Politiques publiques / Numérique et intelligence artificielle
Cybersécurité et continuité des services
Une attaque, une erreur ou une défaillance de prestataire peut rendre un service indisponible, altérer des informations ou exposer des données. Il faut alors protéger les personnes, maintenir les fonctions prioritaires et décider avec des informations encore incomplètes. La préparation juridique organise les responsabilités, les démarches et les preuves avant l’incident, puis accompagne les choix de reprise.
Le domaineVos questionsLes défis futurs et comment les anticiperNotre travailMissions possiblesPublications et formationsPremier échange
Protéger les fonctions et préparer leur maintien
La cybersécurité concerne la confidentialité, l'intégrité et la disponibilité des systèmes et informations. La continuité porte sur les activités qui doivent se poursuivre lorsque les outils habituels ne fonctionnent plus. La reprise prépare le retour à un fonctionnement maîtrisé. Ces objectifs engagent la direction, les services opérationnels, les responsables de sécurité, les équipes informatiques et les prestataires.
Les collectivités, établissements, entreprises et associations doivent identifier les conséquences d'une indisponibilité sur leurs publics : accueil, soins, paiement, instruction ou transmission d'un acte. La réponse ne se limite donc pas à remettre un serveur en fonctionnement. Il faut aussi déterminer les décisions, les responsabilités et les modes de service temporaires.
Des obligations selon l'organisme et l'incident
Les règles applicables dépendent de l'activité, du statut, des systèmes et des données. Les obligations sectorielles, les règles de protection des données et les engagements contractuels peuvent se cumuler. Une notification à une autorité, une déclaration à l'assureur, une plainte et une information des personnes n'ont pas le même objet ni nécessairement le même délai.
La directive NIS 2 élargit le cadre européen de cybersécurité. Sa transposition française et les textes applicables doivent être vérifiés pour chaque organisme. L'ANSSI présente la préparation des entités et les travaux de transposition : les recommandations de préparation ne doivent pas être confondues avec l'entrée en vigueur uniforme de toutes les obligations nationales. Préparer NIS 2 avec l'ANSSI.
Le Référentiel Cyber France présenté par l’ANSSI permet de préparer la gouvernance, le recensement des systèmes et le traitement des écarts. Son statut et sa version doivent être vérifiés avant de l’utiliser comme exigence contractuelle ou de conformité. La préparation ne dispense pas d’identifier les obligations sectorielles et celles déjà applicables à l’organisme.
Les questions à résoudre avant et pendant l'incident
Identifier les dépendances qui peuvent interrompre l'activité
Le dossier recense les fonctions essentielles, les données et les services dont elles dépendent. Les contrats doivent permettre de connaître les responsabilités, les accès, les sous-traitants et les possibilités de reprise. La sauvegarde n'est utile que si sa restauration et son exploitation sont possibles dans les conditions du service.
La préparation doit aussi organiser les délégations, les coordonnées et les moyens d'échange lorsque les outils de l'organisme sont indisponibles. Les procédures doivent être utilisables par les personnes effectivement appelées à agir, y compris en dehors des horaires habituels.
Décider avec une connaissance qui évolue
Les premières informations peuvent être incomplètes : origine, périmètre, données touchées et durée de l'interruption. Le travail juridique doit distinguer les faits établis des hypothèses techniques, conserver les éléments et préparer les décisions qui ne peuvent attendre. Les déclarations sont complétées lorsque de nouveaux faits modifient l'analyse.
Le rétablissement technique relève des spécialistes. Le cabinet travaille avec eux pour organiser la preuve, apprécier les obligations et préparer les actes, sans se substituer à la réponse technique ni à la décision de la direction.
Qualifier une violation de données personnelles
Une violation peut affecter la confidentialité, l’intégrité ou la disponibilité des données ; elle ne suppose pas seulement une fuite. L’article 33 du règlement général sur la protection des données impose de la documenter. La notification à l’autorité compétente intervient dans les meilleurs délais et, si possible, sous 72 heures après sa connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Un retard doit être motivé ; les informations peuvent être complétées de manière échelonnée sans retard indu.
L’article 34 prévoit l’information des personnes dans les meilleurs délais lorsqu’un risque élevé est susceptible de se produire, avec les exceptions qu’il précise. Le sous-traitant doit, pour sa part, alerter le responsable du traitement dans les meilleurs délais. Toutes les violations ne déclenchent donc pas les mêmes communications ; le délai de notification à l’autorité ne doit pas être transposé indistinctement à l’assurance, à la plainte ou à l’information des personnes.
Préserver les preuves et organiser les échanges
Les traces, messages, journaux, décisions et interventions doivent permettre de reconstituer la situation et les mesures prises. La conservation est coordonnée avec les équipes techniques afin de ne pas compromettre les investigations ou la reprise. Les accès et transmissions doivent protéger les informations sensibles et les droits des personnes.
La communication interne et externe doit rester cohérente avec les faits disponibles. Les messages aux usagers, partenaires et autorités ont des destinataires et finalités distincts. Une affirmation prématurée sur l'absence de dommage ou l'origine de l'incident peut compliquer les suites.
Reprendre l'activité et traiter les conséquences
La reprise doit être rapprochée des obligations du service, des données récupérées et des contrôles effectués. Les opérations interrompues, demandes en attente et échéances doivent être recensées. Les relations avec l'assureur, les prestataires, les personnes concernées et les autorités sont suivies avec leurs conditions propres.
Un incident n'établit pas automatiquement une faute ni le droit à une indemnisation. Les obligations, les mesures de sécurité, le lien de causalité et les préjudices doivent être examinés. Les responsabilités peuvent concerner plusieurs acteurs et demander des démarches distinctes.
Les défis futurs et comment les anticiper
La sécurité de la chaîne de prestataires
Un incident chez un fournisseur peut affecter plusieurs services ou organismes. Les contrats doivent permettre d'obtenir les informations utiles, de connaître les dépendances et de préparer une alternative. Le suivi porte sur les changements d'accès, de sous-traitance et d'architecture, au-delà de la vérification initiale.
Si plusieurs fonctions reposent sur le même hébergement, outil d’identité ou service de maintenance, leurs solutions de secours peuvent tomber ensemble. Avant de retenir un prestataire, il faut confronter les engagements de reprise aux dépendances communes et prévoir qui informe les partenaires. Les exercices doivent tester la disponibilité des accès, des contacts et des moyens de restauration, pas seulement l’existence d’une sauvegarde.
L'adaptation aux nouveaux textes et aux fonctions exposées
L'évolution des régimes de cybersécurité demande une qualification documentée de l'organisme, des activités et des systèmes. La préparation peut porter sur la gouvernance, les mesures et les démarches futures, tout en distinguant les obligations déjà applicables des textes encore en préparation. Les nouveaux usages d'IA doivent être rapprochés de leurs données, habilitations et possibilités d'action.
Lorsqu’un assistant peut accéder aux dossiers ou déclencher des opérations, une erreur ou une instruction malveillante peut dépasser le seul contenu d’une réponse. Le projet doit définir les habilitations minimales, les actions soumises à validation, les traces conservées et les conditions de suspension. Les clauses avec les fournisseurs et les scénarios de crise doivent suivre ces fonctions réelles, avec les spécialistes techniques chargés d’en éprouver les protections.
Des exercices qui vérifient le fonctionnement réel
Les exercices permettent de tester la capacité à décider, informer et maintenir le service. Leurs enseignements servent à corriger les contrats, les procédures et les responsabilités. Un plan écrit ne suffit pas à démontrer que les personnes pourront agir avec les moyens disponibles. Préparer et gérer une crise cyber.
Un exercice peut rendre indisponibles la messagerie, l’annuaire et les documents habituels de la cellule de crise. Il permet alors de vérifier les délégations, les moyens de contact de secours et la capacité à décider avec les personnes présentes. Les besoins de remplacement, de formation et d’assistance doivent être rapprochés des fonctions prioritaires et des engagements réellement pris avec les intervenants.
Préparer une reprise qui traite aussi les dossiers en attente
Le retour des outils peut laisser des données incomplètes, des paiements interrompus et des demandes dont les délais ont continué à courir. Pour préparer cette phase, il faut définir les contrôles avant remise en service, la façon de reconstituer les opérations et les priorités de traitement. Les décisions sur les échéances et l’information des usagers doivent être examinées selon le service concerné ; la panne ne suspend pas automatiquement toutes les obligations.
L'intervention du cabinet
Le directeur de mission travaille directement avec la direction et les équipes mobilisées. Il identifie les démarches urgentes, propose les initiatives utiles et restitue les décisions à prendre à mesure que les faits se précisent. La mission organise les relations avec les spécialistes techniques et les autres intervenants selon leurs responsabilités.
Il prend l’initiative de relancer un interlocuteur lorsqu’une information manque pour notifier, préserver une preuve ou préparer la reprise. Les points de situation distinguent les faits établis, les décisions à prendre et les actions confiées à chacun. La présence personnelle auprès du client se poursuit dans le traitement des conséquences de l’incident, selon la mission convenue.
L'analyse combine obligations de sécurité, données personnelles, contrats, assurance, règles du service et procédures de contrôle ou contentieuses. Les modalités de disponibilité, les contacts directs et les travaux sont précisés avec le client selon la situation et le périmètre de la mission.
Souveraineté numérique et infrastructures · Données publiques et partage
Des missions possibles
Ces descriptions présentent des travaux envisageables et des livrables à convenir. Elles ne désignent pas des incidents traités ni des résultats obtenus par le cabinet.
Examiner la préparation juridique d'un organisme
La mission rapproche les fonctions essentielles, les contrats et les obligations des procédures de crise. Elle peut produire une cartographie des responsabilités, un calendrier de démarches et un plan de corrections, avec les équipes chargées de la sécurité et de la continuité.
Préparer ou revoir les contrats de sécurité et de continuité
Le cabinet examine l'alerte, les informations dues, l'assistance, les audits, les sauvegardes et la restitution. Il prépare les clauses et les engagements à négocier, puis les contrôles et modalités de suivi avec les prestataires.
Accompagner les décisions pendant un incident
Le travail qualifie les faits disponibles et les obligations, prépare les notifications requises, les déclarations et les messages, puis en suit les compléments. Les preuves, les décisions et les démarches sont consignées avec leurs dates pour permettre la reprise et l'examen des suites.
Organiser un exercice et tirer ses enseignements
La mission teste les circuits juridiques de décision et d'information dans un scénario convenu. La restitution précise les difficultés constatées, les actes ou clauses à modifier et les actions à préparer avec les responsables concernés.
Répondre à un contrôle ou à une demande de réparation
Le cabinet reconstitue les obligations, les mesures et les faits, puis prépare les observations et pièces. Il examine les responsabilités, les préjudices et les voies de recours, et prépare la défense ou les demandes selon le rôle du client.
Préparer la transition vers les obligations nouvelles
La mission qualifie l'activité et le régime, identifie les écarts et distingue les échéances établies des dispositions à suivre. Elle prépare les adaptations de gouvernance, de contrats et de procédures, avec un plan d'action rapproché des moyens de l'organisme.
Publications et formations
La présentation de XXI Institut situe sa démarche de recherche et de débat public. La résilience des services essentiels, les dépendances et la répartition des responsabilités peuvent nourrir cette réflexion. Ce renvoi général ne désigne pas une publication particulière.
XXI Formations : construire un programme sur mesure — préparation des décisions, notifications, contrats et exercices de crise peuvent être travaillés avec les responsables et les équipes concernées.
Préparer un premier échange
Indiquez l'organisme, les fonctions touchées, les premières informations et les échéances connues. Si vos outils habituels sont compromis, utilisez un moyen de contact sûr. Conservez les éléments disponibles ; les modalités de transmission des pièces sont convenues avec le cabinet.
Revenir au domaine Numérique et intelligence artificielle · Sous-page suivante : Accès et inclusion dans les services numériques