Votre entreprise dispose-t-elle des bonnes politiques de cybersécurité ?

Introduction

Les cyberattaques ne visent plus seulement les systèmes informatiques : elles ciblent aussi les actifs de propriété intellectuelle, les secrets d'affaires, les fichiers clients et les bases de données de marques. Face à cette menace croissante, le législateur français et européen a construit, ces dernières années, un cadre exigeant : le RGPD, la directive NIS2, et les recommandations de la CNIL et de l'ANSSI. Or, beaucoup d'entreprises ignorent encore si elles sont soumises à ces obligations, et surtout ce qu'elles doivent concrètement mettre en place. Cet article fait le point sur les politiques de cybersécurité à adopter, les mesures attendues par les autorités et les délais de notification en cas d'incident.

Un cadre juridique qui varie selon le statut de l'entreprise

L'intensité des obligations de cybersécurité dépend avant tout du statut de l'organisation concernée. Le droit français distingue schématiquement plusieurs catégories d'acteurs.

Les entités dites « d'importance essentielle » ou « d’importance vitale »

Certaines organisations exerçant des activités critiques sont soumises à des obligations renforcées de cybersécurité.

• Les opérateurs d’importance vitale sont désignés parmi les acteurs dont l’indisponibilité ou la destruction pourrait affecter gravement la sécurité, l’économie, la défense ou la vie de la Nation.
• Les opérateurs de services essentiels sont, quant à eux, identifiés lorsqu’un incident affectant leurs réseaux ou systèmes d’information serait susceptible de perturber gravement la fourniture d’un service essentiel au fonctionnement de la société ou de l’économie

Ces opérateurs doivent notamment mettre en œuvre des mesures portant sur la gouvernance de la sécurité, la protection des systèmes et des accès, la détection et le traitement des incidents ainsi que la continuité et la gestion de crise. Ils peuvent également être soumis à des obligations spécifiques de déclaration d’incidents auprès de l’ANSSI.

Les responsables de traitement et sous-traitants de données personnelles

Pour toute entreprise, publique ou privée, qui traite des données personnelles, l'article 32 du RGPD impose la pseudonymisation et le chiffrement des données, la garantie de leur confidentialité, intégrité et disponibilité, la capacité à restaurer l'accès aux données en cas d'incident technique, ainsi qu'un processus régulier de test et d'évaluation des mesures de sécurité. Ces mêmes exigences sont relayées et précisées par la CNIL.

Tableau récapitulatif des obligations selon le statut

Les mesures de sécurité que les autorités attendent des entreprises

La CNIL et l’ANSSI ont publié des recommandations pratiques. Les incidents déclarés montrent qu’une protection efficace repose autant sur la mise en place de mesures techniques appropriées que sur l’organisation interne et la sensibilisation des équipes.

Le socle de mesures essentielles

• maintenir les logiciels et systèmes à jour afin de corriger rapidement les vulnérabilités connues ;
• imposer des identifiants robustes et distincts pour chaque compte utilisateur ;
• renforcer la protection des comptes de messagerie professionnelle ;
• sensibiliser régulièrement les équipes aux principaux risques de cybersécurité et aux tentatives de fraude ;
• organiser des sauvegardes fréquentes, en conservant au moins une copie isolée des systèmes accessibles en ligne.

Les mesures avancées

• généraliser l’authentification multifacteurs pour les accès sensibles, notamment à distance ;
• attribuer des comptes individuels aux salariés, partenaires et prestataires afin d’éviter le partage d’identifiants ;
• limiter l’accès au réseau aux seuls équipements préalablement autorisés ou authentifiés
• déployer des mécanismes de surveillance permettant de détecter rapidement les comportements ou connexions inhabituels.

Documenter chaque incident : une obligation trop souvent négligée

Le RGPD impose aux responsables de traitement de conserver la trace de chaque violation de données, de ses effets et des mesures prises pour y remédier (articles 33(5) et 34). Cette documentation doit être suffisamment complète pour permettre à l’autorité de contrôle de vérifier le respect des obligations prévues par l’article 33 du RGPD, en cas d’audit. Les sous-traitants, quant à eux, doivent assister le responsable de traitement et conserver une documentation interne appropriée. La loi ne fixe pas de durée de conservation précise : en pratique, ce registre doit être tenu aussi longtemps que le risque juridique existe.

Notifier une violation ou un incident : à qui, et dans quels délais ?

Auprès de la CNIL, pour les données personnelles

Trois types d'incidents doivent être notifiés : la violation de confidentialité (divulgation ou accès non autorisé), la violation de disponibilité (perte ou destruction des données) et la violation d'intégrité (altération non autorisée). La notification doit intervenir dans un délai de 72 heures après que l'entreprise a eu connaissance de la violation, lorsque cela est possible, via le téléservice en ligne de la CNIL.

Auprès de l'ANSSI, pour les entités d'importance essentielle

Les opérateurs d'importance vitale doivent déclarer tout incident affectant leurs systèmes d'information d'importance vitale (formulaire de déclaration OIV), selon les modalités précisées par arrêté sectoriel.

Les opérateurs de services essentiels doivent, pour leur part, déclarer tout incident susceptible d'avoir un impact significatif sur la continuité de leurs services (formulaire de déclaration OSE.

Vers un renforcement des délais avec la directive NIS2

La directive (UE) 2022/2555, dite NIS2, pas encore transposée en droit français à ce jour, impose aux entités essentielles et importantes une notification initiale, dite « alerte précoce », sans délai indu et dans les 24 heures suivant la découverte d'un incident significatif, suivie d'une notification complète dans les 72 heures. Ces délais pourront être précisés par les mesures nationales de transposition.

Checklist : les 5 premières actions en cas d'incident

• Qualifier l'incident : confidentialité, disponibilité ou intégrité des données ?
• Identifier si l'entreprise est un responsable de traitement, un sous-traitant, un OIV ou un OSE.
• Déclencher le compte à rebours : 24 heures (alerte précoce NIS2) ou 72 heures (RGPD).
• Documenter les faits, les effets et les mesures prises dans un registre dédié.
• Notifier l'autorité compétente via le formulaire adapté, puis informer les personnes concernées si le risque est élevé.

Informer les personnes concernées et le public

Lorsque la violation de données personnelles est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, l'entreprise doit également informer directement les personnes concernées, sauf si la CNIL considère que des mesures appropriées rendent les données incompréhensibles pour un tiers non autorisé. Cette communication peut prendre plusieurs formes : message direct (courriel, SMS), bannière ou notification en ligne bien visible, courrier postal, ou encore communication dans la presse écrite.

Conclusion

Mettre en place les bonnes politiques de cybersécurité n'est plus une option : selon son statut, une entreprise est soumise au RGPD, à des obligations sectorielles renforcées, ou bientôt à la directive NIS2. Les mesures essentielles restent accessibles à toute organisation, quelle que soit sa taille. En cas d'incident, la rapidité de qualification et de notification conditionne largement l'ampleur des conséquences juridiques et réputationnelles.

Dreyfus et Associés  accompagne ses clients dans la gestion de dossiers de propriété intellectuelle complexes, en proposant des conseils personnalisés et un soutien opérationnel complet pour la protection intégrale de la propriété intellectuelle.

Dreyfus et Associés est en partenariat avec un réseau mondial d’avocats spécialisés en Propriété Intellectuelle.

Nathalie Dreyfus avec l’aide de toute l’équipe du cabinet Dreyfus

FAQ

Que risque une entreprise qui ne notifie pas une violation dans les délais ?

Elle s'expose à des sanctions de la CNIL pouvant atteindre 20 millions d'euros ou 4 % de son chiffre d'affaires annuel mondial, sans préjudice d'une éventuelle action en réparation des personnes concernées.

Une TPE ou une PME est-elle concernée par ces obligations ?

Oui. La taille de l’entreprise ne l’exonère pas des obligations du RGPD dès lors qu’elle traite des données personnelles. Certaines obligations renforcées dépendent toutefois de la nature de l’activité, du type de traitements réalisés ou du statut de l’organisme.

Faut-il obligatoirement désigner un délégué à la protection des données ?

La désignation est obligatoire pour les autorités et organismes publics, pour les organismes dont les activités de base impliquent un suivi régulier et systématique des personnes à grande échelle, ainsi que pour ceux qui traitent à grande échelle des données sensibles ou relatives à des condamnations pénales et infractions..

Le délai de 72 heures s'applique-t-il aussi lorsque l'incident survient chez un prestataire ou un sous-traitant ?

Oui, le sous-traitant doit alerter le responsable de traitement sans délai injustifié dès qu'il a connaissance de l'incident, afin que ce dernier puisse respecter le délai de notification à la CNIL.

Un dépassement du délai de 72 heures entraîne-t-il automatiquement une sanction ?

Non, la CNIL apprécie les circonstances propres à chaque dossier ; un retard justifié et documenté n'est pas traité de la même façon qu'une absence totale de notification.

Faut-il organiser une astreinte en dehors des heures ouvrées pour respecter ces délais ?

Ce n'est pas une obligation légale explicite, mais c'est vivement recommandé en pratique, les délais réglementaires courant y compris les week-ends et jours fériés.

Cette publication a pour objet de fournir des orientations générales au public et de mettre en lumière certaines problématiques. Elle n'a pas vocation à s'appliquer à des situations particulières ni à constituer un conseil juridique.