Source: The Conversation – in French – By Gabin Burton, Doctorant en droit privé, thèse sur le sujet “Responsabilité Civile et Personnalité Morale”, Université Bretagne Sud (UBS)
L’ESSENTIEL
-
Une cyberattaque a visé, mi-octobre, des frigos de supermarchés qui ont dû jeter tous leurs produits surgelés, mettant en lumière le fait que les risques des cyberattaques affectent aussi le monde physique.
-
Si les attaquants sont évidemment les premiers responsables de ces attaques et des préjudices causés, les organisations victimes ne sont pas à l’abri de la reproduction de ces attaques ni d’être elles-mêmes autrices de faits préjudiciables, au sens juridique du terme, par exemple en n’ayant pas mis en place de garde-fous.
-
Alors que la cybersécurité doit être discutée à l’Assemblée nationale très prochainement pour inscrire dans le droit français la directive européenne NIS 2, l’idée d’un « contrôle technique cyber » est une piste de réflexion pour améliorer la cybersécurité de tous.
Dans la nuit du 11 au 12 octobre, des centaines de supermarchés ont dû jeter leurs produits après une cyberattaque contre leurs installations frigorifiques. C’est la section cybercriminalité du parquet de Paris qui s’est saisie de l’affaire le 12 octobre.
Au-delà de la faille technique et de la sanction pénale, il reste la question civile, celle de la réparation. Si le cyberattaquant apparaît comme le coupable évident, il est rarement celui qui paiera les dommages. Toutefois, d’un point de vue de la responsabilité, ces enseignes de supermarché, bien que victimes de l’attaque, ne pourraient-elles pas être tenues pour responsables des dommages subis par leurs clients ou leurs partenaires commerciaux parce qu’elles n’ont pas assez sécurisé leurs systèmes ?
C’est ainsi qu’intervient l’idée d’un « contrôle technique cyber », c’est-à-dire l’idée de vérifier la sécurité des entreprises avant la panne, comme il existe un contrôle des voitures avant l’accident.
Aujourd’hui, en sécurité numérique, il n’existe pas de « contrôle technique » officiel à remplir. Chaque personne morale (c’est-à-dire les groupements dotés d’une personnalité juridique, comme les sociétés, les associations, etc.) a certes des obligations spécifiques sur des domaines particuliers. Toute organisation qui traite des données personnelles doit, en vertu du Règlement général sur la protection des données (RGPD), assurer leur sécurité par des mesures « appropriées » au risque. Mais le texte ne dresse pas de liste précise à cocher.
En d’autres termes, il n’y a pas d’équivalent du contrôle technique en matière de cybersécurité. En sécurité routière, un véhicule doit passer un contrôle technique pour avoir le droit de rouler, c’est-à-dire répondre à une liste précise de points à vérifier afin d’assurer la sécurité à la conformité de ce véhicule. Sans contrôle technique, au-delà du risque de sanction, l’assureur peut potentiellement ne pas prendre en charge les frais liés à l’accident, soit en cas de clause contractuelle, soit en cas de lien entre l’accident et un défaut d’entretien que le contrôle technique aurait pu éviter.
Cette piste serait-elle pertinente pour la cybersécurité ? La question se pose de façon d’autant plus aiguë que les risques découlant de cyberattaques ne sont pas seulement numériques : outre les préjudices réputationnels, d’autres plus tangibles apparaissent. Dans le cas des supermarchés, il s’agit de marchandises détruites, de rayons et de magasins fermés, de risque sanitaire et écologique. Par ailleurs, cet été, des réseaux d’assainissement d’eau potable ont été attaqués aux États-Unis.
Des failles de sécurité évitables
Ironie du sort, une grande majorité des cyberattaques découlent de failles de sécurité assez banales, mais surtout déjà connues.
Par exemple, une enquête sur le Musée du Louvre à la suite de son cambriolage a démontré une faille importante dans son système informatique : des serveurs critiques, dont celui de la vidéosurveillance, étaient protégés par le mot de passe « LOUVRE ». Il s’agit ici d’un exemple alarmant, mais qui est révélateur des négligences quotidiennes de chacun. Ainsi, à raison de 10 essais par seconde, ce mot de passe ne prendrait que 31 minutes à craquer, selon le testeur de mot de passe Nothing2Hide. L’ajout de « 75 » ferait passer le craque à 4 jours.
À lire aussi :
Comment choisir un bon mot de passe ?
Dans le cas des cyberattaques des frigos, les experts ne considèrent pas que la cyberattaque ait pu être particulièrement complexe, et qu’il s’agirait d’une mise à jour qui n’a pas été faite. Ces réfrigérateurs, comme d’autres appareils, sont nécessairement reliés à Internet afin d’être contrôlés à distance. À défaut de mises à jour de sécurité, ils deviennent des points d’entrée vulnérables et faciles d’accès pour les attaquants.
Michel-Édouard Leclerc a lui-même déclaré :
« On n’avait pas cette culture de la sécurité. »
Lorsqu’il s’agit de failles courantes et dont les correctifs sont connus, l’entreprise victime peut se voir reprocher par son assureur de ne pas avoir pris les précautions élémentaires. Ainsi sa propre négligence peut-elle alors réduire la responsabilité de l’attaquant.
Quelle responsabilité pour les entreprises victimes d’attaques ?
Face à une cyberattaque, la première réaction, du public comme des personnes touchées, est de voir des victimes. Le premier responsable est, sans conteste, l’auteur de l’attaque.
Mais cette évidence ouvre un débat. Même lorsque l’attaquant est identifié, retrouvé et solvable, il pourrait être reproché à l’entreprise attaquée de n’avoir pas suffisamment protégé ses systèmes. La question de sa propre faute se pose, et elle est sensible. La recherche en criminologie souligne d’ailleurs que la victime d’une cyberattaque n’est jamais tout à fait passive.
L’entreprise qui ne se conforme pas aux réglementations de cybersécurité, ou qui ne muscle pas son jeu de sécurité, rend l’attaque au mieux possible, et au pire facile. Il est à noter que, en matière de responsabilité civile, la négligence peut être considérée comme une faute (Art. 1241 C. civ] : « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence. »)
Mais la difficulté concernant les personnes morales consiste dans leur organisation. Une entreprise n’existe pas que par ses dirigeants, elle existe également par le biais de ses salariés. Si un employé commet une faute ou est négligent, l’entreprise est fautive, non parce que le salarié a failli, mais parce que l’organisation n’a pas prévu les garde-fous nécessaires.
Les entreprises peuvent déléguer ces missions de sécurité informatique à des prestataires techniques, qui prennent en charge la responsabilité des maintenances et des mises à jour.
De plus, et afin d’être indemnisées pour des préjudices subis, les entreprises peuvent souscrire des assurances cyber. Dans le cadre de cyberattaques, les assureurs mettent en place des indemnisations et des aides à la remise en route. Toutefois, en cas de défaut de mot de passe robuste ou de mises à jour concourant au préjudice, l’assureur pourrait refuser d’indemniser.
Un point important à évoquer reste le cas de la force majeure. En droit, la « force majeure » relève de trois caractéristiques : l’extériorité, l’imprévisibilité et l’irrésistibilité. Par exemple, une tornade emportant l’entièreté des récoltes est un évènement extérieur à la volonté de l’agriculteur, dont il ne peut prévoir le passage ni en contrôler la force.
Face à sa négligence et donc face à ses victimes (clients, prestataires ou partenaires commerciaux), la personne morale négligente des cyberattaques et de sa cybersécurité serait tentée d’invoquer le cas de « force majeure ».
Néanmoins, dans un arrêt du 7 février 2020 (CA Paris, pôle 5, ch. 11, n° 18/03616), la Cour d’appel de Paris a refusé de voir une force majeure dans une attaque par ransomware (ou rançongiciel) invoquée par un prestataire informatique défaillant, au motif qu’un virus informatique ne présente le caractère ni imprévisible ni irrésistible.
La cyberattaque ne saurait en principe exonérer l’entreprise négligente. Cette dernière doit prévoir et contenir ce risque bien réel de cyberattaque.
Le brouillard normatif
Pour autant, il existe aujourd’hui un véritable défi pour les entreprises en matière de cybersécurité ; celui-ci relève de la multiplication constante des textes normatifs. La dernière en date est la directive européenne NIS 2, qui devait être transposée en droit français le 17 octobre 2024, mais dont le débat à l’Assemblée nationale vient de nouveau d’être repoussé.
Bien que des référentiels de bonnes pratiques et des possibilités d’audit et de conseils existent, c’est dans un brouillard épais que les personnes morales évoluent, sans liste claire des obligations auxquelles elles sont soumises pour à la fois mieux se protéger et ne pas subir a posteriori sa négligence.
L’idée d’un contrôle technique cyber
Sans lignes de conduite claires, il n’est pas aisé de reconnaître qui porte la faute, quand l’attaque était évitable, et à quel moment la force majeure doit être écartée. Il y a là une insécurité cyber et juridique pour tous.
Une option envisageable serait que les pouvoirs publics instaurent un contrôle obligatoire et périodique de la sécurité informatique, à l’image du contrôle technique des véhicules automobiles, afin que chaque acteur ait connaissance de ses obligations et des limites de sa responsabilité.
Par ailleurs, l’idée a déjà été insufflée par l’instauration d’un « cyberscore ». Ce sont les grandes plateformes numériques, les messageries et les services de visioconférence qui doivent faire auditer leur sécurité par des prestataires, qualifiés par l’Agence nationale de la sécurité des systèmes d’information (Anssi), puis afficher le résultat de ce score au public, à la manière du Nutri-Score. Il s’agit ici d’un premier pas du législateur vers la nécessité d’un audit spécifique, restitué de façon lisible.
La comparaison avec le contrôle technique a cependant ses limites. Un véhicule évolue peu d’une année à l’autre, alors que les menaces informatiques se renouvellent en permanence et les cyberattaquants se multiplient. Un audit valable à date fixe est obsolète six mois plus tard. Cela dit, l’idée d’un « contrôle technique cyber » prend tout son sens. Un cadre précis et lisible qui indique à chaque organisation ce que l’on attend d’elle, et à quel moment sa négligence engage sa responsabilité.
Gabin BURTON est membre du projet CyberSkills4All, projet régional à portée nationale fédérant un écosystème breton de partenaires académiques, d’institutions et de grandes entreprises autour des enjeux de cybersécurité.
– ref. Cyberattaques : faut-il mettre en place un « contrôle technique cyber » pour les entreprises ? – https://theconversation.com/cyberattaques-faut-il-mettre-en-place-un-controle-technique-cyber-pour-les-entreprises-294500