Tester l'intrusion d'un système, c'est manipuler le SI d'un client : une coupure, un service qui tombe, des données exposées, et votre responsabilité est engagée. La priorité d'un pentester, ce n'est pas la RC pro de droit commun seule — c'est une RC pro doublée d'une garantie cyber qui couvre les dommages immatériels. Nous comparons les assureurs spécialisés des métiers de la tech — RC pro, cyber, prévoyance, mutuelle et retraite.
La RC pro n'est pas imposée par la loi, mais elle est presque toujours exigée par vos donneurs d'ordre avant de signer une mission.
Votre métier consiste à attaquer, légalement, le système d'un client — et c'est exactement ce qui crée votre exposition. Un test d'intrusion peut faire tomber un serveur en production, interrompre un service, déclencher une fuite ou une exfiltration de données, ou déborder du périmètre autorisé. Le dommage est le plus souvent immatériel (perte d'exploitation du client, données compromises), et c'est précisément ce qu'une RC pro de droit commun exclut souvent : il faut une extension ou un contrat cyber dédié.
S'ajoute un risque juridique propre au pentest : sans mandat écrit, un test d'intrusion devient un accès frauduleux au sens de l'article 323-1 du Code pénal. En tant qu'indépendant, vous n'avez ni la RC d'un employeur ni la prévoyance d'un salarié. Votre protection se construit garantie par garantie — suivez le guide.
Un test d'intrusion sans mandat écrit du propriétaire du système (convention de pentest ou lettre de mission) constitue un accès frauduleux au sens de l'article 323-1 du Code pénal : jusqu'à 3 ans d'emprisonnement et 100 000 € d'amende, indépendamment de votre intention. La convention doit fixer le périmètre exact, les techniques admises, les dates et les contacts d'urgence.
En pratique, trois scénarios reviennent. Le dommage au SI testé : un scan ou un exploit qui fait tomber un service en production et génère une perte d'exploitation chez le client. La fuite ou l'exfiltration de données : des fichiers sensibles copiés pendant l'audit (logs, bases, identifiants) perdus ou compromis. Le dépassement de périmètre : un système voisin atteint involontairement faute de délimitation réseau claire, qui engage votre responsabilité vis-à-vis d'un tiers au contrat.
La détention d'outils d'attaque (scanners, frameworks d'exploitation) est licite pour un motif professionnel légitime (art. 323-3-1 du Code pénal). C'est le mandat écrit, pas l'outillage, qui fait la frontière entre l'audit et le délit : conservez chaque convention de mission.
Ne vous contentez pas d'une RC pro « informatique » standard : exigez que les dommages immatériels non consécutifs et l'interruption du SI testé soient explicitement couverts, et vérifiez le plafond cyber au regard de la taille de vos clients. Un grand compte peut chiffrer une heure d'interruption bien au-delà d'un plafond de base.
Affilié à la SSI (régime des indépendants), vous touchez des indemnités journalières — mais seulement après 3 jours de carence (versement dès le 4ᵉ jour), avec un montant calculé sur environ 1/730 de votre revenu annuel, plafonné et faible, et pour une durée limitée (de l'ordre de 360 jours sur 3 ans). Pour un consultant qui facture à la journée, c'est très loin de votre TJM réel et ne couvre ni vos charges ni votre niveau de vie.
Hypothèses illustratives : IJ CPAM ≈ 50 % du revenu plafonnées à ≈ 1 600 €/mois, versées du 4ᵉ au 87ᵉ jour ; prévoyance calibrée à ≈ 90 % du revenu. Le calcul réel dépend de votre contrat.
Simuler ma prévoyanceCalibrez vos indemnités journalières sur votre revenu réel d'indépendant, pas sur un forfait. Vérifiez aussi le délai de carence (un contrat dès J1 ou J4 change tout sur les arrêts courts fréquents) et la définition de l'invalidité, qui doit tenir compte de votre capacité à exercer votre métier de consultant.
Montants illustratifs (« dès / jusqu'à »), variables selon le niveau de garanties choisi et l'assureur. BR = base de remboursement Sécurité sociale.
Travail prolongé sur écran : pensez à un bon forfait optique (verres complexes, lumière bleue) et à un niveau hospitalisation correct — c'est le poste qui fait le plus mal sans mutuelle. La cotisation reste déductible loi Madelin.
Calcul illustratif : économie ≈ versement × TMI, dans la limite des plafonds Madelin / PER calculés sur votre revenu professionnel. Conditions : contrat éligible et cotisations sociales à jour.
Estimer mon avantage fiscalPlus votre TJM est élevé, plus l'écart entre votre revenu d'activité et la pension de base est important — et plus l'effet de levier fiscal du PER est fort. Chaque versement est déductible, dans la limite de votre plafond Madelin.
Voici comment s'articulent les garanties d'un pentester indépendant, du contrat central RC pro + cyber aux garanties qui compensent l'absence de filet salarié.
Quelques informations sur vos missions, vos clients et vos priorités.
Les assureurs spécialisés des métiers de la tech et du conseil en cybersécurité.
Une sélection claire, sans engagement, sous 24h.
On vous accompagne jusqu'à la mise en place des contrats.
RC pro, cyber, prévoyance, mutuelle et retraite Madelin : nous comparons les assureurs spécialisés des métiers de la tech.
Demander mon devis