RC Pro Expert Cybersécurité en Moselle — mandat écrit obligatoire (art. 323-1 CP)

Légalement non — la cybersécurité n'est pas une profession réglementée en France. EN PRATIQUE, elle est non négociable. Pour le pentest spécifiquement, la RC Pro avec extension « atteinte volontaire au système d'information autorisée par mandat » est devenue le prérequis commercial absolu : aucun donneur d'ordre sérieux ne contractualise sans cette attestation. Pour les audits cybersécurité qualifiés ANSSI (PASSI), le plafond minimum exigé est de 2 millions d'euros par sinistre. Pour les missions DORA (banque/finance) ou NIS2 (secteurs critiques), le plafond peut monter à 5M€. Sans RC Pro adaptée, vous êtes exclu de facto des appels d'offres.

C'est LA condition juridique vitale. Sans mandat écrit préalable du propriétaire du système, un test d'intrusion constitue un accès frauduleux au sens de l'article 323-1 du Code pénal — 3 ans d'emprisonnement et 100 000€ d'amende (5 ans + 150 000€ si modification de données, 7 ans + 300 000€ pour un système d'État). Peu importe votre intention bienveillante : la jurisprudence est claire, l'absence d'autorisation explicite engage la responsabilité PÉNALE du pentester. Le mandat doit préciser : le scope exact (IP, domaines, applications), les techniques autorisées, la fenêtre temporelle, les contacts d'urgence, la procédure en cas de découverte critique. L'article 323-3-1 protège la possession d'outils d'attaque uniquement si vous justifiez d'une raison légitime (mandat).

PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) est la qualification délivrée par l'ANSSI aux prestataires qui réalisent des audits de cybersécurité exigeants pour les opérateurs d'importance vitale (OIV), opérateurs de services essentiels (OSE NIS2), et entités financières (DORA). PASSI atteste d'un haut niveau d'expertise, de méthodologie et de confidentialité. Pour les missions critiques (secteur public, défense, OIV, OSE), la qualification PASSI est de plus en plus contractuellement exigée. Côté assurance, les prestataires PASSI bénéficient souvent de plafonds renforcés négociés (3-5M€) et de tarifs préférentiels. Alternative : certifications individuelles OSCP, OSWE, GPEN, CISSP qui rassurent les compagnies à défaut de PASSI organisationnelle.

Quatre risques majeurs sortent du contrat consultant IT standard. 1) Atteinte volontaire au SI autorisée par mandat : la simulation d'attaque pendant un pentest cause forcément des perturbations (dégradations, indisponibilités, alertes SOC) — extension « atteinte volontaire autorisée » indispensable. 2) Faille critique manquée par l'audit : vulnérabilité connue (CVE référencée) non détectée par votre audit, exploitée 6 mois plus tard — préjudice immatériel + perte de chance. 3) Fuite accidentelle de données client pendant le pentest (capture de logs, screenshots) — RGPD article 28 sous-traitant. 4) Dépassement de scope involontaire : un asset hors périmètre touché par votre scan — risque d'accès frauduleux involontaire malgré le mandat principal.

Trois adaptations contractuelles critiques. 1) DORA (règlement UE 2022/2554, applicable depuis le 17 janvier 2025) : si vous intervenez chez une entité financière (banque, assurance, paiement), votre RC Pro doit couvrir explicitement la conformité DORA — sanctions jusqu'à 2% du CA mondial ou 10M€ pour l'entité, action récursoire possible contre le prestataire. 2) NIS2 (directive UE 2022/2555) : secteurs critiques (énergie, transport, eau, santé, services numériques) — plafond renforcé + extension cybersécurité étendue. 3) HDS (Hébergement de Données de Santé) : extension RGPD données particulières + plafond minimum 3M€. Pour ces trois cas, la qualification PASSI ou les certifications individuelles documentées sont des prérequis contractuels.

Quatre profils types. 1) Consultant cybersécurité junior, missions audit basique TPE/PME (audit de configuration, sensibilisation) : plafond 1M€. 2) Pentester / expert audit pour PME/ETI (pentest applicatif, audit organisationnel, RSSI externalisé) : plafond 2M€ minimum avec extension « atteinte volontaire autorisée par mandat ». 3) PASSI / expert pour OIV, OSE NIS2, entités DORA, secteur public : plafond 3-5M€ + extension cybersécurité étendue + conformité réglementaire. 4) Red team / pentest physique / ingénierie sociale / OSINT avancé : plafond 5M€+ + extensions spécifiques (atteinte aux personnes, intrusion physique autorisée, dépassement involontaire de scope). Notre rôle : aligner le plafond sur l'exigence contractuelle de votre donneur d'ordre.

Tarifs 2026 selon profil. Consultant cyber junior (AE, audit basique PME, plafond 1M€) : 350 à 500€/an. Pentester / expert établi (PME/ETI, plafond 2M€, mandat + atteinte volontaire) : 500 à 800€/an. PASSI / expert secteur réglementé (OIV, NIS2, DORA, plafond 3-5M€) : 800 à 1 500€/an. Red team / pentest physique / OSINT (plafond 5M€+, extensions multiples) : 1 200 à 2 500€/an. Les profils qualifiés PASSI bénéficient de tarifs préférentiels négociés (-15 à -25% vs non qualifiés). Comparé à un TJM pentester (700-1 100€/jour), la RC Pro représente moins d'1% du CA — investissement marginal vs le risque couvert (pénal + civil).