Contrat type pour un intervenant cybersécurité : clauses essentielles et modèle opérationnel

Avertissement : les exemples de clauses présentés dans cet article sont fournis à titre indicatif et pédagogique uniquement. Ils ne constituent pas un conseil juridique. Tout contrat doit être validé par un juriste ou le service juridique de l'établissement avant signature.

Pourquoi le contrat écrit est indispensable (et souvent négligé)

Dans de nombreux établissements, les intervenants cybersécurité sont recrutés par email ou par échange verbal, avec un bon de commande générique envoyé après la première séance. Cette pratique est compréhensible — les équipes pédagogiques sont sous pression, les intervenants sont souvent des professionnels de confiance, et personne ne veut compliquer une relation collaborative.

Mais l'absence de contrat structuré crée des zones d'ombre qui peuvent devenir problématiques :

• Propriété intellectuelle : qui possède les supports créés spécifiquement pour votre programme ? L'intervenant peut-il les réutiliser chez un concurrent ?
• Périmètre des labs : un intervenant qui réalise une démo de pentest sans cadrage contractuel peut techniquement scanner des systèmes hors périmètre. Qui est responsable en cas d'incident ?
• Continuité pédagogique : que se passe-t-il si l'intervenant est indisponible le jour J ? Le contrat prévoit-il un remplaçant ou une procédure ?
• Paiement : sans délai de paiement contractualisé, les litiges tardifs sont courants, en particulier avec les établissements publics soumis à des circuits de validation longs.

Le contrat écrit n'est pas un acte de défiance envers l'intervenant. C'est le document qui permet à une relation professionnelle de durer sereinement.

Les parties, l'objet et le périmètre du contrat

Identifier clairement les parties

Le contrat doit identifier sans ambiguïté :

• Le donneur d'ordre : l'établissement d'enseignement, avec sa dénomination sociale exacte, son numéro SIRET, et le nom du signataire habilité.
• L'intervenant : s'il intervient en nom propre (auto-entrepreneur, micro-entreprise), son numéro SIRET est requis. S'il intervient via une société, c'est la société qui contractualise. Cette distinction a des conséquences sur la TVA, la responsabilité civile professionnelle et les assurances.

Définir l'objet précisément

L'objet du contrat doit décrire :

• La ou les thématiques enseignées (ex. : « module de pentest applicatif web, niveau Master 1 »)
• Le public (nombre d'étudiants, niveau attendu)
• Le format (présentiel, distanciel, hybride)
• Le volume horaire (nombre de séances, durée de chaque séance)
• Les dates et lieux précis, ou une plage de dates avec confirmation à confirmer

Une description vague de l'objet (« intervention en cybersécurité ») est source de litiges sur ce qui était attendu ou livré. Il est utile d'annexer au contrat le cahier des charges cours cybersécurité élaboré en amont.

Propriété intellectuelle des supports pédagogiques

C'est la clause la plus sous-estimée et pourtant la plus génératrice de conflits a posteriori.

Deux options contractuelles principales

Option 1 — Cession de droits à l'établissement

L'intervenant cède à l'établissement les droits d'exploitation des supports créés dans le cadre de la mission : utilisation, reproduction, adaptation, intégration dans d'autres modules. En contrepartie, le prix de la prestation intègre cette cession. L'établissement peut alors modifier les supports, les réutiliser les années suivantes et les intégrer dans ses outils pédagogiques.

Mention clé à inclure : « L'intervenant cède à [établissement], à titre exclusif/non exclusif [choisir], les droits d'utilisation, de reproduction et d'adaptation des supports créés dans le cadre de la présente mission, pour une durée de [X ans] sur le territoire [préciser]. »

Option 2 — Licence d'utilisation limitée

L'intervenant reste propriétaire de ses supports mais accorde une licence d'utilisation à l'établissement, limitée dans le temps, dans le périmètre et pour les étudiants inscrits au programme. L'établissement ne peut pas modifier ni redistribuer les supports.

Cette option protège mieux l'intervenant qui réutilise ses supports dans d'autres contextes professionnels.

Les points de vigilance

• Si des supports pré-existants de l'intervenant (créés avant la mission) sont intégrés, il faut les exclure de la clause de cession et les lister en annexe.
• Les outils, scripts et code créés pendant les TP relèvent du même régime que les supports écrits.
• Prévoir explicitement si l'établissement peut publier des extraits de supports en ligne (accès étudiant, LMS).

Accès au système d'information et sécurité du lab

Dans un contexte d'enseignement de la cybersécurité, l'intervenant effectue des démos techniques, utilise des outils d'analyse réseau, et parfois réalise des tests offensifs dans un environnement de lab. Ces activités requièrent un encadrement contractuel précis.

Périmètre des tests autorisés

La clause doit définir explicitement :

• L'environnement autorisé : uniquement le lab fourni par l'établissement (machines virtuelles isolées, réseau dédié). Toute action hors de ce périmètre est interdite.
• Les données utilisées : exclusivement fictives. L'intervenant s'engage à ne pas utiliser de données réelles d'étudiants, de personnels ou de systèmes tiers dans ses démos.
• Les outils autorisés : liste des outils validés (ou renvoi vers une politique de sécurité de l'établissement). Les outils d'exploitation doivent être limités à l'environnement lab.

Cette clause est directement liée aux obligations RGPD : les enregistrements de démos, les captures d'écran et les logs de lab ne doivent pas contenir de données personnelles réelles.

Accès au SI de l'établissement

L'intervenant peut avoir besoin d'accéder au réseau Wi-Fi, aux imprimantes, au LMS ou à l'espace de dépôt des supports. Chaque accès doit être nominatif, tracé et révoqué à la fin de la mission.

Prévoir une clause sur :

• Les modalités d'accès (compte temporaire avec date d'expiration)
• L'interdiction d'accès aux systèmes non liés à la mission
• La politique d'utilisation acceptable (AUP) de l'établissement, fournie en annexe

Confidentialité et traitement des données (RGPD)

NDA et confidentialité

L'intervenant est exposé à des informations confidentielles pendant sa mission : structure du programme, évaluations des étudiants, infrastructure IT de l'établissement, données RH si des supports de cours y font référence.

La clause de confidentialité doit couvrir :

• Le périmètre : toute information technique, pédagogique ou organisationnelle non publique portée à la connaissance de l'intervenant pendant la mission.
• La durée : généralement 2 à 5 ans après la fin de la mission pour les informations techniques.
• Les exceptions : informations déjà publiques, informations obtenues légitimement d'autres sources.

Traitement des données personnelles des étudiants

Si l'intervenant accède à des listes d'étudiants, à des notes ou à des fichiers contenant des données personnelles, il devient sous-traitant au sens du RGPD. Une clause de sous-traitance (ou un accord de traitement des données séparé) est alors obligatoire.

Les points à inclure :

• Finalité du traitement (uniquement pour la réalisation de la mission)
• Interdiction de traitement à d'autres fins
• Obligation de signalement en cas de violation de données
• Sort des données à la fin de la mission (suppression ou retour)

Cette obligation découle directement de l'article 28 du RGPD.

Indicateurs de qualité, livrables et modalités d'évaluation

Un contrat de prestation pédagogique doit définir ce que l'établissement peut attendre concrètement, et comment il évaluera la qualité de la prestation.

Livrables attendus

Le format source des supports est important : si l'établissement souhaite adapter les slides l'année suivante, un PDF seul ne suffit pas.

Indicateurs de qualité

Définir des indicateurs mesurables évite les discussions subjectives sur la qualité :

• Taux de satisfaction étudiants (via questionnaire anonyme, seuil à définir, ex. ≥ 3,5/5)
• Taux de présence moyen sur les séances
• Respect du planning : nombre de séances annulées ou reportées à l'initiative de l'intervenant
• Conformité du contenu par rapport au syllabus validé

Ces indicateurs peuvent conditionner le renouvellement de la mission pour l'année suivante, sans pour autant constituer une clause pénale (qui nécessite une rédaction juridique précise).

Rémunération, frais annexes et délais de paiement

Structure de la rémunération

Plusieurs structures sont possibles :

• TJM (Taux journalier moyen) : le plus courant. Il couvre le temps de préparation, d'animation et de débrief. Vérifier si le TJM inclut ou non la préparation des supports (souvent une source de désaccord).
• Tarif à la séance : pratique pour des interventions ponctuelles, mais peut créer des tensions si l'intervenant prépare plus que prévu.
• Forfait mission : pour les interventions structurées avec un livrable défini (ex. : module complet avec supports, 3 séances, rapport). Préférable pour la visibilité budgétaire de l'établissement.

Le contrat doit préciser si les frais de préparation des supports sont inclus dans la rémunération ou facturés séparément. Sur ce point, un brief type bien rédigé en amont évite les incompréhensions.

Frais annexes

Définir explicitement :

• Déplacements : remboursement sur justificatifs, plafond par trajet, référence barème (ex. barème fiscal kilométrique ou SNCF 2ème classe).
• Hébergement : si l'intervention nécessite un déplacement avec nuit, préciser le plafond et le mode de remboursement.
• Licences logicielles : si l'intervenant utilise des outils payants spécifiques pour la mission, qui les finance ?

Délai de paiement

La loi française (LME) fixe un délai de paiement maximum de 30 jours après réception de la facture pour les entreprises privées. Pour les établissements publics, ce délai peut aller jusqu'à 30 jours également, mais les circuits de validation interne allongent parfois les délais réels. Inclure une date d'exigibilité explicite dans le contrat protège l'intervenant.

Révision, résiliation et gestion des imprévus

Clause de révision du contenu

Le domaine cybersécurité évolue vite. Une clause de révision annuelle du syllabus garantit que le contenu reste à jour. Elle peut prévoir une consultation obligatoire entre l'établissement et l'intervenant avant chaque nouvelle édition du module.

Résiliation

Prévoir deux cas :

• Résiliation par l'établissement : pour convenance (restructuration, annulation de module) avec un préavis raisonnable (30 à 60 jours) et une indemnisation du travail de préparation déjà réalisé.
• Résiliation par l'intervenant : avec préavis et obligation de faciliter la transition (transmission des supports, recommandation d'un remplaçant si possible).

Gestion des absences et cas de force majeure

Prévoir la procédure en cas d'absence imprévue de l'intervenant : report possible dans un délai de X semaines, ou remplacement par un profil validé par l'établissement. Dans le secteur cybersécurité, trouver un remplaçant de niveau équivalent en 24h est difficile — le contrat doit prévoir ce scénario, même si c'est inconfortable à aborder.

Ce qu'il faut retenir

Un contrat bien rédigé est un outil de confiance, pas de méfiance. Il permet à l'formateur cybersécurité et à l'établissement de collaborer sereinement, avec des attentes claires de part et d'autre. Il protège aussi l'établissement en cas d'audit de qualité ou de certification (SecNumEdu, ISO).

Pour aller plus loin dans la structuration de votre collaboration avec un intervenant externe, consultez également notre guide sur l'intégration d'un formateur externe dans un programme et notre modèle de cahier des charges cours cybersécurité. Pour les aspects liés à la gouvernance, risques et conformité, un module dédié dans votre cursus renforcera la maîtrise de ces enjeux par vos équipes.

Besoin d'un intervenant cybersécurité fiable, avec une pratique contractuelle professionnelle ?
Cyber Teachers vous met en relation avec des formateurs expérimentés qui interviennent dans un cadre structuré, avec des livrables clairs et une expérience des exigences académiques.