Un guide pratique en deux parties destiné aux responsables informatiques de la région EMEA

La perspective que votre entreprise puisse être la cible d'attaques malveillantes n'est malheureusement plus un cas isolé, mais une réalité quotidienne à laquelle toute entreprise moderne est confrontée. Quels que soient votre taille ou votre profil, les acteurs malveillants exploiteront la moindre occasion pour prendre votre entreprise en otage à des fins lucratives.

Dans la première partie, nous avons vu comment la législation NIS2 accorde une grande importance à la continuité d'activité et comment des processus et des outils de sauvegarde adaptés peuvent aider à faire face aux attaques par ransomware et à d'autres incidents de cybersécurité.

Cependant, tout plan d'intervention en matière de sécurité comporte un autre aspect essentiel : la nécessité éventuelle de signaler la violation aux autorités. Nous examinons ici certaines de ces obligations.

Même s’il peut être tentant de donner la priorité à la résolution de la faille de sécurité, le compte à rebours commence souvent dès l’instant où vous vous rendez compte que vos systèmes ont été compromis. Les délais peuvent être très serrés ; il ne s’agit donc pas d’une question qui peut être réglée au cours de l’intervention. Cela doit être intégré à vos processus, avec des attentes claires quant aux personnes chargées d’effectuer les signalements requis.

Le temps presse : il est temps de signaler cette violation de données

Il est important de garder à l'esprit que, dans certains cas, vous devez signaler l'incident à l'organisme compétent dans les 24 heures suivant sa découverte, voire dans les quatre heures seulement dans certaines situations.

Voici les principales dispositions législatives susceptibles d'avoir une incidence sur votre organisation.

RGPD/RGPD britannique – 72 heures

Qui : Tout responsable du traitement exerçant ses activités au sein de l'UE ou du Royaume-Uni, respectivement.

Si vous constatez une violation susceptible de présenter un risque pour les données à caractère personnel, vous devez en informer l'autorité compétente dans les 72 heures suivant la découverte du problème.

Il peut s'agir d'une violation intentionnelle de vos systèmes ayant permis l'accès aux données des clients, ou d'un incident accidentel, tel que la perte d'un disque dur contenant ces données. L'élément déterminant est de savoir si des personnes sont susceptibles de subir des conséquences négatives.

Si vous avez un doute quant à savoir si votre incident atteint le seuil de déclaration, il vaut mieux lancer le compte à rebours quand même et privilégier la prudence. Veillez à consigner toutes les mesures que vous prenez dans le cadre de votre intervention, puis assurez-vous de prendre contact avant l'expiration du délai de 72 heures.

NIS2 – 24 heures

Qui est concerné ? La directive NIS 2 est une législation européenne qui vise les entreprises jugées « critiques » ou « importantes », dans le but de minimiser les perturbations dans les secteurs et les infrastructures vitaux. Toutefois, vous pourriez être indirectement concerné si vous occupez une place clé dans la chaîne d’approvisionnement d’une entreprise soumise à la directive NIS 2.

En cas de violation de données importante, une notification initiale doit être adressée dans les 24 heures au CSIRT (équipe d'intervention en cas d'incident de sécurité informatique) de l'État membre concerné. Une notification complète de l'incident doit ensuite être transmise dans les 72 heures, et un rapport complet dans un délai d'un mois.

Si vous êtes un prestataire intervenant dans la chaîne d’approvisionnement d’une entreprise relevant du règlement NIS2, vous n’êtes pas tenu de signaler un incident aux autorités, mais vous devez en informer votre client ; le délai dans lequel vous devez le faire peut être précisé dans votre contrat.

Le Royaume-Uni dispose également de sa propre réglementation en matière de sécurité des systèmes d'information (NIS), qui impose de signaler à l'ICO, dans un délai de 72 heures, tout incident ayant un impact significatif sur la fourniture des services d'une entreprise.

DORA – 4 heures

Qui : toutes les entités financières exerçant leurs activités au sein de l'UE. Cela inclut (sans s'y limiter) les banques, les assureurs et les établissements de paiement. Toutefois, tout comme la directive NIS2 peut s'étendre au-delà des entreprises relevant de son champ d'application, la directive DORA inclut également les prestataires informatiques tiers essentiels dans son champ d'application.

Si une entreprise soumise à la législation DORA détecte une violation, elle est tenue d'effectuer un premier signalement dans les 24 heures suivant sa détection. Toutefois, si, à l'issue de l'enquête, l'incident est classé comme « incident majeur », le délai de signalement est ramené à seulement quatre heures (ou au temps restant dans le délai de 24 heures).

Un rapport intermédiaire doit ensuite être remis dans un délai de 72 heures, et un rapport complet dans un délai d'un mois.

Autres textes législatifs

Il existe d'autres exigences régionales : des pays tels que les Émirats arabes unis et l'Arabie saoudite disposent chacun de leur propre loi sur la protection des données à caractère personnel (PDPL). Cela souligne la nécessité de bien comprendre la législation en vigueur dans tous les pays où vous exercez vos activités, et le fait que les réponses peuvent varier en fonction du lieu.

Le triplé potentiel en matière de reporting

Pour certaines entreprises, il peut s'avérer nécessaire de signaler une violation aux autorités chargées de l'application du RGPD, de la directive NIS 2 et de la loi DORA. Chacune d'entre elles dispose d'une procédure de signalement distincte et applique des délais différents.

Cela met en évidence la nécessité bien réelle de disposer de procédures claires, avec des responsabilités bien définies précisant qui fait quoi et quand. Ne pas agir ainsi pourrait avoir des conséquences coûteuses.

N'oubliez pas que les autorités sont là pour vous aider.

Bien qu’elles puissent infliger de lourdes amendes en cas d’infractions graves et de grande ampleur, il est important de ne pas considérer les autorités compétentes uniquement comme des organismes chargés de faire respecter la loi. En les informant rapidement, celles-ci peuvent vous aider à gérer les conséquences potentielles et à limiter les dommages. Pour les pays de l’Union européenne, les organismes compétents peuvent également faciliter la coordination transfrontalière.

Comme l'explique l'ICO concernant les violations du RGPD : « Il est tout à fait compréhensible que vous vous interrogiez sur la suite des événements. Mais nous sommes là pour vous aider à comprendre ce qui s'est passé et pour éviter que cela ne se reproduise. »

Tout cela fait partie de la gestion des incidents

Toutes ces exigences en matière de compte rendu constituent le cœur d'une gestion efficace des incidents. Elles permettent de s'assurer que tous les membres de l'équipe sont sur la même longueur d'onde, facilitent la prise de décision rapide et aident à suivre l'avancement de la résolution des incidents.

Si une violation est signalée à une autorité compétente, vous pourriez être amené à rendre compte, étape par étape, de toutes les mesures que vous avez prises pour identifier le problème et y remédier. Il pourrait également vous être demandé de fournir des preuves des actions que vous avez menées au cours des mois ayant précédé l'incident.

À ce titre, vous devez disposer des outils adaptés pour documenter vos processus et vos systèmes — non seulement pour démontrer que vous disposez des données requises, mais aussi pour expliquer comment vous les utilisez pour gérer les risques au sein de votre entreprise. Découvrez comment IT Glue, grâce à ses fonctionnalités de documentation performantes, peut vous aider à gérer votre réponse en cas d'incident.