Quand le risque cyber devient menace : des entreprises de plus en plus vulnérables

6Dans ce nouveau lieu de conflictualité qu’est le cyberespace, le risque, entendu comme l’exposition des entreprises au danger de cyberattaques, se caractérise par deux éléments, sa fréquence et sa gravité, qui permettent d’évaluer son intensité.

7Au fil des années, les cyberattaques se sont structurées. Elles sont désormais protéiformes, insidieuses et très sophistiquées. Leur nombre est en progression et leurs finalités multiples : espionnage, cybercriminalité, déstabilisation et sabotage (Danesi, Harribey, 2018). L’espionnage qui vise le renseignement, concerne certes les États mais de plus en plus également les entreprises pour leur subtiliser des informations protégées. La cybercriminalité, au sens strict, cherche à récupérer, exploiter ou revendre des données ou voler et extorquer de l’argent. Quant à la déstabilisation, elle prend la forme de propagande, de fake news et de rumeurs. Elle peut se manifester par l’expression en ligne via des sites d’informations ou de propagande et via les réseaux sociaux. Enfin, le dernier cas de figure est le sabotage informatique pour interrompre temporairement ou définitivement l’activité de l’entreprise en paralysant ou en détruisant ses infrastructures.

8Si on examine plus précisément les modalités des cyberattaques, quatre principales formes émergent (Zicry, 2017). Les attaques DOS (Denial of Service) ou DDOS (Disturbed Denial of Service) bloquent l’accès à un système d’information [2]. L’hameçonnage (phishing), le risque d’usurpation d’identité et le rançongiciel (ransomware) tendent à se faire remettre des données ou de l’argent. Le phreaking est le piratage du standard téléphonique des entreprises pour le détourner. Quant aux virus informatiques, ils essayent de se maintenir sur un système informatique (notamment par réplication, par implantation au sein de programmes, etc.) pour atteindre et parasiter des ressources. Les cyberattaques à but lucratif ou de sabotage sont en plein essor (ANSSI, 2017).

9Selon le baromètre de la cybersécurité des entreprises du Club des Experts de la Sécurité de l’Information et du Numérique [3] de janvier 2019, 80 % des entreprises interrogées ont été touchées par au moins une cyberattaque en 2018 (entre 10 et 14 pour 10 % des sondées et plus de 15 pour 22 %). Le phishing représente 73 % des cyberattaques dont ont été victimes les firmes sondées, l’arnaque au Président [4] 50 %, l’infection par un malware 44 %, le ransomware 44 %, l’ingénierie sociale 40 %, l’usurpation d’identité et la fraude 35 %, le déni de service 29 %, le vol de données personnelles 18 %.

10Ces chiffres reflètent incontestablement une tendance. Cependant, il n’existe aucune base de données publique recensant toutes les cyberattaques et le décompte de ces dernières est issu d’organismes privés. De plus, certaines entreprises qui ont subi des cyberagressions ne les rendent pas publiques soit par choix stratégique délibéré ou par ignorance même de l’incident. Cette sous-dénonciation impacte le chiffrage du phénomène, son appréhension globale et sa régulation (Dupont, Gautrais, 2010).

11Toutefois, les cyberattaques « ne constituent plus un simple risque conjoncturel mais sont devenues systémiques » (Ministère de l’intérieur, 2018, p. 14). Ce phénomène trouve son fondement dans le foisonnement des acteurs de la criminalité, dans la multiplication [5], la sophistication des outils d’attaques et leur diffusion sur le net et dans l’essor récent des attaques via le cloud. Il y a à la fois une professionnalisation des cyberattaquants et une multiplication des cyberdélinquants. Cette dernière est liée « à une cybercriminalité maintenant organisée en services (Cyber-Crime-as-a-Service) et en marchés sur les darknets » (Guinier, 2018, p. 163). Dans ce « marché des vulnérabilités » (Ghernaouti, 2017, p. 54), la possibilité de louer des outils et des logiciels d’exploitation des failles et d’explication des savoir-faire élargit le spectre d’action de la cybercriminalité en favorisant son accessibilité par la facilitation du passage à l’acte d’individus sans expertise particulière en la matière (Ghernaouti, 2017). Depuis le début de l’année 2018, la location de ce type de rançongiciels devient gratuite avec une possibilité de les paramétrer et de les télécharger, les bénéfices engagés sous forme de rançons étant partagés entre l’utilisateur délinquant et les développeurs (Ministère de l’Intérieur, 2018). Plus encore, il existe des failles de sécurité informatique, dites 0-Day, pour lesquelles il n’existe pas encore de remèdes et de protection. Ces vulnérabilités inédites, vendues par leurs développeurs aux plus offrants, ont un fort pouvoir de nuisance quand les cyber-délinquants en tirent parti pour attaquer des installations.

12La gravité du risque se mesure d’une part, par son ampleur et d’autre part, par les dommages causés aux entreprises.

13L’ampleur d’une cyberattaque découle de la combinaison de plusieurs paramètres. Certains dépendent des caractéristiques inhérentes aux agressions : leur complexité, leur dimension internationale et simultanée et leur invisibilité. Un critère supplémentaire concerne les virus informatiques. Leur capacité d’auto-propagation par autoréplique, alliée à l’interdépendance des systèmes informatiques et des acteurs économiques, est un facteur aggravant d’une offensive au sein du cyberespace. Cette configuration en réseaux, liée au fait que de nombreux ordinateurs utilisent les mêmes systèmes d’exploitation, facilite une telle diffusion. D’autres paramètres sont liés à la cible. « L’architecture du réseau de la cible, son niveau de vulnérabilité, son interconnexion avec d’autres systèmes peuvent changer très rapidement et affecter sérieusement l’impact d’une attaque » (Douzet, 2014, p. 52).

14La gravité du risque repose aussi sur la pluralité et l’importance des dommages causés. Le cabinet Deloitte recense quatorze impacts d’une cyberattaque [6]. À côté des coûts financiers directs connus, il existe des coûts indirects, intangibles, plus difficilement quantifiables, qui constituent des déficits financiers cachés ou inconnus. Parmi ces derniers, on peut citer la perte de propriété intellectuelle, la perte de la confiance accordée par les clients, ou encore la dépréciation financière de la valeur de la marque.

15« Les attaques, plus ciblées, mieux préparées mais aussi mieux réparties sur la durée, coûtent plus cher aux entreprises » (Trouchaud cité dans Ouest-France, 2017). The Global State of Information Security survey 2018 [7] estime les pertes financières, directes et connues, des firmes françaises sondées à 2,25 millions d’euros en moyenne par entreprise et un investissement moyen de 4,3 millions d’euros dans la sécurité de leurs systèmes d’information au cours des douze derniers mois de l’enquête.

16L’intensité du risque cyber est donc très importante d’autant plus que ce dernier est dynamique. Il évolue constamment au regard des innovations technologiques et s’adapte rapidement, notamment aux modalités de conception, de régulation et d’exploitation des réseaux. Outre cette menace externe à l’entreprise, le facteur humain, en interne, peut également constituer un risque sérieux. En effet, l’humain peut être à l’origine des menaces, involontairement par erreur ou intentionnellement par une action malveillante. « Dans 80 % des cas, ce sont des employés ou d’ex-salariés qui, pour des raisons diverses, portent atteinte aux systèmes d’information de leurs employeurs ou de leurs ex-employeurs » (Féral-Schuhl, 2018, p. 1094).

17Cependant, si Internet n’est pas « un Far West juridique » (Fauchoux, Deprez, 2009, p. 1), mais un espace de droit qui « n’échappe ni en fait, ni en droit à la puissance étatique mais lui pose des défis inédits » (Conseil d’État, 2014, p. 15), sa régulation, et celle de son environnement qu’est le cyberespace, sont complexes en raison de leur caractère transnational, virtuel, de l’immédiateté de la diffusion des contenus et de l’ubiquité des cybercriminels. L’absence d’organisation internationale interétatique de l’Internet contrairement à ce qui existe pour des infrastructures et réseaux antérieurs (téléphone, poste, chemin de fer, aviation) est un facteur de complication supplémentaire.

Le droit comme instrument de lutte contre les cyberattaques : entre complexité et difficultés

18Le cyberespace est un espace déterritorialisé, qui ignore les frontières et connaît une reconfiguration incessante et rapide (Libicki, 2012). Les attaques qui s’y déroulent sont complexes, invisibles et difficilement identifiables (Beaude, 2014). Ces différents éléments interrogent sur la capacité et les moyens de leur appréhension et de leur sanction par les États. En effet, chaque État se doit de protéger les citoyens et les acteurs économiques présents sur son territoire, de préserver et protéger les intérêts de la Nation, d’anticiper les menaces, de mettre un terme aux actes délictueux. Instrument de régulation et de répression, quelle réponse peut alors apporter le droit national dans un tel contexte ? Il se heurte à deux écueils : sa capacité à réguler efficacement le cyberespace et la difficulté de sanctionner les cyberattaques du fait de leurs caractéristiques intrinsèques.

19La répression de la cybercriminalité relève du droit pénal dont le caractère régalien est lié de façon inhérente à la souveraineté de l’État. Or, les cyberagressions ont le plus souvent un caractère international. Aussi, une première question concerne les conflits de juridictions et de lois. Elle consiste à savoir quelle juridiction pénale est compétente et quel droit est applicable pour instruire et juger une affaire relative à une cyberattaque. Un traité international applicable peut apporter des éléments de réponse, mais en matière de répression de la criminalité informatique, cela reste embryonnaire. Le traité international phare est la Convention de Budapest du 23 novembre 2001 [8] adoptée dans le cadre du Conseil de l’Europe. Il harmonise les législations nationales en matière d’incriminations et de sanctions pénales pour une liste limitée de comportements soumis à répression [9]. Son article 22 stipule que les États sont compétents notamment lorsque l’infraction pénale a été commise sur leur territoire. Aucune précision n’est apportée sur la façon dont ce critère doit être apprécié. Toutefois, face à une concurrence des ordres juridiques étatiques compétents, ils doivent se concerter pour décider qui est le mieux à même d’exercer les poursuites.

20Pour la majorité des cyberattaques qui n’entrent pas dans le champ d’application de la Convention de Budapest ou qui le sont mais dont les États concernés n’ont pas ratifié ledit traité [10], la cybercriminalité est régie par les droits pénaux nationaux et il peut y avoir concurrence entre eux et chevauchement des poursuites. En effet, « […] l’aspect mondial de l’internet fait qu’une infraction commise par le biais du cyberespace présente des points de rattachements territoriaux démultipliés et l’analyse de la jurisprudence montre sur ce point que les tendances souverainistes font de la répression pénale une donnée largement territorialisée et donc en décalage avec le caractère universel de la cyberdélinquance » (Cabon, 2018, p. 17).

21Le droit pénal français se fonde sur la notion de territoire [11]. Par ailleurs, il n’opère pas de dissociation entre les règles de détermination de la juridiction compétente et de la loi applicable. Seul le juge pénal a vocation à appliquer les règles de droit pénal français suivant son champ d’application. Le juge répressif français a une compétence territoriale pour juger toute infraction commise sur son territoire.

22Toutefois, le juge français a procédé à un élargissement de son champ de compétences afin de se saisir de contentieux qui présentent un élément d’extranéité, « ce faisant, ces litiges sont en quelque sorte reterritorialisés » (Cour de Cassation, 2017, p. 190). C’est ainsi que tout crime ou délit réalisé par internet, quand il est tenté ou commis au préjudice d’une personne résidant en France ou d’une personne morale dont le siège social est en France, est réputé commis en France [12]. Le juge pénal français a ainsi adapté les critères fondant sa compétence en créant, en l’espèce, un critère complémentaire de compétence, à savoir le domicile de la victime.

23Il est à noter que, de façon subsidiaire, certaines infractions commises à l’étranger peuvent relever de la loi pénale française, notamment lorsque l’auteur [13] ou la victime [14] sont français.

24Par ailleurs, une fois résolues ces questions de conflits de lois et de juridictions, la mise en œuvre de la législation peut s’avérer ardue. Pour sanctionner juridiquement une cyberattaque, il faut d’abord, savoir qu’elle a eu lieu pour pouvoir qualifier et nommer l’infraction, ensuite, établir sa source et identifier ses auteurs et enfin, les poursuivre en justice et les condamner. Or des difficultés se posent en raison de l’invisibilité et de la complexité des cyberattaques. Le recours à des outils d’anonymisation et la généralisation du chiffrement font que souvent l’agression est découverte tardivement après son déroulement ou que l’identification des auteurs est impossible ou sciemment falsifiée, ce qui rend laborieuse la répression des atteintes.

25La nature des cyberattaques et les difficultés qu’elles engendrent expliquent que le dispositif juridique mis en place en matière de lutte contre la cybercriminalité et de sécurité des systèmes d’information n’a cessé de s’enrichir au fil des années pour s’adapter à l’évolution de la délinquance numérique. Il se compose aujourd’hui de nombreux textes de lois et d’une multitude de sanctions.

26L’importance de l’informatique a été très tôt prise en compte par le législateur français, et ce, dès 1978 avec la loi dite Informatique et Libertés [15]. Plusieurs lois ont ensuite été adoptées pour renforcer l’arsenal légal de lutte contre la cybercriminalité. Parmi les plus importantes, la loi du 5 janvier 1988, dite Godfrain [16], réprime l’intrusion, la tentative d’intrusion, le maintien et la modification d’un système de traitement automatisé de données. Quelques années plus tard, la loi du 24 juin 2004 relative à la confiance dans l’économie numérique [17], « encadre de manière distincte la couche des infrastructures et la couche des contenus » en cohérence avec l’architecture d’Internet (Conseil d’État, 2014, p. 12). Elle règlemente la responsabilité des différents acteurs de la communication sur Internet, de l’opérateur aux fournisseurs de contenus et aux divers prestataires techniques. Elle sanctionne également pénalement la vente ou l’exportation de moyens de cryptologie ayant fait l’objet d’une interdiction administrative de mise en circulation. La loi dite LOPPSI 2 du 14 mars 2011 [18] marque une étape supplémentaire en créant notamment une infraction nouvelle, l’usurpation d’identité en ligne, et en étendant la circonstance de bande organisée aux infractions liées aux réseaux de cartes de paiement falsifiées. Quant à la loi du 24 juillet 2015 dite loi renseignement [19], elle a doublé les sanctions pénales encourues par les auteurs des infractions d’intrusion frauduleuse dans un système informatique ou d’entrave à son fonctionnement.

27Nonobstant l’arsenal législatif et règlementaire, il n’existe en droit français aucun texte qui définit la cybercriminalité. Cette dernière se compose, d’une part, d’infractions qui ont pour origine les nouvelles technologies, et, d’autre part, d’infractions classiques, préexistantes hors du cyberespace, qui utilisent les nouvelles technologies comme vecteur et acquièrent ainsi une nouvelle dimension (Quéméner, 2018).

28Ceci pose un défi au législateur du XXI^e siècle. « Il doit connaître les subtilités d’utilisation des nouveaux moyens de communication, pour instituer des mécanismes de vérification empêchant toute action nuisible. Il se trouve face à des machines de quincaillerie – hardware – remplies d’intelligence artificielle – software – manipulables au détriment des tiers. […]. Il doit créer de nouvelles incriminations correspondant à de nouvelles infractions réprimées par des peines bien définies » (Jeanclos, 2016, p. 69).

29Il existe ainsi 475 natures d’infractions concernant la cybercriminalité : 248 concernent spécifiquement la cybercriminalité [20] par leur objet ou leur mode de commission, 181 sont commises au moyen d’un système d’information [21] et 46 concernent les communications électroniques (Robert, Groupe de travail interministériel sur la lutte contre la cybercriminalité, 2014, p. 14).

30Cette diversité s’explique par le fait que la cybercriminalité n’est pas seulement envisagée par le Code pénal mais également par d’autres législations, comme le Code de la consommation, le Code monétaire et financier, etc. Cette densité et cette dispersion normatives combinées à la pluralité des sanctions entraînent un risque de concours de qualification et d’atomisation du droit qui peut nuire à son efficacité (Pereira, 2016).

31Face à la multiplication et l’évolutivité des cybermenaces, à la sophistication des cyberattaques, à l’omniprésence et l’interconnexion des réseaux numériques dans l’activité économique et la vie quotidienne des citoyens, l’État doit « adapter les réponses sécuritaires aux nouveaux usages numériques » (Ministère de l’intérieur, 2019, p. 16). Outre une sensibilisation accrue des organisations, il opère notamment un transfert de responsabilité vers les entreprises en les impliquant activement dans la lutte contre la cybercriminalité et en leur imposant des contraintes légales pour renforcer la protection des données personnelles et la sécurité de leurs systèmes d’information.

Les entreprises : Un acteur stratégique de la gestion du risque cyber

32La prise de conscience par l’État français des risques liés au cyberespace s’est faite tardivement, à partir des années 2000. La France élabore, en 2008, une stratégie nationale, avec un premier Livre Blanc sur la défense et la sécurité nationale. Postulant que les cyberattaques d’ampleur seront « une certitude » dans les quinze prochaines années, ce document prône « le passage d’une stratégie de défense passive à une stratégie de défense active en profondeur, combinant protection intrinsèque des systèmes, surveillance permanente, réaction rapide et action offensive […] » (Présidence de la République, Ministère de la Défense, 2008, p. 53). Une entité spécifique, l’Agence nationale de sécurité des systèmes d’information (ANSSI) est créée en 2009 et assure la défense et la protection de systèmes d’information.

33En 2013, avec l’augmentation et le perfectionnement des cyberattaques contre les systèmes d’information de nombreuses entreprises françaises et de l’État, un nouveau Livre Blanc sur la défense et la sécurité nationale préconise « la mise en place d’une posture robuste et résiliente de protection des systèmes d’information de l’État, des opérateurs d’importance vitale (OIV) et des industries stratégiques, couplée à une organisation opérationnelle de défense de ces systèmes » (Présidence de la République, Ministère de la Défense, 2013, p. 106). Ses orientations sont mises en œuvre par la loi de programmation militaire 2014-2019 [22].

34Dans ce droit fil, en 2015, l’État français se dote d’une stratégie nationale pour la sécurité numérique qui s’articule autour de cinq objectifs : garantir la souveraineté nationale par des mesures propres à renforcer la sécurité des infrastructures critiques ; répondre efficacement aux actes de cybermalveillance ; informer le grand public ; faire de la sécurité numérique un avantage concurrentiel pour les entreprises françaises et consolider la voix de la France à l’international. Cette stratégie nationale de 2015 repose alors sur « une responsabilité partagée : responsabilité de l’État dans la protection des citoyens et des infrastructures critiques, dans l’organisation de la défense et de la sécurité des systèmes d’information ; responsabilité des acteurs économiques dans la sécurité des produits et services qu’ils proposent ; responsabilité des citoyens dans l’exercice de leur vie numérique » (Secrétariat général de la Défense et de la Sécurité nationale, 2015, p. 5).

35Cette stratégie a été étoffée notamment par la Revue stratégique de cyberdéfense (Secrétariat général de la Défense et de la Sécurité nationale, 2018), qui définit une doctrine de gestion des crises cyber et renforce la sécurité numérique pour les citoyens, les institutions et l’ensemble des acteurs économiques. La loi de programmation militaire 2019-2025 [23] va, elle aussi, dans le sens d’une meilleure protection et défense des systèmes et des réseaux.

36Ainsi, les acteurs économiques deviennent des parties prenantes du dispositif national en matière de cybersécurité. Les entreprises ont d’abord été considérées par le droit français comme des victimes. Il les envisage désormais comme des dispositifs essentiels dans la lutte contre la cybercriminalité (Guinchard, 2015, p. 16). Ce changement de paradigme illustre, d’une part, l’évolution de la réflexion menée par les instances internationales et européennes sur la cybercriminalité. Leur attention a d’abord porté sur la protection des données personnelles et le respect de la vie privée dans un objectif de prévention de la cybercriminalité. Elle s’est ensuite concentrée sur la criminalité informatique puis sur la cybersécurité (Guinchard, 2015). D’autre part, il est en adéquation avec l’intégration et l’implication des opérateurs économiques dans la lutte contre les cyberattaques. Le risque numérique pouvant mettre en péril de manière soudaine et fulgurante les entreprises, ces dernières se doivent de le prendre en compte et de le maîtriser d’autant plus que la responsabilité des dirigeants dans la gestion et le traitement du risque est de plus en plus engagée.

37Cette responsabilité est accentuée par les réglementations récentes, et en particulier, le Règlement général sur la protection des données (RGPD) [24] et de la directive Network and Information Security (NIS) [25], applicables dans l’ensemble des États membres de l’Union européenne et entrées en vigueur en France respectivement le 25 mai 2018 et le 27 février 2018. Leur objectif est de limiter la survenance des risques et de minimiser leurs effets s’ils se concrétisent. Elles renforcent les obligations de sécurité et de responsabilisation des firmes. La notion de risque est le concept central de ces deux textes : elle est citée 78 fois dans le RGPD et 39 fois dans la directive NIS (Petit, 2018).

38À l’heure du « big data », les données personnelles sont valorisées et constituent un enjeu concurrentiel au cœur de l’économie numérique. Ce sont des matières premières, des leviers de gains et d’opportunités et des actifs stratégiques (Chignard, Benyayer, 2015). Ceci explique la nécessité de protéger « ce patrimoine de l’entreprise » (Zicry, 2017, p. 23) et de lutter contre les cyberattaques visant à le subtiliser.

39La force et l’impact du RGPD sont intrinsèquement liés à l’ampleur de son champ d’application matériel et territorial. Il concerne les données personnelles et s’applique à tous les responsables de traitement [26] et sous-traitants qui ont leur établissement principal sur le territoire de l’Union européenne. À défaut d’un tel établissement, il s’applique aussi aux responsables de traitements dès lors que des résidents européens sont manifestement visés par les traitements de données. Ainsi, « les acteurs mondiaux seront donc soumis au droit européen dès lors qu’ils offrent un produit ou un service à un citoyen européen, même à distance. Ce critère, dit du “ciblage”, constitue une évolution profonde : désormais, la territorialité du droit européen de la protection des données se construit autour de la personne, et non plus seulement autour du territoire d’implantation des entreprises » (CNIL, 2017, p. 9).

40Le RGPD impose aux entreprises d’assurer la sécurité des données dans « une logique de responsabilisation des organismes qui traitent des données » (CNIL, 2018, p. 11) et fait peser sur elles de nombreuses obligations assorties de lourdes sanctions en cas de non-conformité.

41Le pilier central du RGPD repose sur le principe de l’accountability qui exige des entreprises qu’elles mettent en place des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données.

42En fonction du risque, le principe de responsabilisation des acteurs traitant des données est mis en œuvre avec des obligations modulables [27]. Toujours dans la perspective d’une amélioration de la sécurité en amont, deux principes, basés sur une logique de conformité, sont préconisés par le RGPD pour les nouveaux produits, matériels, logiciels et processus : le privacy by design et le privacy by default. Le responsable du traitement doit prendre en compte dès la conception les exigences du RGPD et adopter des mesures pour garantir que, par défaut, seules les données indispensables pour chaque finalité spécifique seront traitées.

43En cas de faille de sécurité entraînant la violation de la confidentialité des données à caractère personnel, les sociétés sont tenues de procéder à une double notification, à la CNIL dans les soixante-douze heures et aux personnes concernées. En cas de violation et s’il est établi que l’atteinte aurait pu être évitée par des mesures de sécurité que l’entreprise n’a pas prises, cela entraîne une mise en cause de sa responsabilité et une sévérité des sanctions infligées par la CNIL. Selon le type d’infraction, elles peuvent s’élever jusqu’à 4 % du chiffre d’affaires annuel mondial.

44Outre la sécurité des données personnelles, la sécurisation de certains acteurs économiques dans douze secteurs critiques, à savoir les opérateurs d’importance vitale (OIV) [28] envisagés par la loi de programmation militaire 2014-2019 [29], est renforcée. Leur défaillance pouvant causer des perturbations importantes sur le tissu économique ou sociétal, l’objectif recherché est de réduire leurs vulnérabilités face aux cyberattaques. Le respect d’obligations spécifiques de sécurité, de notification et une surveillance étendue leur sont imposées.

45La sécurisation de ces opérateurs spécifiques est aussi prescrite par la directive européenne NIS transposée en droit français [30]. Visant à promouvoir une culture de la gestion des risques et une meilleure réponse aux cyberattaques par les pays membres, elle impose un large éventail de mesures pour augmenter la cybersécurité des opérateurs de services essentiels (OSE) à la société et à l’économie de l’Union européenne [31]. Ces OSE sont des entités, publiques ou privées, tributaires des réseaux ou systèmes d’information, qui fournissent un service essentiel dont l’interruption aurait un impact significatif sur le fonctionnement de l’économie ou de la société. La directive identifie sept secteurs répondant à cette notion [32]. Certains OSE sont ainsi susceptibles de coïncider avec le concept d’OIV, la France a toutefois opté pour le maintien de deux régimes distincts (OIV et OSE). Cela ne pose pas de problème car la directive NIS autorise la conservation de dispositifs qui contribuent à atteindre un niveau de cybersécurité plus élevé, ce qui est le cas des OIV. La directive NIS prévoit également des sanctions effectives, proportionnées et dissuasives à l’encontre des entreprises qui ne respectent pas lesdites obligations.

46Ainsi, les obligations de sécurité des entreprises privées se sont renforcées et leurs responsabilités se sont étendues tant au regard de la protection des données que par le biais des OIV et OSE. Ce phénomène met en exergue une reconfiguration du périmètre d’exposition au risque cyber et une redéfinition des frontières de ces acteurs économiques. Cela témoigne « d’une prise en compte grandissante de la sécurité dans la mécanique économique » (Arpagian, 2017, p. 63) et de l’entrée « dans l’ère de la sécurité 4.0 » (Arpagian, 2017, p. 60).

Le transfert du risque : la naissance de l’assurance cyber

47Ce transfert de responsabilités de l’État vers les entreprises privées interroge la gestion du risque cyber par ces opérateurs et l’investissement assurantiel qu’ils consentent pour s’en protéger. Aussi, le « difficile équilibre entre les risques assumés, couverts et résiduels, et le coût de la sécurité est à trouver dans l’exercice de la balance des intérêts entre les besoins de protection et de défense des valeurs de l’entreprise au regard de leur exposition aux cybermenaces » (Ghernaouti, 2017, p. 127).

48Le baromètre PwC en partenariat avec Ipsos sur les enjeux de cybersécurité en France [33] d’octobre 2018, indique que seules trois entreprises françaises sur dix considèrent la cybersécurité comme un sujet prioritaire. Toutefois, moins d’une entreprise française sur cinq a véritablement mis en œuvre l’ensemble des mesures de protection possibles (solutions digitales, capital humain, stratégie et assurance).

49Toutefois, cette situation tend à évoluer. De plus en plus d’entreprises prennent conscience du risque cyber sous l’effet de la multiplication, de la complexification des cyberattaques, de leur médiatisation croissante ainsi que des nombreuses actions de sensibilisation réalisées par les pouvoirs publics et autorités administratives indépendantes [34].

50Les obligations légales imposées par le RGPD et la directive NIS et le caractère dissuasif des sanctions encouragent aussi la responsabilisation des firmes. Plus encore, la prise de conscience des firmes est renforcée par la possibilité d’action de groupe en matière de données personnelles [35], ce qui signe l’empowerement des citoyens dans ce domaine. Les citoyens victimes d’un même préjudice peuvent ester collectivement en justice pour faire cesser un manquement par un responsable de traitement ou un sous-traitant et obtenir réparation des dommages matériels et moraux subis en cas de violation des données personnelles. Ils peuvent également mandater des associations ou organismes actifs dans le domaine de la protection des données pour les représenter et pour exercer en leur nom une réclamation auprès de la CNIL ou un recours juridictionnel contre le responsable du traitement ou sous-traitant.

51Enfin, le cyber-rating, notation de la cybersécurité des entreprises et de leurs sous-traitants, certes encore balbutiant aujourd’hui et principalement réalisé par des entreprises américaines (à l’instar de Bitsight, Security Scorecard ou Quadmetrics), risque à terme d’inciter à l’institutionnalisation de ce type de notations et, en conséquence, à conforter la gestion et la maîtrise du risque cyber par les organisations.

52Aussi, pour devancer le risque cyber, les entreprises peuvent opter pour une démarche de prévention. La sensibilisation et la formation des personnels, la sécurisation des systèmes d’information à chaque étape de leurs cycles de vie, la mise à jour de la sécurité des produits informatiques utilisés, l’identification et la sécurisation des ressources critiques en sont des illustrations.

53Dans une optique de protection, les firmes peuvent également souscrire des assurances pour couvrir financièrement leur cyber-risque, l’aléa que la prévention n’a pas suffi à éviter. Aussi, de nouvelles conventions d’assurance, les contrats de cyber-assurance, ont vu le jour. Ce sont « souvent des contrats multirisques : ils offrent des couvertures de dommages (frais et pertes subis) et de responsabilité civile (dommages immatériels aux tiers), et des services de gestion de crise [36] » (Club des Juristes, 2018, p. 39).

54Toutefois, la modélisation des risques cyber, qui se déroule dans un marché immature, est compliquée et fait évoluer l’assurance afférente. En effet, l’assurance repose sur le principe de mutualisation : mutualisation des risques (les sinistres ne surviennent qu’à quelques assurés et sont supportés par les primes versées par l’ensemble des cotisants) et mutualisation des cotisations (les actions de chaque assuré ont des conséquences sur l’ensemble des membres, les cotisations augmentant lorsque les risques s’aggravent). En matière de cyber-assurance, ce principe de mutualisation est mis à mal par la corrélation possible entre les périls en raison de l’interdépendance et de l’interconnexion des réseaux et des acteurs économiques. Les risques ont un coût difficilement évaluable, la sinistralité est potentiellement élevée, les pertes sont susceptibles d’augmenter fortement dans le futur. De plus, l’absence de bases de données statistiques sur les incidents et leur gestion empêche l’examen des séries historiques sur une longue période dont il serait possible de déduire des tendances (Club des Juristes, 2018).

55Le marché français de l’assurance cyber qui a émergé en 2010-2011 est encore faible : le volume des primes souscrites dans l’hexagone était d’environ 40 millions d’euros en 2016 (Thevenin, 2017).

56Une étude conjointe de PwC [37] et d’IFOP menée en 2015 relative au marché de la cyber-assurance met en exergue que moins de 5 % des entreprises françaises sondées avaient contracté une cyber-assurance. Pour les autres, 51 % d’entre elles considèrent que les risques d’exposition étaient trop faibles pour justifier de s’assurer, pour 39 % cela ne leur est pas venu à l’esprit et pour 11 % les offres de cyber-assurance ne sont pas suffisamment claires et compréhensibles. Les principaux acheteurs sont principalement les grands groupes (CAC 40 et SBF 120) et quelques PME (Zicry, 2017).

57Cette situation tend toutefois à évoluer. Selon le baromètre du Club des Experts de l’Information et du Numérique, de janvier 2019 [38], les souscriptions de cyber-assurance sont en hausse : 50 % des entreprises sondées disent en avoir souscrites (soit +10 points par rapport à janvier 2018), 10 % d’entre elles sont en cours de souscription et 18 % envisagent de le faire à plus long terme. Aussi, quand les cyber-assurances se seront déployées à grande échelle, des statistiques fiables pourront être extraites sur les impacts des cyberattaques, ce qui permettra d’affiner les normes de sécurité et le coût de la prime d’assurance.