Une entreprise doit-elle révéler une cyberattaque lorsqu’elle menace sa réputation, la confiance de ses clients ou même une levée de fonds ?
Oui, mais pour certains dirigeants, la question dépasse la seule conformité réglementaire : elle devient un arbitrage économique.
Maître Djamel Belhaouci-Schneider, avocat spécialisé en cybercriminalité, nous a aidé à décrypter cette logique dérangeante, entre obligations légales, risque judiciaire et survie de l’entreprise.
Certaines entreprises préfèrent cacher une cyberattaque
Une entreprise découvre que les données personnelles de ses utilisateurs ont été exposées. Si l’exercice de son activité n’est pas perturbé et qu’aucune conséquence financière n’est immédiatement visible, certains dirigeants sont tentés de minimiser l’incident. D’autres redoutent qu’une communication publique ne transforme une cyberattaque en crise réputationnelle.
Pour Maître Belhaouci-Schneider, qui accompagne régulièrement des entreprises victimes de cyberattaques, le raisonnement des chefs d’entreprise repose sur un arbitrage entre les risques auxquels ils sont exposés.
« Évidemment, un chef d’entreprise doit respecter la loi. Mais il doit aussi gérer son entreprise avec une gestion du risque. S’il réagit toujours au moindre risque et qu’il fait tout correctement, son problème, c’est qu’il ne peut pas avancer. », explique-t-il.
« En tant qu’avocats, évidemment, nous lui disons qu’il est obligé de faire la déclaration à la CNIL suite à une fuite de données personnelles. Ensuite, il la fait ou il ne la fait pas, ça, c’est sa gestion du risque à lui. »
Une levée de fonds passée avant la transparence
L’avocat rapporte le cas d’une entreprise qui devait lever des fonds dans les deux mois suivant une grosse cyberattaque. Les données client et leur gestion représentaient une part essentielle de sa valeur économique et de son business modèle. Pour son dirigeant, révéler l’incident risquait de compromettre l’opération financière.
« De toute façon, on va mourir si on ne fait pas la levée de fonds et on va mourir si on déclare l’incident, alors autant prendre le risque de ne pas le déclarer », résume l’avocat pour restituer le raisonnement de ce dirigeant.
La formule est brutale, mais elle illustre bien le dilemme : si la révélation de la fuite compromet la levée de fonds et la survie de l’entreprise, le dirigeant peut considérer qu’elle n’a plus rien à gagner à communiquer et que la prise de risque vaut le coup.
Ce calcul ne signifie pas que la dissimulation est légalement possible. Il montre plutôt comment la pression économique peut conduire certains dirigeants à privilégier leur survie à court terme, quitte à prendre des risques juridiques plus tard.
Les risques pour l’entreprise lors d’une cyberattaque
Lorsqu’une entreprise est victime d’une cyberattaque, elle évalue les conséquences de l’incident. Certaines évaluent aussi les risques associés à sa déclaration ou à sa dissimulation. Si les sanctions juridiques ou financières ne sont pas systématiques, les conséquences réputationnelles sont plus probables.
En dehors des conséquences de la cyberattaque elle-même, trois risques majeurs se distinguent : le risque de sanction par la CNIL, celui de voir des clients ou des partenaires engager des procédures et le risque réputationnel. Leur importance dépend des mesures de sécurité mises en place avant l’attaque, de la nature des données volées et de la manière dont l’entreprise réagit lorsque la crise survient.
Le risque de sanction par la CNIL
Quand une cyberattaque entraîne une violation de données personnelles, l’entreprise est tenue de notifier l’incident à la CNIL, conformément aux obligations prévues par le RGPD. En cas de risque élevé pour les personnes concernées, elle doit également les informer.
Le risque de sanction par la CNIL, lui, dépend des circonstances et des manquements constatés. Si l’entreprise n’a pas mis en place des mesures de sécurité adaptées, si elle a négligé des vulnérabilités connues ou si elle n’a pas respecté ses obligations de notification, elle s’expose à des sanctions administratives. Leur montant varie selon la nature et la gravité des manquements. Les amendes peuvent atteindre des montants importants, calculées en fonction du pourcentage du chiffre d’affaires.
Mais dans les faits, une violation de données conduit rarement à une sanction. L’intervention de la CNIL, les investigations menées et les éventuelles suites données à l’affaire dépendent de facteurs comme l’activité de l’entreprise, l’origine de la fuite, l’ampleur de celle-ci ou encore la nature des données compromises. Le risque de sanction est donc limité, ce qui encourage en principe les entreprise à jouer le jeu de la transparence.
Le risque de voir clients et partenaires se retourner contre l’entreprise
Une cyberattaque peut conduire les clients concernés à engager des actions en justice, notamment lorsque leurs données personnelles ont été exposées et qu’ils estiment avoir subi un préjudice.
Si cette optique peut freiner le chef d’entreprise dans sa démarche de transparence, dans les faits, ce risque est limité par les difficultés rencontrées par les victimes pour obtenir réparation. Une action en justice nécessite de réunir des éléments permettant d’établir la violation, le préjudice subi et les conditions dans lesquelles la responsabilité de l’entreprise peut être engagée. La procédure dure généralement 2 ans, est coûteuse et incertaine. Ces contraintes dissuadent la plupart des clients particuliers d’entamer des démarches, surtout lorsque le préjudice est faible ou seulement moral.
Maître Djamel Belhaouci-Schneider souligne le décalage entre les efforts nécessaires pour obtenir réparation et le montant de l’indemnisation espérée :
« Vous allez obtenir combien ? 200, 300, 500 euros pour une procédure qui aura duré deux ans. Personne ne le fait. Même en cas de préjudice sérieux, il faut démontrer que les données exploitées provenaient bien de cette fuite de données précise, c’est presque impossible. »
Ces difficultés ne signifient pas que les victimes ne peuvent pas obtenir réparation. Le RGPD prévoit notamment un droit à indemnisation en cas de dommage matériel ou moral résultant d’une violation. Mais une indemnisation n’est pas automatique : le préjudice doit être établi et les conditions de responsabilité doivent être réunies.
Le risque contentieux est plus probable avec des partenaires ou des clients professionnels. Là, il dépend de la nature de l’incident, des contrats et de l’existence d’un préjudice démontrable.
Mais ces conséquences ne sont pas systématiques et peuvent, dans certains cas, représenter une menace moins immédiate pour l’entreprise que les conséquences commerciales ou financières immédiates de l’incident.
Le risque réputationnel : le plus difficile à maîtriser
Au-delà des sanctions et des procédures judiciaires, une cyberattaque peut fragiliser l’image de l’entreprise. La perte de confiance des clients, des partenaires commerciaux (fournisseurs, banques) ou encore des investisseurs peut affecter la pérennité de l’activité.
L’ampleur de ce risque dépend souvent de la manière dont l’entreprise a anticipé et géré la crise. Une organisation qui a mis en place des mesures de sécurité adaptées, qui réagit rapidement et qui communique de façon transparente peut démontrer qu’elle a pris ses responsabilités, même si elle n’a pas réussi à empêcher l’attaque.
À l’inverse, le risque réputationnel devient plus important lorsque l’entreprise n’avait prévu aucune mesure de protection suffisante, qu’elle tarde à réagir ou qu’elle communique de manière maladroite. La situation est encore plus délicate lorsqu’elle tente de dissimuler l’incident et que celui-ci est révélé par la suite.
Dans ce dernier cas, la crise ne porte plus uniquement sur la cyberattaque : elle concerne aussi la manière dont l’entreprise a traité l’incident et informé les personnes concernées. La découverte d’une dissimulation peut alimenter les soupçons de négligence, fragiliser la confiance des parties prenantes et attirer davantage l’attention des autorités. Elle peut aussi compliquer la défense de l’entreprise si des manquements à ses obligations sont établis.
Selon la nature de l’activité de l’entreprise, si la donnée joue un rôle important, une cyberattaque peut rebuter des prospects à faire affaire avec une entreprise. C’est là que la tentation d’étouffer l’affaire est la plus importante.
Le risque réputationnel ne dépend donc pas uniquement du fait d’avoir été victime d’une attaque. Il dépend surtout du niveau de préparation de l’entreprise et de sa capacité à gérer la situation. Une entreprise ayant déjà subit une attaque peut aussi, paradoxalement, rassurer : elle dispose de l’expérience pour s’en prémunir à l’avenir.
Un sentiment d’impunité apparente
Certaines entreprises sont finalement tentées de minimiser ou de dissimuler une cyberattaque car les conséquences juridiques leur paraissent incertaines. Cette perception contribue à entretenir une forme d’impunité. Comme le résume Maître Djamel Belhaouci-Schneider :
« Aujourd’hui, le parquet a d’autres priorités que cela et va plutôt chercher les auteurs de cybercriminalité que sanctionner les entreprises. On a une politique plutôt d’éducation et de sensibilisation que de sanction. »
Cette priorité accordée à la lutte contre les auteurs des cyberattaques et à la sensibilisation ne signifie pourtant pas que les entreprises sont à l’abri de sanctions. Les manquements peuvent être punis, et les obligations légales restent applicables, que l’entreprise ait déclaré l’incident ou non.
Déclarer à la CNIL et communiquer publiquement : deux démarches différentes
La notification à la CNIL ne doit pas être confondue avec la communication publique. Une entreprise victime d’une cyberattaque n’est pas automatiquement tenue de rendre l’incident public. C’est lorsqu’une attaque entraîne une violation de données personnelles que des obligations spécifiques s’appliquent.
Le RGPD impose de notifier la CNIL quand une violation de données personnelles est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Cette notification doit intervenir dans les meilleurs délais et, si possible, dans les 72 heures suivant la prise de connaissance de la violation. Si le risque est élevé, les personnes concernées doivent également être informées, sauf exception prévue par le règlement. Dans le cadre d’un incident de faible envergure, seules les personnes concernées doivent être contactées.
À l’inverse, si la violation n’est pas susceptible d’engendrer un risque pour les personnes, la notification à la CNIL n’est pas obligatoire. L’entreprise doit néanmoins documenter l’incident en interne. La ligne reste floue pour les chefs d’entreprise, sur la notion de « risque pour les personnes ».
Ainsi, une cyberattaque sans violation de données personnelles ne déclenche pas, à elle seule, d’obligation de notification à la CNIL au titre de ces dispositions du RGPD. De même, notifier la commission nationale de l’informatique et des libertés ne signifie pas nécessairement communiquer publiquement sur l’incident.
Ne pas avoir peur de déclarer une cyberattaque
Pour le dirigeant, le véritable enjeu après une cyberattaque, c’est de maîtriser les conséquences de l’incident, sans le transformer en risque réputationnel ou en manquement réglementaire.
Il faut donc mettre en place des moyens mesurables pour protéger les données sensibles de ses clients. Le risque zéro n’existe pas, mais les entreprises peuvent limiter les conséquences d’une cyberattaque en anticipant les scénarios de crise et en renforçant leur sécurité.
Au-delà de l’incident technique, c’est bien la manière dont l’entreprise réagit qui peut faire la différence. Si certains dirigeants considèrent encore la déclaration comme un risque économique, la dissimulation peut, elle aussi, se retourner contre eux, surtout lorsque la fuite est révélée plusieurs mois après les faits. La transparence peut aussi renforcer la confiance, si tout avait été mis en place pour éviter la fuite.
L’objectif du dirigeant n’est pas seulement d’éviter une sanction ou une crise réputationnelle. Il faut trouver un équilibre entre la protection de l’activité, le respect des obligations légales et la confiance des clients. Un calcul de risque qui peut coûter bien plus cher à l’entreprise qui décide de ne pas jouer le jeu la transparence.
Source originale : Cyberattaque.org.
Image d’illustration : Space data center hexagon.webp — Wikideas1 — CC0, via Wikimedia Commons.
