La gestion externe de la réponse à un incident

La gestion des relations avec les sous-traitants concernés

Un incident cyber peut trouver son origine dans une succession de défaillances humaines et techniques, ou résulter d’une chaîne d’attaques dites « par rebond ». Dès lors, plusieurs parties sont susceptibles d’être impliquées, de sorte que la gestion de l’incident nécessitera par exemple une collaboration active du sous-traitant clé en charge des systèmes d’information compromis afin d’obtenir les informations nécessaires et, le cas échéant, de faire le point sur les responsabilités mobilisables.

Dans la plupart des cas le schéma d’attaque et l’étendue des conséquences ne sont pas immédiatement déterminables. Plusieurs bonnes pratiques peuvent être adoptées afin de faire la lumière sur la matérialité des faits, identifier les responsabilités réciproques et remédier à la situation dans les meilleurs délais possibles.

Relations avec les compagnies d’assurance

Le développement exponentiel de la menace cyber fait prendre conscience de la nécessité pour les entreprises d’intégrer le risque cyber lors de la souscription à une police d’assurance. La gestion des relations avec la compagnie d’assurance devra dès lors faire partie intégrante du pilotage juridique de la crise cyber afin de permettre, voire d’optimiser la prise en charge du sinistre.

L’ACPR estime que l’exposition aux risques cyber demeure encore mal maîtrisée en l’absence notamment de cartographie des risques précise, ainsi que de bases statistiques fiables (5). Cet état de fait devrait évoluer avec la transposition prochaine de la Directive NIS 2 (6) en France dont le texte prévoit des accords de partage d’informations en matière de cybersécurité. Cette possibilité devrait faciliter la création de cartographies et la connaissance des risques cyber.

Face à ces incertitudes, France Assureurs a mis à disposition des entreprises un guide dans lequel elle présente le rôle de l’assurance dans le cadre d’une garantie d’assurance cyber (7). Si l’assurance doit couvrir financièrement les dommages subis en cas de sinistre, elle peut également fournir une assistance juridique.

En pratique tous les frais liés à un incident cyber ne sont cependant pas assurables. La question s’est notamment posée concernant les amendes administratives. À cet égard, le Haut Comité juridique de la Place Financière de Paris semble distinguer entre les sanctions et amendes administratives (8) (sanctions pécuniaires et l’astreinte) qui sont par nature inassurables, et les mesures dites correctives (8) qui sont des mesures de mise en conformité, dont certaines pourraient être légalement assurables (9). Il pourrait s’agir des pertes d’exploitations dues à la suspension des flux de données ou à l’interruption provisoire de la mise en œuvre du traitement, des mises en demeure de notifier la violation de données aux personnes concernées et de remettre les opérations de traitement en conformité, ou encore de la suspension provisoire de la certification...

Relations avec les personnes - Communication de crise

La gestion d’un incident cyber implique d’échanger avec différentes parties prenantes, voire d’informer les personnes concernées lorsqu’une violation de données personnelles est caractérisée et qu’un « risque élevé » sur leurs droits et libertés ne peut être écarté.

La gestion de crise implique ici de communiquer sur l’incident auprès des tiers avec une attention particulière et des contraintes réglementaires potentiellement fortes.

Dans un souci de préservation de la réputation de l’entité victime et à des fins conservatoires, il importe que cette communication de crise soit anticipée et gérée en coordination avec la remédiation technique et le pilotage juridique de l’incident.

Références

(1) Article 28 du RGPD

(2) Dalloz IP/IT | Dalloz

(3) CNIL, Délibération SAN-2021-013 du 27 juillet 2021

(4) Ibidem

(5) Communiqué de presse de l’ACPR du 12 novembre 2019 Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union

(6) Disponible sur : franceassureurs.fr

(7) Au sens de l’article 83 du RGPD

(8) Au sens de l’article 58§2 du RGPD

(9) Haut Comité juridique de la Place Financière de Paris. « Rapport sur l’assurabilité des risques cyber », 28 janvier 2022

(10) Rançongiciel ou ransomware, que faire ? - Assistance aux victimes de cybermalveillance 

(11) Haut Comité juridique de la Place Financière de Paris. « Rapport sur l’assurabilité des risques cyber », 28 janvier 2022 (p.36)

(12) L’assurance du risque cyber - Pierre-Grégoire Marly, Alexis Valençon - Dalloz IP/IT 2019

(13) Disponible sur : franceassureurs.fr

(14) Pierre-Grégoire Marly, Alexis Valençon. « L’assurance du risque cyber ». Dalloz IP/IT 2019

(15) Article L 12-10-1 du code des assurances issue de la loi n° 2023-22...