5.2 Signalement interne, CERT-FR, CNIL : les bons réflexes et les délais légaux

Tout commence par le signalement interne à la DSI ou au RSSI. Selon la taille de l'entreprise :

• PME < 50 salariés : souvent un seul interlocuteur informatique, parfois externalisé. Email + appel téléphonique en cas d'urgence.
• ETI / Grande entreprise : équipe DSI dédiée + équipe SOC + RSSI. Souvent un email dédié ([email protected]) ou un portail de signalement, voire un numéro de téléphone d'astreinte 24/7.
• Grand groupe : SOC interne 24/7, équipe CERT interne (« CSIRT » — Computer Security Incident Response Team), outils de ticketing dédiés.

Bonnes pratiques côté entreprise pour faciliter le signalement :

• Un canal unique connu de tous : email dédié, bouton dans le client mail, numéro d'urgence affiché dans les open spaces
• Réponse rapide à tout signalement, même mineur, pour entretenir la motivation
• Retour vers le signaleur sur l'analyse effectuée (« voici ce qu'on a fait de votre signalement »)
• Politique no-blame documentée dans la charte informatique
• Communication régulière des incidents évités grâce aux signalements (anonymisée si nécessaire)

Le CERT-FR (Computer Emergency Response Team France), rattaché à l'ANSSI, est le point d'entrée national pour les incidents cyber affectant les entreprises françaises. Ses missions :

• Veille permanente sur les menaces et publications d'alertes
• Assistance technique aux victimes (analyse forensique, conseils de remédiation)
• Coordination avec les CSIRT sectoriels (santé, finance, énergie) et internationaux
• Diffusion de bulletins (CERTFR-2024-XXX) pour partager les indicateurs de compromission

Contacts publiés par le CERT-FR : portail cert.ssi.gouv.fr, adresse [email protected], et une ligne joignable 24 h sur 24 au 3218 depuis la France métropolitaine (ou +33 9 70 83 32 18 depuis l'étranger et les outre-mer). Le CERT-FR précise qu'il traite la réponse technique aux incidents et qu'il n'est ni un service de justice ni un service de police : il ne recueille pas de plainte. Pour une assistance de proximité, un CSIRT régional peut prendre le relais ; pour les particuliers, les TPE et les collectivités, le point d'entrée est Cybermalveillance.gouv.fr (portail 17cyber.gouv.fr).

Cas typiques où contacter le CERT-FR :

• Ransomware actif sur le SI
• Détection d'une intrusion confirmée (indicateurs de compromission)
• Attaque DDoS perturbant l'activité
• Compromission d'un compte à privilèges
• Demande de soutien technique en cas de doute

L'article 33 du RGPD impose au responsable de traitement de notifier toute violation de données personnelles à la CNIL dans les 72 heures de la prise de connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.

Une « violation de données personnelles » est définie par l'article 4(12) du RGPD : « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à de telles données ». Concrètement : ransomware (atteinte à la disponibilité), fuite de base de données (divulgation), vol d'ordinateur non chiffré contenant des données personnelles, envoi par erreur d'un fichier sensible.

Contenu de la notification à la CNIL (formulaire en ligne notifications.cnil.fr) :

• Nature de la violation
• Catégories et nombre approximatif de personnes concernées
• Catégories et volume approximatif de données touchées
• Conséquences probables
• Mesures prises ou envisagées pour remédier
• Coordonnées du DPO ou du référent

Si le risque pour les personnes est élevé (atteinte à la vie privée, usurpation d'identité, conséquences financières), l'article 34 impose en plus l'information directe des personnes concernées dans les meilleurs délais. Forme : email, courrier, communication publique selon les cas.

Les délais ci-dessous sont ceux de l'article 23 de la directive NIS2. Rappel du chapitre 1.1 : la France n'ayant pas encore promulgué sa loi de transposition, ces délais ne sont pas encore opposables aux entreprises françaises. Ils préfigurent en revanche le dispositif à venir, et les entités concernées ont tout intérêt à s'organiser dès maintenant. Pour les entités essentielles et importantes, la notification à l'autorité compétente — l'ANSSI, désignée par le projet de loi — suivra un triple délai :

• 24 heures après prise de connaissance : alerte précoce succincte (l'incident est-il malveillant ? a-t-il un impact transfrontalier ?)
• 72 heures : notification d'incident avec évaluation initiale (gravité, indicateurs de compromission, mesures prises)
• 1 mois : rapport final détaillé (description complète, causes profondes, impact, mesures pérennes de remédiation)
• Optionnel : rapport intermédiaire à la demande de l'ANSSI selon l'évolution

Ces délais s'anticipent avant l'incident : contacts identifiés, modèles de rapport prêts, responsabilités attribuées. Une organisation qui découvre ses obligations le jour de l'incident notifie mal, ou trop tard. Et les régimes se cumulent : un même incident touchant des données personnelles relève à la fois du RGPD (CNIL) et, demain, de NIS2 (ANSSI), avec deux notifications distinctes à produire.

Pour le secteur financier, DORA s'applique déjà et impose un calendrier plus serré encore : notification initiale dans les 4 heures suivant la classification de l'incident comme majeur, et au plus tard 24 heures après en avoir eu connaissance ; rapport intermédiaire sous 72 heures ; rapport final sous un mois. Le point à retenir : les 4 heures courent à partir de la classification, pas de la détection — ce qui suppose un processus de classification rapide et documenté.

En cas d'incident grave (ransomware, fraude au virement, vol de données massif), déposer plainte est recommandé pour plusieurs raisons :

• Obligation de l'employeur dans certains cas (vol, fraude organisée)
• Possibilité d'enquête pénale par la police judiciaire (OCLCTIC — Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication, ou C3N — Centre de lutte contre les criminalités numériques de la gendarmerie)
• Démarches d'indemnisation par l'assurance cyber : la plupart des polices exigent un dépôt de plainte préalable
• Récupération éventuelle des fonds : en cas de fraude au virement, une plainte déposée très vite, couplée à un signalement immédiat à la banque, augmente les chances de blocage des sommes avant leur dispersion
• Statistiques nationales : alimenter les chiffres officiels pour mieux dimensionner les politiques publiques

Modalités : plainte au commissariat / brigade de gendarmerie le plus proche, ou directement au procureur de la République via courrier recommandé. Pour les fraudes en ligne, le portail Pharos (signalement) et THESEE (plainte en ligne) facilitent les démarches. Pour les particuliers, cybermalveillance.gouv.fr oriente vers les bons interlocuteurs.

Un incident grave nécessite une communication externe coordonnée : clients, fournisseurs, partenaires, voire grand public et médias. Mauvaise communication = double dommage (incident technique + crise réputationnelle). Bonnes pratiques :

• Un seul porte-parole désigné (DG, communication, ou conseil externe)
• Message factuel : ce que l'on sait, ce que l'on ne sait pas encore, ce que l'on fait
• Pas de minimisation ni de promesse intenable. Si on dit « aucune donnée personnelle n'a fuité » et qu'on découvre 3 semaines plus tard que si, la crédibilité est détruite.
• Coordination avec le conseil juridique et le DPO sur les obligations légales : information des personnes concernées au titre de l'article 34 du RGPD, information contractuelle des clients et des partenaires, obligations sectorielles éventuelles
• Communication interne avant externe : les salariés ne doivent jamais apprendre l'incident par les médias
• Surveiller les réseaux sociaux et préparer des éléments de réponse aux questions fréquentes

Modèle à privilégier : une communication transparente, factuelle et respectueuse des personnes concernées. L'expérience des crises passées est constante sur un point : le préjudice de réputation ne vient presque jamais de l'incident lui-même — que le public sait inévitable — mais de la découverte, plus tard, que l'organisation savait et n'a rien dit, ou a minimisé. À l'inverse, une communication rapide et précise, même sur une mauvaise nouvelle, est régulièrement portée au crédit de l'entreprise.