Que faire en cas de cyberattaque ou de fuite de données clients ?

Introduction

Un incident de sécurité chez un éditeur de SaaS affecte simultanément l’ensemble de ses clients. Sa gestion combine des obligations contractuelles, réglementaires et sectorielles.

Les premières heures

Isoler les systèmes touchés sans détruire les éléments de preuve.

Préserver les journaux, dont la conservation conditionne toute investigation.

Consigner l’heure de découverte, qui fait courir les délais.

Mobiliser un prestataire de réponse à incident et informer l’assureur, les contrats imposant fréquemment une déclaration rapide et le recours à des prestataires référencés.

Constituer une cellule de crise avec un interlocuteur unique pour les communications.

La qualification

Une violation de données est une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles ou l’accès non autorisé à de telles données.

Trois atteintes sont visées : confidentialité, intégrité, disponibilité.

Un rançongiciel qui chiffre les données sans les exfiltrer constitue une violation par atteinte à la disponibilité.

La notification aux clients

L’éditeur, sous-traitant, notifie la violation au responsable de traitement dans les meilleurs délais après en avoir pris connaissance.

Il ne notifie pas lui-même l’autorité de contrôle pour les traitements de ses clients : cette obligation pèse sur eux.

Le délai contractuel doit être court, la fenêtre de soixante-douze heures du client étant entamée par le temps de réaction de l’éditeur.

La notification doit comporter les éléments permettant au client d’apprécier le risque : nature de la violation, catégories et volume approximatif de données et de personnes concernées, conséquences probables, mesures prises.

Une information échelonnée est admise lorsque tous les éléments ne sont pas disponibles.

Les traitements propres de l’éditeur

Pour ses propres données, prospects, comptes, facturation, l’éditeur est responsable de traitement.

Il notifie alors lui-même l’autorité de contrôle dans les soixante-douze heures, et informe les personnes en cas de risque élevé.

Cette double casquette doit être identifiée dès la qualification de l’incident.

Le registre interne

L’éditeur documente toute violation, y compris celles qui n’ont pas donné lieu à notification.

Ce registre est la première pièce demandée en cas de contrôle consécutif à un incident.

Le signalement des vulnérabilités

Le règlement européen sur la cyberrésilience impose, pour les produits comportant des éléments numériques, le signalement des vulnérabilités activement exploitées et des incidents graves.

Ces obligations sont applicables depuis le 11 septembre 2026.

Le calendrier est exigeant : une alerte précoce dans les vingt-quatre heures suivant la prise de connaissance, une notification complète dans les soixante-douze heures, un rapport final au plus tard quatorze jours après la mise à disposition d’une mesure corrective, et un mois pour les incidents graves.

Le signalement s’effectue par une plateforme unique, auprès de l’équipe de réponse aux incidents de l’État d’établissement principal, l’agence européenne compétente étant informée simultanément.

Le champ du règlement vise les produits comportant des éléments numériques mis sur le marché : un service en ligne pur n’y est en principe pas soumis, mais une solution de traitement de données à distance indispensable au fonctionnement d’un produit y entre.

Cette qualification doit donc être examinée précisément.

Les obligations sectorielles

Selon leur activité et leur taille, certains acteurs relèvent de réglementations propres de sécurité des réseaux et des systèmes d’information, avec leurs propres obligations de notification.

Les clients relevant de secteurs réglementés imposent en outre des délais et des formats de notification contractuels, parfois plus exigeants.

Une cartographie de ces obligations doit être établie avant l’incident.

La communication

Une information proactive, factuelle et régulière des clients réduit considérablement les conséquences.

Une page d’état du service, un point d’avancement à intervalles définis et un rapport d’incident final constituent le standard attendu.

Le silence produit plus de dommages que l’incident.

Les suites contractuelles

Les clients invoqueront le niveau de service, les engagements de sécurité et, le cas échéant, une résiliation pour manquement.

La documentation des mesures préexistantes détermine largement l’issue : la question n’est jamais de savoir si l’attaque était sophistiquée, mais si les mesures élémentaires étaient en place.

Le dépôt de plainte est recommandé et fréquemment exigé par l’assureur.

Préparer avant l’incident

Une procédure écrite et testée fait la différence entre une gestion maîtrisée et un dépassement de délai. Notre expertise RGPD et protection des données personnelles prépare ces dispositifs.

En résumé

• L’éditeur notifie ses clients ; ce sont eux qui notifient l’autorité pour leurs traitements.
• Le délai contractuel de notification doit être court, la fenêtre du client étant de soixante-douze heures.
• L’éditeur notifie lui-même l’autorité pour ses propres traitements.
• Le règlement sur la cyberrésilience impose depuis le 11 septembre 2026 une alerte sous vingt-quatre heures.
• La documentation des mesures préexistantes détermine largement l’issue.