Face à un incident : garder son calme et avancer étape par étape
Une messagerie piratée, une demande de rançon, un ordinateur perdu. QoBot vous donne les étapes une par une, identifie qui prévenir et sous quel délai, et rédige chaque notification, que vous envoyez vous-même.
Incident contenu à 10 h 40 : le mot de passe de la messagerie est changé et la règle de transfert supprimée. Des courriels clients ont pu être lus, il s'agit donc probablement d'une violation de données personnelles. Les délais courent depuis 9 h 15 ce matin :
- Vous: décider de notifier ou non la CNIL · brouillon prêt · avant jeudi 9 h 15Votre accord
- Léa (prestataire informatique): exporter les journaux de connexion de la messagerie · demande rédigée · ~20 minÀ vous
- Marc (commercial): prévenir les 3 clients qui ont reçu la fausse facture · courriel rédigé · ~10 minÀ vous
Pendant un incident : qui fait quoi
Ce que fait QoBot
- Donne les gestes pour limiter les dégâts un par un, en langage clair, adaptés à vos outils et à la personne au clavier : vous ou votre prestataire.
- Tient la chronologie : ce qui s'est passé, quand vous l'avez su, ce qui a été fait.
- Identifie chaque obligation de notification (CNIL, personnes concernées, NIS2, assureur, clients) à partir de vos contrats, avec son délai.
- Garde sous la main les bons contacts : votre prestataire, l'assistance de votre assureur, les contacts clients prévus dans vos contrats.
- Rédige chaque notification de façon factuelle, dans la langue du destinataire.
- Inscrit la violation au registre, qu'elle soit notifiée ou non, avec les raisons de ce choix.
Ce que fait votre équipe
- Faire les gestes indiqués vous-même, ou les confier à votre prestataire.
- Passer les appels : assistance de l'assureur, prestataire de réponse à incident, police ou gendarmerie.
- Décider de chaque notification et l'envoyer, avec l'aide d'un avocat si le cas est délicat.
La première heure
D’abord limiter les dégâts, la paperasse viendra après. QoBot vous donne une étape à la fois, adaptée à ce qui s’est passé et à la personne au clavier :
- Limiter les dégâts : débrancher le poste touché du réseau, changer les mots de passe exposés, couper l’accès de l’attaquant (une règle de transfert, un appareil inconnu). Attendez avant d’effacer ou de réinstaller quoi que ce soit : vous détruiriez les preuves.
- Appeler les bonnes personnes : votre prestataire informatique, l’assistance de votre assureur si votre contrat en prévoit une, un prestataire de réponse à incident en cas de rançongiciel. 17Cyber guide les victimes 24 h/24 et oriente les entreprises vers leur centre régional de réponse aux incidents.
- Noter les heures : début de l’incident, moment où vous l’avez su, ce qui a été fait. Les délais légaux courent à partir du moment où vous en avez eu connaissance.
Qui prévenir, et sous quel délai
Un même incident peut déclencher plusieurs délais, chacun avec son destinataire.
| Qui | Quand | Délai |
|---|---|---|
| La CNIL | Violation de données personnelles, sauf risque improbable pour les personnes | 72 heures après en avoir pris connaissance, si possible |
| Les personnes concernées | Le risque pour elles est élevé | Dans les meilleurs délais |
| CSIRT ou autorité compétente (NIS2) | Vous êtes concerné et l’incident est important, une fois la loi française adoptée | Alerte en 24 h, notification en 72 h, rapport final sous un mois |
| Votre assureur | Selon votre contrat | Selon votre contrat ; pour être indemnisé d’une cyberattaque, dépôt de plainte sous 72 heures |
| Vos clients | Selon vos contrats | Selon la clause, parfois 24 heures |
QoBot calcule chaque échéance à partir du moment où vous avez eu connaissance de l’incident, affiche le temps restant et rédige chaque notification. Il n’invente jamais de délai : si une clause ou un contrat d’assurance n’est pas dans votre espace de travail, il vous le demande.
Chaque violation va au registre
Le RGPD vous demande de consigner chaque violation de données personnelles, notifiée ou non : ce qui s’est passé, ses effets, ce que vous avez fait, et pourquoi vous avez notifié ou non. QoBot tient ce registre dans le dossier d’incident, et votre raisonnement est déjà écrit le jour où on vous demande des comptes.
Se préparer avant l’incident
Le meilleur moment pour se préparer à un incident, c’est une semaine calme. QoBot rédige un plan de réponse d’une page à partir de ce qu’il sait de votre entreprise : vos outils, qui appeler et à quel numéro, les clauses de notification de vos contrats clients et de votre contrat d’assurance. Il le tient à jour avec vous quand les personnes, les outils ou les contrats changent. Si vous avez plusieurs sites ou sociétés, ou un prestataire par système, le plan dit qui appelle qui pour chacun.
Questions fréquentes
Faut-il notifier la CNIL ?
Si des données personnelles sont touchées, oui, sauf si la violation n'est pas susceptible de créer un risque pour les personnes. Vous notifiez si possible dans les 72 heures après en avoir pris connaissance. Si le risque est improbable, vous ne notifiez pas, mais vous inscrivez quand même la violation et votre raisonnement au registre.
Un rançongiciel, sans vol de données. Ça compte ?
Oui, ça peut compter. Des données personnelles devenues inaccessibles, c'est aussi une violation de données : évaluez-la comme les autres. NIS2, votre assureur et vos contrats peuvent aussi s'appliquer.
QoBot peut-il envoyer les notifications ?
Non. QoBot les rédige et calcule les délais ; une personne de votre entreprise décide et envoie.
QoBot remplace-t-il un prestataire de réponse à incident ?
Non. Pour un rançongiciel ou un attaquant encore présent, appelez des professionnels : les prestataires recommandés par votre assureur, ou un prestataire vers lequel 17Cyber vous oriente. QoBot prépare le passage de relais pour qu'ils démarrent vite.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 33 et 34EUR-Lex · notification à l'autorité, information des personnes, registre des violations (art. 33.5)Texte officiel
- Directive (UE) 2022/2555 (NIS2), article 23EUR-Lex · notification en 24 h, 72 h et 1 mois des incidents importantsTexte officiel
- Code des assurances, article L12-10-1Légifrance · plainte sous 72 heures pour être indemnisé après une cyberattaqueTexte officiel
- CNIL : notifier une violation de données personnellesTéléservice de notificationPage officielle
- 17CyberGuichet national d'assistance aux victimes, 24 h/24Page officielle
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur