Les entreprises face aux cyberattaques : obligations et responsabilités partagées

Les cyberattaques se multiplient et frappent de plus en plus d’organisations. Lorsqu’une intrusion malveillante se produit, la question de la responsabilité devient centrale. Entre l’entreprise touchée et ses différents prestataires techniques, le partage des responsabilités obéit à des règles précises, encadrées par la jurisprudence et les référentiels de sécurité.

Les entreprises victimes ne sont pas systématiquement exonérées

Lorsqu’une cyberattaque survient, l’entreprise se retrouve en première ligne face à ses clients. Elle doit assumer les conséquences immédiates de l’incident, qu’il s’agisse d’une fuite de données ou d’une interruption de service.

Pourtant, cette position de victime n’efface pas ses propres obligations. Toute organisation doit établir et respecter une politique de sécurité adaptée à son activité. Un manquement à ces exigences peut conduire à un partage de responsabilité, même en cas d’attaque extérieure.

Une responsabilité échelonnée selon les prestataires

Les infogérants et leur périmètre de maintenance

Les infogérants portent une responsabilité significative dans la sécurisation des systèmes d’information. Leur mission de maintenance inclut la gestion des vulnérabilités et la correction des failles identifiées.

Ils ne peuvent se retrancher derrière l’absence d’instructions précises de leur client. La jurisprudence, notamment celle de la Cour d’appel de Saint-Denis de La Réunion en 2019, a établi que les prestataires ne peuvent ignorer l’absence de cahier des charges comme excuse.

Les spécialistes de la sécurité informatique

Les prestataires spécialisés dans la sécurité engagent leur responsabilité selon l’étendue de leur intervention. Leur obligation varie en fonction des missions qui leur sont confiées et des garanties contractuelles souscrites.

Les fournisseurs de solutions cloud

Les prestataires cloud assument une responsabilité spécifique concernant l’intégrité et la disponibilité des données hébergées. Cette obligation s’inscrit dans le cadre de l’article 32 du RGPD et des normes émergentes comme NIS 2 et DORA.

Les éditeurs de logiciels

Les concepteurs de solutions logicielles peuvent voir leur responsabilité engagée en cas de défaut de notification d’une faille de sécurité. Cette obligation de transparence constitue un élément essentiel de la chaîne de sécurité.

Un devoir de conseil de plus en plus exigeant

Au-delà de la simple exécution technique, les prestataires informatiques doivent assumer un devoir de conseil renforcé. Cette obligation les contraint à alerter leurs clients sur plusieurs points critiques.

Ils doivent signaler l’obsolescence des équipements ou des logiciels utilisés. Les correctifs de sécurité disponibles doivent être recommandés sans délai. L’authentification multifacteur fait désormais partie des préconisations indispensables.

Les guides publiés par l’ANSSI et la CNIL sont considérés comme des normes professionnelles de référence. Tout écart par rapport à ces standards peut constituer un manquement professionnel.

Évaluer le préjudice dans toutes ses dimensions

Lorsqu’une cyberattaque se produit, le préjudice revêt un caractère composite. Il ne se limite pas aux pertes financières immédiates mais englobe plusieurs composantes.

Le manque à gagner lié à l’interruption d’activité constitue souvent le poste le plus visible. S’y ajoutent les frais de remédiation, qui incluent l’intervention d’experts, la restauration des systèmes et le renforcement des mesures de sécurité.

Le préjudice d’image, plus difficilement quantifiable, peut avoir des répercussions durables sur la confiance des clients et des partenaires. Cette dimension immatérielle fait néanmoins partie intégrante du dommage indemnisable.

L’assurance cyber comme outil de gestion du risque

Face au caractère systémique du risque cyber, la souscription d’une assurance spécialisée devient une nécessité pour de nombreuses organisations. Cette couverture permet de mutualiser les conséquences financières d’une attaque.

Toutefois, le bénéfice de cette protection suppose le respect de certaines conditions. L’assuré doit procéder à une déclaration régulière et actualisée du risque. Le dépôt d’une plainte dans les délais appropriés constitue également une condition fréquente de mise en jeu de la garantie.

Un cadre juridique en constante évolution

Le droit applicable aux cyberattaques continue de se structurer au fil des décisions de justice et des évolutions réglementaires. Les avocats François-Pierre Lani et Victor Chauve, du cabinet Derriennic Associés, ont contribué à éclairer ces enjeux juridiques complexes.

Les entreprises et leurs prestataires doivent anticiper le durcissement des exigences normatives. La conformité aux référentiels reconnus devient un impératif pour limiter sa responsabilité en cas d’incident de sécurité.