Cybersécurité des entreprises : et si on passait au contrôle technique numérique

Mi-octobre, des pirates ont attaqué les frigos connectés de plusieurs supermarchés. Résultat : les glaces et les pizzas ont fondu, et tout a dû être jeté. Pourtant, cette attaque n’était pas très maligne. Les pirates ont profité d’un mot de passe trop simple, comme « 1234 », ou d’une mise à jour oubliée, comme quand tu ne changes pas la pile de ton réveil et qu’il ne sonne pas.

Aujourd’hui, les entreprises n’ont pas l’obligation de faire vérifier leurs ordinateurs. Pourtant, pour une voiture, tu dois passer le contrôle technique tous les deux ans. Sans lui, ton assurance peut refuser de payer les dégâts en cas d’accident. Pour les ordinateurs, c’est le flou : pas de liste de vérifications, pas de visite obligatoire. Pourtant, une faille informatique peut coûter cher, pas seulement en argent, mais aussi en nourriture gâchée ou en magasins fermés.

L’idée d’un « contrôle technique cyber » commence à circuler. Comme pour les voitures, il permettrait de vérifier que tout est en ordre avant que la panne n’arrive. Mais attention : un ordinateur, ça évolue tout le temps. Les pirates inventent sans cesse de nouvelles méthodes, donc un check-up valable aujourd’hui ne le sera peut-être plus dans six mois.

Si une entreprise ne fait pas attention et qu’une attaque arrive, elle pourrait être tenue responsable. Par exemple, si elle utilise un mot de passe comme « SUPERMARCHE » (qui se devine en quelques minutes), son assurance pourrait refuser de l’aider. Alors, prêt à exiger un contrôle technique pour les ordinateurs ?

Si tu es inquiet pour la sécurité de tes comptes, parle-en à un adulte de confiance ou contacte le 17Cyber pour signaler une arnaque ou un piratage.

En octobre, une cyberattaque a ciblé les systèmes de réfrigération de centaines de supermarchés, entraînant la destruction de leurs stocks de surgelés. Cette attaque, loin d’être sophistiquée, a exploité des failles basiques : des mots de passe trop simples (comme « LOUVRE » pour les serveurs du Musée du Louvre) ou des mises à jour de sécurité non appliquées. Pourtant, ces négligences pourraient engager la responsabilité des entreprises.

Aujourd’hui, le cadre juridique en cybersécurité est flou. Le RGPD impose des mesures « appropriées » pour protéger les données, mais sans liste précise. Résultat : beaucoup d’entreprises naviguent à vue. En cas d’attaque, leur assurance pourrait refuser de couvrir les dégâts si elles n’ont pas pris les précautions nécessaires, comme une voiture sans contrôle technique.

L’idée d’un « contrôle technique cyber » émerge pour clarifier les choses. Inspiré du contrôle technique automobile, il consisterait en un audit régulier des systèmes informatiques, avec une liste de points à vérifier. Certaines plateformes, comme les messageries, doivent déjà afficher un « cyberscore », une note publique sur leur niveau de sécurité. Mais un contrôle technique irait plus loin en définissant des obligations claires pour toutes les entreprises.

Pourtant, cette solution a ses limites. Contrairement à une voiture, les menaces informatiques évoluent en permanence. Un audit valable aujourd’hui pourrait être obsolète dans six mois. De plus, la responsabilité d’une entreprise ne se limite pas à ses dirigeants : un employé négligent ou un prestataire défaillant peut aussi être en cause.

En attendant, une chose est sûre : les cyberattaques ont des conséquences bien réelles, comme des tonnes de nourriture gâchée. Alors, faut-il attendre la prochaine catastrophe pour agir ?

Si tu es témoin ou victime d’une cyberattaque, parle-en à un adulte de confiance ou contacte le 17Cyber pour signaler une arnaque ou un piratage.

Le 12 octobre, une cyberattaque a paralysé les systèmes de réfrigération de centaines de supermarchés, entraînant la destruction de leurs stocks. Cette attaque, exploitant des vulnérabilités connues (mots de passe faibles, mises à jour manquantes), soulève une question cruciale : dans quelle mesure une entreprise victime peut-elle être tenue pour responsable de sa propre vulnérabilité ?

Aujourd’hui, le cadre juridique est fragmenté. Le RGPD impose des mesures « appropriées » pour protéger les données, mais sans préciser lesquelles. La directive NIS 2, qui devait renforcer la sécurité des infrastructures critiques, n’a pas encore été transposée en droit français. En l’absence de lignes directrices claires, les entreprises naviguent dans un brouillard normatif.

La responsabilité civile des entreprises en cas de cyberattaque est complexe. Selon l’article 1241 du Code civil, une entreprise peut être tenue pour responsable si sa négligence a facilité l’attaque. Par exemple, si un mot de passe faible ou une mise à jour manquante a permis l’intrusion, l’assureur pourrait refuser d’indemniser les dommages. La jurisprudence récente refuse même de reconnaître la « force majeure » dans le cas d’une attaque par rançongiciel, au motif que les cyberattaques ne sont ni imprévisibles ni irrésistibles.

L’idée d’un « contrôle technique cyber » gagne du terrain. Inspiré du contrôle technique automobile, il consisterait en un audit périodique des systèmes informatiques, avec une liste de critères à respecter. Certaines plateformes doivent déjà afficher un « cyberscore », une note publique évaluant leur niveau de sécurité. Cependant, un contrôle technique irait plus loin en définissant des obligations précises pour toutes les entreprises, avec des sanctions en cas de manquement.

Pourtant, cette solution se heurte à des défis. Les menaces informatiques évoluent en permanence, rendant un audit rapidement obsolète. De plus, la responsabilité d’une entreprise ne se limite pas à ses dirigeants : un employé négligent ou un prestataire défaillant peut aussi engager sa responsabilité. Malgré ces obstacles, un contrôle technique cyber pourrait clarifier les responsabilités et inciter les entreprises à adopter des bonnes pratiques, comme la double authentification ou le chiffrement des données.

Les cyberattaques ont des conséquences concrètes, comme le gaspillage alimentaire ou la paralysie de services essentiels. Dans ce contexte, la question n’est plus de savoir si un cadre réglementaire est nécessaire, mais comment le concevoir pour qu’il soit efficace et adaptable.