Menu principal
Quelles sont les menaces les plus aiguës du moment ?
JONATHAN ROFÉ : L’intelligence artificielle constitue aujourd’hui un puissant facteur d’accélération du risque cyber. Elle peut
accroître la sophistication des attaques, par exemple en facilitant la création de contenus frauduleux, de campagnes d’hameçonnage très crédibles ou de scénarios d’ingénierie sociale. Elle abaisse également la barrière technique à l’entrée : certains acteurs peuvent désormais concevoir ou automatiser des fraudes sans disposer de compétences avancées. Dans ce
contexte, l’enjeu majeur est celui de la résilience. Les entre prises doivent être capables de limiter les effets d’une attaque, de maintenir leurs activités essentielles et de restaurer rapidement leurs systèmes. La question n’est plus seulement de savoir si une entreprise sera attaquée, mais si et comment elle sera prête à y faire face.
FABIENNE PANNEAU : La menace ne repose pas uniquement sur la technologie. Le facteur humain demeure déterminant : les attaques exploitent fréquemment la précipitation, la confiance ou l’absence de vigilance des collaborateurs. La prévention doit donc dépasser la seule réponse technique : elle implique de sensibiliser et de former l’ensemble des équipes afin d’ancrer, au quotidien, des réflexes de vigilance.
DENISE LEBEAU-MARIANNA : Les risques se diversifient également en raison de l’interconnexion croissante des entreprises avec
leurs clients, leurs fournisseurs et leurs prestataires. Cette dépendance accrue à un écosystème de tiers, renforcée par le développement de l’IA agentique, accroît mécaniquement la surface d’attaque. Une vulnérabilité ou un incident chez un acteur de la chaîne d’approvisionnement peut entraîner des conséquences importantes sur toute la chaîne de valeur. La cybersécurité doit donc être pensée de manière holistique.
Peut-on engager la responsabilité d’une entreprise victime d’une cyberattaque ?
D.L.-M. : Il convient d’abord de nuancer l’expression de « responsabilité de la victime ». Le fait qu’une entreprise ait subi une
cyber attaque ne signifie pas, à lui seul, qu’elle a commis une faute ou une négligence. Il faut examiner les obligations auxquelles elle était soumise, compte tenu notamment de sa taille, de son secteur d’activité et de la nature des données qu’elle traite. Ces obligations peuvent découler du RGPD, de la directive NIS2, de réglementations sectorielles ou encore d’engagements contractuels. Les autorités ne considèrent pas que la seule survenance d’une attaque justifie une sanction. Elles vérifient notamment si les mesures techniques, organisationnelles et de gouvernance mises en place étaient adaptées aux risques, si l’entreprise a réagi rapidement et si elle a pris les mesures nécessaires pour contenir l’incident.
J. R. : On parle davantage d’« obligation » de sécurité que de « droit » à la cybersécurité, ce qui est essentiel. Les entreprises doivent mettre en œuvre les mesures techniques, organisationnelles et humaines nécessaires : cartographie des risques, identification des vulnérabilités, gestion des accès, plans de continuité et de reprise d’activité, exercices de crise et supervision des incidents. La question centrale est celle de la proportionnalité : les moyens déployés étaient-ils adaptés à la criticité des risques au regard de son activité ? En cas d’attaque, l’entreprise devra surtout pouvoir démontrer que ces mesures étaient suffisantes, effectivement mises en œuvre, régulièrement testées et documentées.
F.P. : Du point de vue contentieux, la qualité de victime n’emporte pas automatiquement exonération de responsabilité.
Mais l’inverse est tout aussi vrai, une défaillance dans le dispositif de sécurité ne suffit pas nécessairement à engager cette responsabilité. Les autorités administratives ou judiciaires examineront le lien de causalité entre la faille alléguée, l’incident et le dommage subi, ainsi que les diligences accomplies avant et après l’incident. L’entreprise doit donc préserver les éléments de preuve dès la découverte de l’incident : journaux de connexion, rapports techniques, échanges avec les prestataires, mesures de remédiation et décisions prises dans le cadre de la cellule de crise.
Quelles obligations pèsent sur les entreprises en cas de fuite de données ?
D.L.-M. : L’une des principales obligations est celle de notification à la CNIL en vertu du RGPD ou de notification à l’ANSSI en vertu de la directive NIS2 et, le cas échéant, aux personnes concernées. Cette notification doit intervenir dans des délais très stricts prévus par les textes à compter de sa prise de connaissance. Or, il arrive que certaines entreprises aient généralement tendance à sous-estimer cette obligation, en considérant l’absence de données sensibles. La CNIL sanctionne régulièrement ces erreurs d’appréciation lorsqu’elles ne reposent pas sur une analyse suffisamment rigoureuse. C’est pourquoi la documenta
tion de l’incident, de son impact potentiel et du raisonnement
ayant conduit à notifier ou non constitue un élément essen
tiel, souvent négligé en pratique, mais déterminant en cas de
contrôle.
J. R. : Les obligations de notification sont également sectorielles.
Les entités concernées par NIS2 ou par DORA, applicable au
secteur financier, doivent respecter des procédures spécifiques
de qualification, signalement et de gestion des incidents. Ces
obligations doivent être cartographiées, intégrées aux procé
dures de crise et testées en amont. Une notification réglemen
taire ne s’improvise pas au moment où l’entreprise gère déjà
l’urgence opérationnelle.
La responsabilité des dirigeants est-elle renforcée ?
D.L.-M. : Oui. La directive NIS2 fait entrer la cybersécurité dans le champ des responsabilités des organes de direction. Ceux-ci doivent approuver les mesures de gestion des risques cyber, en superviser la mise en œuvre et disposer d’une connaissance suffisante de ces enjeux à travers des formations adaptées. La cybersécurité ne peut plus être traitée comme un sujet exclusivement technique réservé à la DSI ou à la direction de la sécurité des systèmes d’information. Plus que la responsabilité personnelle des dirigeants, c’est leur obligation d’implication et de supervision qui constitue la principale nouveauté de NIS2. Les autorités nationales dans les États les plus avancés dans la transposition (notamment en Italie, Belgique et Hongrie) ont commencé à engager des actions de supervision (audit et contrôles de conformité, de la gouvernance et de l’obligation de notification).
F. P. : Cette évolution aura également une incidence contentieuse. En cas de litige, la question sera de savoir si les risques cyber ont été effectivement identifiés, suivis et arbitrés au niveau de la gouvernance. La traçabilité des décisions prises par la direction, des budgets alloués, des audits réalisés et des mesures de prévention adoptées pourra être déterminante.
Qu’en est-il de la responsabilité des prestataires ?
J. R. : L’environnement numérique est devenu particulièrement complexe : hébergeurs, infogérants, intégrateurs, éditeurs de
logiciels, fournisseurs de services cloud ou sous-traitants inter venant souvent à différents niveaux. Identifier précisément le rôle et les obligations de chacun est essentiel. NIS2 impose de prendre en compte la sécurité de la chaîne d’approvisionnement. DORA pousse cette logique plus loin dans le secteur financier, avec des exigences précises de gestion du risque lié aux prestataires TIC, d’encadrement contractuel et de surveillance des prestataires TIC critiques. En pratique, le contrat doit
éviter les zones grises : qui applique les correctifs, surveille les vulnérabilités, gère les sauvegardes, notifie l’incident et organise la réversibilité ?
D.L.-M. : Le risque de dépendance à un tiers occupe une place croissante dans le contentieux cyber et constitue désormais un
risque cyber à part entière dans la mesure où de nombreuses attaques trouvent leur origine chez un prestataire tiers. Les contrats doivent donc prévoir des exigences de sécurité adaptées, des droits d’audit, des procédures de notification des incidents, des engagements de coopération et des mécanismes de réversibilité lorsque cela est nécessaire.
F. P. : En cas d’incident, l’entreprise pourra être la première visée par les demandes ou réclamations des personnes
concernées, de ses clients ou de ses partenaires, avant d’exercer, le cas échéant, un recours contre le ou les prestataires responsables. La qualité de la documentation contractuelle est donc déterminante.
Peut-on s’assurer contre les cyberattaques ?
D.L.-M. : Oui, il est possible de s’assurer contre les conséquences d’une cyberattaque. Le marché de la cyberassurance
a beaucoup évolué. Les primes peuvent être élevées, mais au delà de l’indemnisation financière, les assureurs proposent
souvent un accompagnement très opérationnel : la gestion de crise, l’investigation numérique, l’assistance juridique, la communication de crise. Cependant, l’activation de ces garanties suppose généralement que l’entreprise présente un certain niveau de maturité en matière de cybersécurité. Les questionnaires préalables sont donc très détaillés et une déclaration inexacte ou incomplète peut, dans certains cas, compromettre la garantie.
L’État est-il soumis au même régime de responsabilité ?
F.P. : Les principes d’analyse demeurent proches de ceux applicables aux acteurs privés : il faudra examiner les mesures de
sécurité en place, les vulnérabilités éventuelles, l’origine de l’attaque et l’intervention possible de tiers. Toutefois, les actions dirigées contre l’État obéissent aux règles propres de la responsabilité administrative.
D.L.-M. : L’appréciation de la responsabilité de l’Etat peut soulever des difficultés particulières liées à la sensibilité des missions
exercées, aux impératifs de sécurité nationale ou encore à la multiplicité des acteurs publics impliqués. Les investigations peuvent donc être plus longues et plus complexes, notamment lorsqu’il s’agit de reconstituer la chaîne des responsabilités ou d’identifier l’origine de l’attaque.
Comment mieux se préparer aux attaques ?
F.P. : La prévention passe par la formation régulière des collaborateurs, mais aussi par des exercices concrets. Les entreprises doivent tester leurs procédures de crise, vérifier les circuits de décision et s’assurer que chacun connaît son rôle en cas d’incident. Il faut aussi anticiper l’après-crise : préserver les preuves et documenter les décisions souvent prises dans l’urgence. Le dépôt de plainte, notamment en cas de rançongiciel, doit faire partie des réflexes à intégrer dans la gestion de crise.
J. R. : Les entreprises doivent se préparer à réagir vite : qualifier l’incident, isoler les systèmes concernés, préserver les
preuves, mobiliser les experts et déterminer les obligations de notification applicables. Les exercices en conditions réelles
permettent d’identifier les lacunes avant qu’une crise ne survienne. Cette préparation doit associer les équipes techniques,
juridiques, opérationnelles et dirigeantes, ainsi que les principaux prestataires. La résilience se prépare, se teste et se documente.
D.L.-M. : Pour les groupes internationaux, l’enjeu est également d’assurer une gouvernance cohérente à l’échelle du
groupe malgré la diversité des réglementations applicables. Une approche pragmatique consiste souvent à s’aligner sur les exigences les plus strictes auxquelles le groupe est soumis, tout en tenant compte des spécificités locales. En pratique, il est essentiel de disposer de procédures harmonisées de gestion de crise, de notification et d’escalade afin de pouvoir réagir rapidement en cas d’incident transfrontalier. La cybersécurité doit désormais être considérée comme un sujet stratégique de gouvernance et de résilience. Dans un contexte géopolitique instable et face à des attaquants disposant parfois de moyens considérables, la prévention, la résilience et la coordination entre les directions opérationnelles, juridiques, techniques et générales sont des conditions essentielles à la maîtrise du risque cyber.