Cybersécurité : contrôler les entreprises avant de leur imputer les pertes

Qui supporte les pertes lorsqu’une intrusion informatique interrompt une activité industrielle ou commerciale ? L’auteur de l’attaque reste responsable de ses actes. Mais l’entreprise touchée peut aussi devoir répondre de ses propres manquements envers ses clients ou ses partenaires. Le rapport de force se joue alors sur les preuves : quelles protections existaient, quelles alertes avaient été reçues et quelles corrections avaient été réalisées ?

L’idée d’un contrôle technique cyber déplacerait une partie de cette discussion en amont du sinistre. Une entreprise ne serait plus seulement invitée à sécuriser ses installations : elle devrait faire vérifier certaines mesures et conserver la trace des corrections. Ce dispositif reste une proposition, et non une obligation générale établie par les textes cités ici.

La transposition française de la directive européenne NIS 2 constitue le cadre du débat sur le renforcement des exigences de sécurité. Il faut toutefois distinguer les deux démarches : étendre et superviser des obligations de gestion des risques ne revient pas à instaurer une inspection périodique uniforme de toutes les entreprises.

Le contrôle technique cyber déplacerait la charge de la preuve

Le droit ne part pas d’une page blanche. L’article 32 du RGPD, présenté par la CNIL, impose aux responsables de traitement et aux sous-traitants des mesures techniques et organisationnelles adaptées au risque. Il prévoit notamment, selon les besoins, des moyens de garantir la disponibilité des systèmes et de rétablir l’accès aux données après un incident.

Cette obligation concerne la protection des données personnelles. Elle ne constitue pas un certificat général de sécurité de l’entreprise. Une installation frigorifique, une chaîne de production ou un outil de commande peuvent subir une interruption dont les effets dépassent largement ce périmètre.

Sur le terrain civil, l’article 1241 du Code civil permet d’engager une responsabilité pour négligence ou imprudence. Une attaque réussie ne démontre cependant pas, à elle seule, une faute de l’organisation touchée. Il faut examiner le manquement allégué, le préjudice et le lien de causalité, dans le cadre juridique applicable.

Une vérification préalable pourrait fournir des éléments utiles à cet examen : inventaire des équipements, suivi des mises à jour, protection des accès distants ou tests de restauration des sauvegardes. Elle documenterait un niveau de prévention à une date donnée, sans garantir l’absence d’attaque ultérieure.

NIS 2 impose une gestion des risques, pas un certificat universel

La directive NIS 2 organise des obligations de cybersécurité pour les entités entrant dans son champ. Son article 21 prévoit des mesures proportionnées aux risques, couvrant notamment la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement et le traitement des vulnérabilités.

Le texte place aussi les organes de direction dans la chaîne de responsabilité : ils doivent approuver les mesures de gestion des risques et superviser leur mise en œuvre. La sécurité n’est donc pas seulement une prestation informatique déléguée. Elle relève également de décisions de gouvernance, de moyens et d’arbitrages opérationnels.

Un contrôle technique cyber ajouterait une modalité particulière de vérification. Sa portée dépendrait de choix encore à définir : entreprises concernées, fréquence des inspections, qualification des contrôleurs, suites données aux défauts constatés. Présenter cette formule comme une conséquence automatique de NIS 2 effacerait ces décisions essentielles.

Le coût décisif serait aussi celui des corrections

La facture ne se limiterait pas à la visite d’un auditeur. Une vérification peut révéler la nécessité de remplacer un équipement ancien, de revoir les accès d’un mainteneur ou d’interrompre temporairement une activité pour appliquer un correctif. Sans financement et sans calendrier de remise en état, le contrôle risquerait surtout de produire une liste de défaillances.

Le périmètre technique serait déterminant. Vérifier les ordinateurs administratifs ne suffit pas lorsque l’activité dépend d’automates, de capteurs et de services de maintenance à distance. Il faudrait identifier qui peut intervenir sur ces équipements, qui fournit les mises à jour et qui décide de leur installation.

Cette répartition engage les fournisseurs autant que les exploitants. Une entreprise peut dépendre d’un fabricant pour corriger une vulnérabilité ou d’un prestataire pour modifier une configuration. Une obligation de contrôle devrait rendre ces dépendances visibles, plutôt que laisser supposer que l’utilisateur maîtrise seul toute la chaîne.

Une attestation ne réglerait pas le partage des pertes

Pour les assureurs et les partenaires commerciaux, un référentiel commun pourrait faciliter l’évaluation des protections. Mais les effets d’une attestation sur une indemnisation dépendraient des contrats et du droit applicable. L’absence de contrôle ne permettrait pas, par elle-même, de conclure à une exclusion automatique de garantie.

À l’inverse, un contrôle favorable ne devrait pas être confondu avec une immunité. Une vulnérabilité peut apparaître après l’inspection ; une protection peut être désactivée ; une recommandation peut rester sans suite. La conservation des preuves et le suivi des corrections compteraient donc autant que le résultat initial.

La valeur d’un contrôle technique cyber se mesurerait finalement à ce qu’il ferait changer sur les installations : accès mieux protégés, équipements maintenus, sauvegardes effectivement restaurables. L’enjeu institutionnel serait de fixer qui définit ces exigences, qui vérifie leur respect et qui peut imposer une correction. C’est à ces conditions qu’une inspection deviendrait un instrument de prévention plutôt qu’une formalité supplémentaire.

À lire aussi : Avec Scaleway, Tandem Health déplace l’enjeu de l’IA médicale vers le cloud