. Demande la notice et les conditions particulières, puis fais confirmer les cas qui concernent tes missions.

Le contrat de mission freelance est l’autre pièce à lire. Il peut fixer un plafond de responsabilité, un délai d’alerte et une exigence d’assurance. Une attestation RC Pro ne prouve pas nécessairement que le plafond cyber demandé par le client est atteint.

Comment lire un devis d’assurance cyber sans se perdre ?

Prends un incident plausible, par exemple le vol de ton compte administrateur d’un outil client. Demande au courtier ou à l’assureur de répondre, par écrit et en citant la clause, aux questions suivantes :

1. Événements couverts. La garantie s’applique-t-elle à une intrusion, un rançongiciel, une erreur humaine, une fuite de données ou une indisponibilité ? Distingue l’incident sur tes systèmes de celui sur l’infrastructure du client.
2. Assistance. Une ligne d’urgence et des experts informatiques ou juridiques sont-ils accessibles dès le soupçon d’incident ? Qui choisit les intervenants et qui avance leurs honoraires ?
3. Limites financières. Relève le plafond, les sous-plafonds, la franchise et l’éventuel délai de carence pour une perte d’activité. Compare-les à ton exposition.
4. Exclusions et conditions. Lis les exclusions sur les actes intentionnels, les incidents déjà connus, les systèmes obsolètes, les sauvegardes ou la double authentification si ces points figurent au questionnaire. Déclare exactement tes pratiques et conserve une copie de tes réponses.
5. Périmètre. Les incidents venant d’un sous-traitant, d’un hébergeur ou d’un service cloud sont-ils inclus ? La réponse peut différer entre responsabilité envers le client et pertes que tu subis. Vérifie aussi les territoires et les activités déclarées.
6. Déclaration. À partir de quel fait le délai court-il, à qui téléphoner, quels justificatifs fournir et quelles dépenses nécessitent un accord préalable ? Note le numéro d’assistance hors de ta messagerie professionnelle.

Une franchise supportable ne compense pas une exclusion qui vise ton principal scénario de risque.

Dans mes missions de Scrum Master, je préfère une question précise, liée à un accès réel, à un long formulaire rempli par automatisme. La même méthode marche ici : joins au devis la liste de tes accès, de tes prestataires cloud et de tes obligations client. Si la réponse est vague, demande la clause qui tranche. Si le client réclame une attestation « cyber », fais préciser le montant et les garanties attendues avant de payer une option inadaptée. Les demandes de sécurité des donneurs d’ordre sont détaillées dans notre guide NIS2 pour freelances.

Que faire dans les premières heures d’un incident ?

On n’a pas besoin de savoir immédiatement qui est responsable pour agir. Si un compte semble compromis, coupe ou fais couper son accès, isole l’appareil touché du réseau et préviens le référent technique du client selon la procédure prévue. Évite d’effacer les messages suspects, les journaux ou l’état de la machine : ils peuvent servir à comprendre ce qui s’est passé.

Consigne l’heure de découverte, les systèmes concernés, les mesures prises et les personnes contactées. Appelle l’assistance de l’assureur selon les modalités du contrat avant d’engager des dépenses susceptibles d’être soumises à son accord. Suis en parallèle le délai d’alerte fixé avec le client ; une déclaration à l’assureur ne remplace pas ce message. Le guide de réaction de Cybermalveillance.gouv.fr détaille l’isolement, la conservation des preuves et les interlocuteurs utiles.

En présence de données personnelles, identifie ton rôle. Si tu interviens comme sous-traitant, avertis le responsable du traitement dans les meilleurs délais. C’est généralement ce dernier qui évalue le risque pour les personnes et, si une notification à la CNIL est requise, la fait au plus tard 72 heures après avoir pris connaissance de la violation. Un retard doit être justifié. La CNIL explique les règles et les rôles. Le contrat peut prévoir une alerte au client plus rapide : lis-la avant l’incident.

On isole, on documente et on alerte tout de suite. On vérifie ensuite qui doit notifier l’autorité et dans quel délai.

Quelle décision prendre avant de signer ?

L’assurance cyber freelance devient une piste sérieuse si tu administres des systèmes clients, manipules des données sensibles, dépends fortement de tes outils ou dois fournir une attestation cyber. Pour un usage bureautique limité, une bonne prévention et la vérification de la RC Pro peuvent suffire à ce stade. La décision dépend toujours des garanties déjà souscrites et des engagements de mission.

Une prime n’efface ni une mauvaise configuration ni une clause client disproportionnée. L’objectif est de savoir ce que tu assumes, ce que tu peux prévenir et ce que l’assureur accepte réellement de prendre en charge.

FAQ

Questions fréquentes

Puis-je souscrire après avoir découvert un incident ? +

Ne compte pas sur une nouvelle police pour un incident déjà connu : certains contrats l'excluent. Signale la situation à l'assureur avant de souscrire et vérifie la date de prise d'effet des garanties.

Une cyberassurance couvre-t-elle le paiement d'une rançon ? +

Ce n'est jamais à présumer : la cyberextorsion peut être une option distincte, soumise aux conditions du contrat. En cas de rançongiciel, Cybermalveillance.gouv.fr recommande de ne pas payer la rançon et de préserver les preuves.

Dois-je revoir ma couverture quand ma mission change ? +

Oui, si tes nouveaux accès ou les données traitées changent ton exposition. Décris ces changements à l'assureur et demande une confirmation écrite du périmètre couvert avant de commencer la nouvelle mission.