AVOCAT EN CYBERSÉCURITÉ POUR LES ENTREPRISES

Avant les premières déclarations. Les messages adressés aux clients, au prestataire, à l’assureur et à l’autorité de contrôle fixent la position de l’entreprise et seront relus plus tard. En prévention, le bon moment est celui où un client impose des exigences de sécurité ou celui où un contrat d’infogérance se négocie.

Cela dépend de ce que l’incident a touché et de ce qu’est l’entreprise. Le cabinet établit d’abord la nature de l’incident — indisponibilité, accès non autorisé, vol de fichiers, données personnelles concernées ou service essentiel perturbé —, car c’est elle qui commande les déclarations à faire. La CNIL doit être notifiée de toute violation de données personnelles dans les 72 heures, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33 du RGPD). D’autres destinataires peuvent s’ajouter selon le secteur, la qualification de l’entité ou les engagements contractuels : régulateur sectoriel, assureur, clients, personnes concernées. Chacun a son propre régime et son propre délai. La première étape est de déterminer lesquels s’appliquent réellement.

Les journaux de connexion, les messages, les fichiers et les configurations peuvent être perdus lors d’une réinstallation ou d’un redémarrage. Il faut donc identifier et conserver les éléments qui permettront de reconstituer l’incident avant toute suppression. Ces éléments serviront à répondre aux autorités, à établir un éventuel manquement du prestataire et à mobiliser la garantie de l’assureur. Le cabinet encadre leur collecte avec l’expert technique afin qu’ils restent datés, compréhensibles et exploitables.

Cela dépend de ce qu’il s’était engagé à faire. Le débat porte sur le périmètre souscrit, la nature de l’obligation, les niveaux de service convenus, les alertes qu’il aurait dû émettre et les clauses limitant sa responsabilité. Une attaque subie ne caractérise pas à elle seule un manquement : il faut identifier l’obligation précise qui n’a pas été exécutée et son lien avec le dommage.

Ni un refus, ni une signature automatique. Les questionnaires et clauses transmis par les donneurs d’ordre contiennent souvent des engagements que l’entreprise ne peut pas tenir techniquement, ou qui transforment une obligation de moyens en garantie de résultat. Le cabinet identifie ce qui peut être signé en l’état, ce qui doit être renégocié et ce qui suppose d’abord une mise à niveau.

La consultation initiale d’une heure est facturée selon un montant indiqué avant le rendez-vous. Pour la suite, les honoraires sont convenus par écrit avant toute intervention : au forfait lorsque le périmètre est délimité — rédaction de documents, revue contractuelle, rapport d’écart — et au temps passé lorsqu’il ne peut pas l’être, notamment en gestion d’incident et en contentieux.

L’expert analyse les systèmes et contribue à la réponse technique. L’avocat examine les obligations, les contrats et les conséquences juridiques ; il prépare les actes, accompagne les échanges et défend les intérêts de l’entreprise. Le cabinet associe ses experts techniques à ses dossiers et travaille, lorsque c’est utile, avec vos propres prestataires.

La prise en charge dépend du contrat, du sinistre, des exclusions et des conditions de garantie. Les démarches et délais doivent être examinés rapidement, notamment la déclaration à l’assureur et, dans le champ prévu par le Code des assurances, le dépôt de plainte. Ce délai de plainte ne se confond pas avec le délai de notification à la CNIL.