Votre entreprise administre à distance les postes de travail, serveurs, comptes infonuagiques, sauvegardes ou systèmes de sécurité de plusieurs clients? Un fournisseur de services informatiques gérés (MSP) assume des responsabilités différentes de celles d’un réparateur d’ordinateurs ou d’un consultant engagé pour un seul projet. Une erreur de configuration peut interrompre les activités d’un client; un compte administrateur compromis peut toucher plusieurs entreprises à la fois. Union Assurances aide les MSP québécois à examiner leurs besoins en responsabilité professionnelle, en cyberassurance et en assurance d’entreprise selon les services réellement fournis.
Un correctif mal déployé, une configuration fautive ou une sauvegarde inutilisable peut provoquer une réclamation. L'assurance E&O doit correspondre aux services promis.
Disponibilité, délais d'intervention, restaurations et pénalités doivent être examinés. Une promesse contractuelle ne devient pas automatiquement une garantie d'assurance.
Une console de télémaintenance ou un compte privilégié peut donner accès à plusieurs entreprises. Les limites globales et le regroupement de réclamations doivent être vérifiés.
Une intrusion dans les outils du MSP peut entraîner des coûts de réponse et des réclamations de clients. Les garanties cyber et professionnelles ne couvrent pas nécessairement les mêmes pertes.
Le type de renseignements accessibles et les secteurs des clients modifient l'exposition. Les obligations de protection et d'avis exigent une analyse distincte.
Un fournisseur de services informatiques gérés, souvent désigné par l’abréviation anglaise MSP (managed service provider) ou par le terme français fournisseur de services gérés (FSG), assure une partie des opérations TI de ses clients sur une base continue. Ses contrats peuvent inclure la surveillance des systèmes, l’application des mises à jour, le soutien aux utilisateurs, la gestion des identités, les sauvegardes, la sécurité de base, la maintenance de serveurs et l’administration de Microsoft 365 ou d’autres services infonuagiques.
La distinction fondamentale est l’accès. Un technicien appelé pour remplacer un disque dur peut avoir un mandat limité. Le MSP, lui, conserve souvent des outils d’administration à distance et des comptes privilégiés qui lui permettent d’intervenir sur des dizaines, voire des centaines d’environnements. Une panne d’outil, une erreur de déploiement ou la compromission de cet accès pourrait toucher plusieurs clients simultanément.
Le Centre canadien pour la cybersécurité décrit précisément les risques associés aux fournisseurs de services gérés, notamment leur accès à de nombreuses infrastructures et à des données sensibles. Le contrat d’assurance d’un MSP doit donc être évalué pour une exposition cumulative, et non uniquement pour la valeur moyenne d’un mandat individuel.
La responsabilité professionnelle, aussi appelée assurance erreurs et omissions (E&O), mérite une attention centrale lorsqu’un client affirme avoir subi une perte par suite d’un service informatique négligent, d’une mauvaise configuration, d’une maintenance non exécutée ou d’un conseil technique erroné. Selon les garanties et les faits, une réclamation pourrait concerner des dépenses de récupération, des dommages financiers attribués à l’erreur ou des frais de défense.
Exemples de situations à déclarer : un correctif appliqué sans essai coupe une application, une modification de règle de pare-feu bloque un accès nécessaire, une migration de courriel entraîne une perte de messages ou une politique de sauvegarde ne correspond pas aux objectifs prévus au contrat. Le coût de refaire votre propre travail, les pénalités de niveau de service et les engagements de résultat ne sont pas automatiquement assurés. La définition des services professionnels couverts, les exclusions et les conditions de la police sont déterminantes.
Une cyberassurance peut répondre, selon sa portée, à certains frais subis par le MSP lui-même : analyse d’un incident, services d’experts, restauration, avis requis, assistance juridique ou interruption de ses propres systèmes. Elle peut aussi comporter une protection pour certaines réclamations de tiers après une atteinte à la confidentialité ou à la sécurité. Toutefois, une police visant principalement les systèmes et données du MSP ne garantit pas que toutes les pertes de tous ses clients seront couvertes.
Il faut vérifier si une cyberattaque passant par un outil de surveillance et de gestion à distance, un compte d’administration, un coffre de mots de passe ou une plateforme multiclient est comprise dans les événements assurés. Les clauses sur les systèmes de tiers, les fournisseurs technologiques, les renseignements confiés et le nombre de réclamants peuvent modifier fortement la réponse.
Le MSP peut visiter les locaux de ses clients, installer du matériel, posséder un atelier ou entreposer des équipements. Une responsabilité civile générale peut être pertinente pour certains dommages corporels ou matériels causés à autrui. Les ordinateurs, serveurs, outils, stocks et véhicules peuvent nécessiter leurs propres protections.
Ces garanties ne doivent pas être confondues avec la responsabilité pour pertes de données ou interruption d’un service numérique. Un ordinateur client physiquement endommagé lors d’une intervention et une base de données rendue inaccessible par un mauvais déploiement présentent des enjeux d’assurance distincts. Les biens confiés ou sous votre contrôle doivent également être examinés.
Imaginons un scénario hypothétique : l’outil d’administration à distance d’un MSP est compromis. Plusieurs clients signalent des systèmes chiffrés ou des comptes inutilisables; certains interrompent leurs opérations; le MSP doit lui-même mobiliser une équipe externe et restaurer son infrastructure. Le total des réclamations potentielles ne peut pas être estimé en regardant un seul client.
L’analyse d’assurance doit répondre à des questions précises :
La question du montant global disponible lorsque plusieurs clients sont touchés est particulièrement importante pour un MSP. Une limite qui paraît élevée pour une réclamation isolée peut devenir insuffisante si plusieurs clients réclament simultanément.
| Service offert | Situation concrète | Point d’assurance à vérifier |
|---|---|---|
| Correctifs et gestion des appareils | Déploiement d’une mise à jour entraînant une interruption dans plusieurs entreprises. | Erreurs professionnelles, dommages financiers, événements multiclients et définition des services couverts. |
| Sauvegarde et reprise de données | Copies inutilisables lors d’une restauration après une panne ou une cyberattaque. | Défaillance de prestation, coût de récupération, limites et obligations prévues dans les contrats de sauvegarde. |
| Gestion des comptes privilégiés | Un accès administrateur est compromis et permet des actions sur plusieurs environnements clients. | Cyberresponsabilité, frais de réponse, dommages aux clients et agrégation des réclamations. |
| Gestion infonuagique et courriel | Erreur de migration ou de configuration rendant des services indisponibles. | E&O technologique, dépendance à un fournisseur tiers et interruption des activités. |
| Surveillance de sécurité et alertes | Une alerte critique n’est pas traitée suivant le service promis. | Activités de cybersécurité déclarées, obligation contractuelle, erreurs ou omissions et exclusions spécifiques. |
| Installation sur place | Un technicien endommage physiquement un serveur ou un équipement confié. | Responsabilité civile générale, biens confiés, matériel client et limites des garanties matérielles. |
Cette comparaison ne désigne aucune garantie comme acquise. Elle aide à définir les activités, les scénarios et les clauses qu’un courtier devra analyser avec les assureurs.
Les fournisseurs TI travaillent souvent avec une entente-cadre et une entente de niveau de service, ou SLA en anglais. Ces documents peuvent promettre des heures de disponibilité, des délais d’intervention, des périodes de conservation des sauvegardes ou des responsabilités de sécurité. L’assurance doit être évaluée à partir des obligations réellement acceptées, et pas seulement à partir d’une liste de logiciels.
Par exemple, « surveillance des sauvegardes » n’a pas nécessairement la même portée que « garantie de restauration complète de toutes les données en quatre heures ». Si le contrat promet une disponibilité permanente sans définir les exclusions de maintenance, les dépendances externes ou les tâches qui restent au client, une interruption peut provoquer un différend commercial même en l’absence de cyberattaque.
Une entreprise cliente peut rester responsable de certains choix de sécurité, de la qualité de ses données ou de l’approbation de dépenses, tandis que le MSP administre des configurations et qu’un hébergeur fournit l’infrastructure. Le fait qu’un service soit « dans le nuage » ne supprime pas cette répartition. Clarifiez la gestion des comptes, la propriété et la localisation des sauvegardes, les mises à jour autorisées, les droits d’administration et la procédure de fin de contrat.
Si vous fournissez aussi de l’hébergement, du développement logiciel, des services de centre d’opérations de sécurité, des audits de vulnérabilité ou de la réponse aux incidents, déclarez ces activités distinctement. Elles peuvent modifier l’évaluation du risque par rapport à un MSP qui se limite au soutien et à la surveillance informatique. Les services de sécurité gérés ne doivent pas être présentés comme compris d’office dans l’administration TI de base.
Un client peut exiger un crédit de service, une pénalité pour délai de rétablissement, une indemnisation très large ou un plafond de responsabilité contractuelle. Certaines obligations vont au-delà de ce qui serait normalement réclamable en raison d’une faute professionnelle. Une police E&O peut exclure certaines pénalités, garanties de performance ou obligations assumées uniquement par contrat. Il est utile de faire examiner les clauses inhabituelles avant de signer un mandat important.
La prévention n’est pas une garantie d’absence d’incident, mais elle peut influencer la manière dont une entreprise est évaluée. Dans le cas d’un MSP, les assureurs peuvent s’intéresser non seulement à la protection de ses propres appareils, mais aussi à la sécurité des outils utilisés pour administrer ceux de ses clients.
Le Guide sur les rançongiciels du Centre canadien pour la cybersécurité présente des mesures comme la protection des comptes privilégiés. Il est utile de documenter les contrôles réellement appliqués, plutôt que de déclarer avoir un dispositif qui ne serait pas déployé partout.
Un MSP peut avoir accès à des renseignements de clients, d’employés, de patients ou de consommateurs, parfois sans en être le propriétaire. En cas d’accès non autorisé ou de divulgation accidentelle, des obligations de protection des renseignements personnels peuvent être en jeu. Les rôles du client et de son prestataire doivent être définis en fonction des faits, des contrats et du droit applicable.
Au Québec, les obligations liées aux incidents de confidentialité peuvent inclure des mesures pour limiter le préjudice, l’évaluation du risque et, dans certains cas, des avis. La Commission d’accès à l’information explique les responsabilités des entreprises privées. L’assurance doit être vérifiée pour les frais professionnels, les avis, les réclamations et les dépenses de gestion d’incident qui peuvent être visés, sans prétendre qu’elle remplace les obligations légales.
Pour préparer une soumission, indiquez les types de renseignements accessibles, les secteurs des clients et le rôle que vous jouez dans la sauvegarde, l’hébergement ou l’administration. Un MSP desservant des cabinets médicaux, des services financiers ou des établissements industriels peut rencontrer des exigences contractuelles et des conséquences d’interruption différentes de celles d’un prestataire de soutien de bureautique ordinaire.
Le MSP déploie le même script sur plusieurs parcs informatiques. Après l’installation, un logiciel essentiel cesse de fonctionner chez certains clients. Les entreprises réclament des coûts de rétablissement et des pertes liées à l’interruption. Il faut examiner la responsabilité professionnelle, les limites par réclamation et les clauses concernant plusieurs clients touchés par une cause commune. Le prix du logiciel ou le nombre d’ordinateurs n’indique pas, à lui seul, l’ampleur d’une réclamation.
Un compte disposant d’accès privilégiés est compromis. L’attaquant peut atteindre des données ou des serveurs chez plus d’une entreprise cliente. Le MSP doit sécuriser sa plateforme, enquêter et répondre aux questions de ses clients. Les frais subis par le MSP, les obligations de notification et les réclamations des clients peuvent relever de dispositions distinctes. Les garanties cyber et professionnelles doivent être rapprochées pour vérifier d’éventuels chevauchements ou exclusions.
Après une panne majeure, une entreprise demande la restauration de sa base de données. Le MSP découvre que les copies prévues étaient incomplètes ou que le test de récupération n’avait pas été effectué. La réclamation pourrait porter sur la prestation de service, la perte de données et la durée de l’interruption. Le contrat définissait-il une simple conservation des copies, ou une capacité de restauration éprouvée? La réponse influencera l’analyse de responsabilité comme celle de l’assurance.
Plusieurs assurances de responsabilité professionnelle ou cyber peuvent être établies sur la base des réclamations présentées pendant une période donnée, avec des règles concernant la déclaration de circonstances connues, la continuité de couverture et une date rétroactive. Les termes varient. Un MSP qui change d’assureur doit porter une attention particulière à ces dispositions, surtout lorsqu’un problème de sauvegarde ou de configuration ne devient apparent que longtemps après l’intervention initiale.
La façon dont plusieurs réclamations sont regroupées peut être tout aussi importante. Une cyberattaque commune touchant plusieurs clients pourrait être soumise à une seule limite par événement et à la limite annuelle globale. Demandez également comment les frais de défense influencent le montant disponible pour indemniser et quelles exclusions concernent les services de cybersécurité plus spécialisés.
Pour que le dossier soit clair, préparez idéalement :
Le coût ne peut pas être déduit du seul nombre d’employés ou du nombre de postes surveillés. L’assureur peut notamment tenir compte des services offerts, du volume et du secteur des clients, de la dépendance aux accès privilégiés, des responsabilités contractuelles, du territoire, des mesures de sécurité et des limites demandées. Un MSP responsable de la continuité de plusieurs environnements critiques ne présente pas nécessairement le même risque qu’un fournisseur de soutien administratif à distance.
Vous dirigez un MSP ou une entreprise d’infogérance au Québec? Décrivez vos activités à Union Assurances. En tant que cabinet de courtage en assurance de dommages, nous pouvons examiner les protections pertinentes et rechercher des possibilités auprès d’assureurs appropriés. Le point de départ est de comprendre vos outils, vos contrats et l’étendue réelle de votre responsabilité envers les entreprises clientes.
Les protections à examiner comprennent la responsabilité professionnelle pour erreurs et omissions technologiques, une cyberassurance adaptée aux activités de l’entreprise et, selon ses opérations, la responsabilité civile générale et l’assurance de ses biens. Le choix dépend notamment des services gérés, des accès aux systèmes clients et des obligations prévues aux contrats. Aucune garantie ne doit être considérée comme automatiquement incluse.
L’assurance erreurs et omissions peut viser certaines réclamations découlant d’une faute alléguée dans la prestation de services professionnels, par exemple une mauvaise configuration. Une cyberassurance peut couvrir certaines conséquences d’un incident de sécurité, qu’il s’agisse de frais subis par le MSP ou de réclamations de tiers. Les risques peuvent se recouper; il faut vérifier les définitions, exclusions et limites des contrats.
Pas automatiquement. Les garanties doivent être étudiées pour les systèmes et données des clients, les incidents passant par vos outils, les pertes admissibles et le traitement de réclamations multiples provenant d’une cause commune. Une limite globale peut être partagée entre plusieurs demandes. Déclarez clairement l’utilisation de consoles RMM et d’accès privilégiés multiclients.
Une réclamation liée à une erreur professionnelle peut être examinée au titre d’une assurance E&O si l’activité et le type de perte entrent dans ses garanties. Les coûts pour refaire le travail, les pénalités de disponibilité ou certaines pertes financières peuvent toutefois être exclus ou limités. Le contrat de service et les circonstances de l’incident sont déterminants.
Cela dépend de la nature de l’engagement de sauvegarde, de la cause de l’échec et des dispositions de responsabilité professionnelle ou cyber applicables. Les frais de récupération, la perte de revenus d’un client et le coût de refaire une prestation ne sont pas nécessairement traités de la même façon. Documentez vos procédures de sauvegarde et les essais de restauration.
Il ne faut pas le supposer. La police cyber du client est destinée à ses intérêts et peut comporter des dispositions de recours ou de subrogation envers un fournisseur responsable. Un MSP devrait faire examiner sa propre responsabilité professionnelle et sa cyberassurance, même lorsque ses clients possèdent des protections.
Oui. Surveillance de sécurité, intervention en cas d’incident, hébergement, développement d’applications et infogérance générale n’entraînent pas toujours les mêmes responsabilités. Décrivez la part de revenus et les opérations réelles de chaque activité pour que les assureurs puissent évaluer le risque correctement.
Pas nécessairement. Un crédit de service, une pénalité pour interruption ou un engagement de résultat peut dépasser la responsabilité qui serait normalement couverte pour une erreur professionnelle. Il faut examiner les obligations contractuelles, les exclusions relatives aux pénalités et les conditions exactes de la police avant de confirmer la protection.
La taille de l’équipe ne suffit pas à déterminer le risque. Un fournisseur indépendant qui possède des accès administrateurs permanents, des clients dépendants de ses sauvegardes ou des engagements de rétablissement peut être exposé à des réclamations importantes. Les contrats de ses clients peuvent également imposer certaines assurances et limites. L’analyse doit partir des services et responsabilités effectivement assumés.
Préparez une description de vos services, votre chiffre d’affaires, le nombre et les secteurs de vos clients, les outils de télémaintenance, vos engagements contractuels, vos pratiques de sauvegarde et de sécurité ainsi que l’historique des incidents pertinents. Transmettez ces renseignements à Union Assurances pour qu’un courtier puisse étudier les garanties professionnelles et cyber adaptées à votre situation auprès d’assureurs appropriés.
Merci de votre confiance!
Nous avons bien reçu votre demande.
Un de nos courtiers vous contactera sous peu pour vous guider dans les prochaines étapes.
