Les modifications apportées par la loi LOPMI
À partir du 24 avril, la loi LOPMI instaure une nouvelle obligation pour les professionnels et les entreprises victimes d’une attaque informatique. Désormais, ils doivent déposer plainte dans un délai maximum de 72 heures à partir du moment où ils ont pris connaissance de l’incident.
Ce dépôt de plainte est essentiel pour pouvoir éventuellement bénéficier d’une indemnisation dans le cadre d’un contrat d’assurance cyber en vigueur. Si la plainte n’est pas déposée dans ce délai, le professionnel ou l’entreprise ne pourra pas prétendre à une indemnisation de la part de son assureur.
Cette obligation, qui relève de l’ordre public, s’applique à tous les contrats d’assurance en cours, même si elle n’est pas expressément mentionnée dans les contrats.
Il est néanmoins possible de mobiliser les garanties d’assistance dès le constat de l’attaque, sans attendre le dépôt de plainte. Cela permet d’identifier la faille de sécurité, les données personnelles ou confidentielles compromises, et de proposer des solutions initiales pour limiter les conséquences de l’attaque. Un dossier de recours peut également être constitué. Il est important de noter que le dépôt de plainte demeure obligatoire dans un délai de 72 heures, quelles que soient les mesures prises en amont.
Qui sont les personnes concernées ?
Toutes les personnes morales, qu’il s’agisse d’entreprises, d’associations ou d’administrations publiques, ainsi que les personnes physiques, telles que les professions libérales ou les travailleurs indépendants, qui sont victimes d’une cyberattaque dans le cadre de leurs activités professionnelles, sont concernées.
Il est important de noter que le professionnel ou l’entreprise doit être immatriculé en France et être assuré par un contrat d’assurance français pour pouvoir bénéficier de cette obligation.
Cependant, les particuliers qui subissent une attaque à titre personnel ne sont pas soumis à cette obligation. Néanmoins, il est recommandé de déposer une plainte afin de permettre l’identification des suspects et de favoriser la reconnaissance du préjudice subi par la victime.
Quels types d’attaques sont ciblés par la loi ?
Toutes les cyberattaques sont une menace constante dans notre monde connecté. Elles prennent différentes formes, telles que les attaques par logiciels malveillants, les vols de données, les attaques par déni de service, les hameçonnages (phishing), les modifications non sollicitées d’un site Internet, les interceptions de communication sur un réseau Wifi public, ou encore l’exploitation de vulnérabilités présentes dans un logiciel.
Les attaques par logiciels malveillants, notamment les ransomwares, sont de plus en plus répandues. Ces programmes malveillants infectent les systèmes informatiques et chiffrent les données, demandant une rançon pour leur déchiffrement. Les vols de données sont également une menace sérieuse, où les pirates s’emparent de précieuses informations confidentielles, telles que les données personnelles ou les informations bancaires.
Les attaques par déni de service sont conçues pour surcharger un site web ou un réseau, le rendant indisponible pour les utilisateurs légitimes. Les hameçonnages (phishing) sont des tentatives de tromper les utilisateurs pour qu’ils divulguent leurs informations personnelles, souvent par le biais de fausses communications se faisant passer pour des entités légitimes.
Les modifications non sollicitées d’un site Internet sont une autre forme d’attaque, où les pirates accèdent au site et modifient son contenu, souvent dans le but de diffuser des messages malveillants ou de nuire à la réputation de l’organisation.
Les interceptions de communication sur un réseau Wifi public sont particulièrement préoccupantes, car les pirates peuvent facilement accéder aux informations sensibles échangées entre les utilisateurs.
Enfin, l’exploitation de vulnérabilités dans les logiciels constitue une autre menace, où les pirates exploitent les failles de sécurité présentes dans les logiciels pour accéder aux systèmes et aux données.
Face à ces multiples menaces, il est essentiel de mettre en place des mesures de sécurité solides pour protéger nos systèmes et nos données. Cela comprend l’utilisation de logiciels de sécurité, la sensibilisation des utilisateurs aux bonnes pratiques de sécurité, ainsi que la mise à jour régulière des logiciels pour corriger les vulnérabilités connues.
La cybersécurité est un enjeu majeur dans notre société moderne, et il est primordial de rester vigilants et informés pour faire face à ces menaces croissantes. En adoptant une approche proactive et en investissant dans des mesures de sécurité adéquates, nous pouvons protéger nos informations personnelles, nos entreprises et notre tranquillité d’esprit.
Comment déposer plainte ?
En cas de cyberattaque, il est essentiel de réagir de manière efficace et de protéger au mieux son entreprise. Voici les consignes à suivre :
- Éteindre les unités et les accès réseaux, et déconnecter les sauvegardes. Cela permettra de limiter la propagation de l’attaque et de protéger les données sensibles.
- Communiquer les consignes aux collaborateurs. Informez-les de la situation et des mesures à prendre pour éviter toute propagation ou dommage supplémentaire.
- Contactez immédiatement votre assureur. Il est important de signaler l’incident dès que possible afin de limiter les conséquences et de bénéficier d’une assistance adéquate.
- Alerter les forces de l’ordre sans attendre. Appelez le 17 ou utilisez l’application gouvernementale MaSécurité pour signaler l’attaque. Cependant, n’oubliez pas que cela ne dispense pas du dépôt de plainte, qui reste obligatoire.
- Déposez une plainte dans un délai maximum de 72 heures à compter de la prise de connaissance de l’incident. Cela permettra d’engager les procédures judiciaires nécessaires.
- Notifiez à la CNIL toute violation de données à caractère personnel dans un délai de 72 heures également. Utilisez le site dédié de la CNIL pour effectuer cette notification conformément à l’article 33 du RGPD.
- Mettez en place votre plan de gestion de crise, notamment les processus de continuité d’activité prévus dans le Plan de Continuité d’Activité (PCA). Cela permettra de minimiser l’impact sur vos opérations commerciales.
- Déclarez votre sinistre par courrier à votre assureur. Fournissez toutes les informations nécessaires sur l’incident afin de faciliter le traitement de votre demande.
En suivant ces consignes, vous pourrez réagir rapidement et efficacement en cas de cyberattaque, minimisant ainsi les conséquences néfastes sur votre entreprise.