Analyse2 min
NIS 2 : la loi Résilience à nouveau retirée de l'ordre du jour, faut-il attendre ?
Matthieu Ciutti
Associé fondateur
Restez en contact. Pour échanger avec nos avocats, merci de remplir ce formulaire.
Droit du numérique
N° 10 / 18Cybersécurité
Sécuriser juridiquement vos systèmes d'information et réagir efficacement en cas d'incident ou de cyberattaque.
Nos interventions
01 Clauses de sécurité dans les contrats fournisseurs et prestataires IT
Obligations de moyens ou de résultat, droit d'audit, notification en cas d'incident, chaîne de sous-traitance. Une faille chez un prestataire reste votre responsabilité vis-à-vis de vos clients.
02 Accompagnement en cas d'incident de sécurité, rançongiciel ou fuite de données
Les premières heures décident de la suite : qualification de l'incident, délais de notification, communication aux personnes concernées, dépôt de plainte. Nous intervenons pendant la crise, pas seulement après.
03 Mise en conformité avec les obligations sectorielles (NIS2, DORA)
Ces textes désignent des entités régulées bien au-delà du secteur technologique, et engagent la responsabilité des dirigeants. La première question est de savoir si vous entrez dans le champ.
04 Politiques internes de sécurité des systèmes d'information
Charte informatique, gestion des accès, encadrement du télétravail, procédure de départ des salariés. Des documents opposables, et non un classeur produit pour un audit.
05 Notification des incidents aux autorités compétentes (CNIL, ANSSI)
Les délais sont courts et les qualifications distinctes selon l'autorité saisie. Notifier trop tard expose autant que notifier ce qui n'avait pas à l'être.
Ce que vous y gagnez
Une réaction structurée et rapide en cas d'incident de sécurité
Des contrats IT qui engagent réellement vos prestataires sur la sécurité
Une conformité anticipée aux nouvelles obligations réglementaires (NIS2, DORA)
Qui s'en occupe
Matthieu Ciutti
Avocat associé fondateur, droit des affaires et droit du numérique
Barreau de Reims
Secteurs concernés
La cybersécurité n’est plus seulement un enjeu technique : c’est un ensemble d’obligations juridiques dont le non-respect expose à des sanctions et engage la responsabilité des dirigeants. Nous sécurisons cette dimension juridique, en amont comme dans l’urgence d’un incident.
Nos services en cybersécurité
Prévention et conformité
- Audit des obligations de cybersécurité applicables à votre secteur
- Mise en conformité NIS2 et DORA pour les entités concernées
- Politiques internes de sécurité des systèmes d’information
- Formation des équipes aux obligations et aux réflexes de sécurité
Contrats et prestataires
- Clauses de sécurité dans les contrats avec prestataires informatiques
- Répartition contractuelle des responsabilités en cas de faille
- Audit de sécurité des prestataires critiques avant contractualisation
- Clauses de notification d’incident chez les sous-traitants
Gestion des incidents
- Accompagnement immédiat en cas de cyberattaque ou de rançongiciel
- Qualification du risque et documentation de l’incident
- Notification aux autorités compétentes (CNIL, ANSSI, régulateurs sectoriels)
- Dépôt de plainte et coordination avec les prestataires techniques
Gouvernance de la sécurité
- Structuration de la gouvernance sécurité au niveau de la direction
- Articulation entre obligations RGPD, NIS2 et DORA selon votre profil
- Revue périodique des politiques de sécurité existantes
- Accompagnement des dirigeants sur leur responsabilité en matière de cybersécurité
Notre approche
La cybersécurité juridique se joue avant l’incident, dans la qualité des clauses contractuelles et des procédures internes, bien plus que dans la gestion de crise elle-même. Nous concentrons notre accompagnement sur cette phase préventive, pour que l’entreprise ne découvre pas, au moment de l’incident, qu’aucune clause ne couvrait vraiment le risque survenu.
Le paysage réglementaire de la cybersécurité s’est complexifié rapidement (NIS2, DORA, obligations sectorielles), avec des périmètres d’application qui se chevauchent parfois. Nous clarifions systématiquement quels régimes s’appliquent réellement à votre activité avant de bâtir un plan de conformité, pour éviter de superposer des obligations qui ne vous concernent pas.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Exposez-nous votre situation
Votre demande parvient directement à Matthieu Ciutti. Réponse sous 24 heures.
Message envoyé.
Merci, votre demande a bien été transmise au cabinet. Nous vous répondrons dans les meilleurs délais.
Questions fréquentes
Que faire en cas de cyberattaque ou de rançongiciel ?
La priorité immédiate est de qualifier l'ampleur de l'incident et de documenter chaque étape avant toute action de remédiation technique. Selon la nature des données touchées, une notification à la CNIL sous 72 heures peut s'imposer, ainsi qu'un dépôt de plainte et, parfois, une communication aux personnes concernées.
Qu'est-ce que la directive NIS2 et qui est concerné ?
NIS2 renforce les obligations de cybersécurité pour un périmètre élargi d'entreprises (secteurs essentiels et importants), au-delà des seuls opérateurs d'infrastructures critiques historiquement visés. Elle impose des mesures de gestion des risques et un régime de sanctions comparable à celui du RGPD.
Une entreprise doit-elle notifier une cyberattaque aux autorités ?
Cela dépend de la nature de l'incident. Une violation de données personnelles doit être notifiée à la CNIL sous 72 heures si elle présente un risque pour les personnes concernées. Les entités soumises à NIS2 ou DORA ont des obligations de notification distinctes, souvent plus courtes, auprès de l'ANSSI ou du régulateur sectoriel.
Comment sécuriser juridiquement une relation avec un prestataire informatique ?
Les clauses de sécurité doivent aller au-delà de l'engagement de moyens générique : niveaux de service précis, obligation de notification en cas d'incident chez le prestataire, audit de sécurité, et répartition claire des responsabilités en cas de faille imputable à l'un ou l'autre.
Quelle différence entre obligations RGPD et obligations de cybersécurité (NIS2) ?
Le RGPD protège les données personnelles quel que soit le secteur d'activité. NIS2 et DORA imposent des obligations de résilience des systèmes d'information à des secteurs identifiés (énergie, santé, finance, infrastructures numériques), indépendamment de la nature des données traitées. Une même entreprise peut être soumise aux deux régimes simultanément.
Publications associées
Tout le blog →
Compétences associées
Autres compétences en droit du numérique
Contrats informatiques
Rédiger et négocier des contrats IT qui protègent réellement vos données, votre disponibilité de service et vos développements.
Lire la suite
DPO externalisé et délégué à la protection des données
Assurer la fonction de délégué à la protection des données, en accompagnement ou en externalisation complète, pour sécuriser votre conformité RGPD au quotidien.
Lire la suite
Droit du numérique
Accompagner vos projets technologiques dans un cadre juridique en constante évolution, entre données, cybersécurité et contrats IT.
Lire la suite