Cybersécurité

Droit & cyberattaques : Les mesures juridiques nécessaires

Face à des attaques informatiques, des actions juridiques relatives aux contrats aux notifications d'autorités compétentes sont souvent négligées et pourtant nécessaires voire obligatoires.

Cyberattaques : les démarches juridiques

Non anticipée, la dimension juridique et réglementaire associée à une attaque informatique implique un certain nombre de diligences réalisables par les cabinets d’avocats conseils en matière de cybersécurité :

La gestion contractuelle avec les clients, prestataires ou fournisseurs notamment en vue d’une étude de responsabilité est obligatoire ;

Le dépôt de plainte dans les conditions prévues notamment par l’assurance prenant en charge ce type de sinistre ne doit pas être négligé, les délais de notification étant particulièrement court.

Sont à minima nécessaire un descriptif précis de l’incident, les coordonnées de l’ensemble des intervenants et prestataires susceptibles de pouvoir communiquer des informations aux enquêteurs, l’ensemble des éléments techniques collectés tels que les traces informatiques (note de rançon, code malveillant), l’adresse des machines, le type de machines touchées, si le SI est hébergé par un fournisseur externe à l’entreprise, les mails et toutes informations en lien avec la cyberattaque, l’organigramme, la présentation de la société et la liste du personnel, etc.

Cyberattaques - Notifications des autorités & assurances

La notification des autorités compétentes ou de tutelle rattachées à l’activité de la société est obligatoire, les délais étant eux aussi particulièrement courts. C’est le cas notamment lorsque des données personnelles ont été dérobées. Conformément au RGPD, une notification à la CNIL doit être réalisée dans les 72 heures suivant la connaissance des faits avec à nouveau une liste précise d’éléments à transmettre. Cette notification est distinction de l’éventuelle information des personnes concernées et la gestion des sous-traitants.

Le cas échéant, la dimension assurantielle est également à prendre en compte impliquant de préserver et conserver les preuves, prévenir sa compagnie d’assurance, documenter la gestion de l’incident, préparer un dossier de réclamation et protéger la responsabilité de la société.

Guide juridique

Cybersécurité

Vol des données de l'APHP : Que faire ?

Lire le guide juridique