Il n’existe plus véritablement d’entreprise qui évolue en complète autarcie, sans aucun lien vers l’extérieur et sans système informatique orienté vers l’extérieur. Les technologies de l’information, ainsi que les obligations technologiques imposées par les pouvoirs publics, forcent le monde économique à s’ouvrir sur le monde cyber, créant des ponts, et par conséquent, des failles dans ce domaine. Doit-on pour autant considérer que la cybersécurité n’est pas qu’une obligation morale et économique mais aussi une obligation légale ?
De plus en plus de normes juridiques, surtout au niveau européen, incluent la question de la cybersécurité, et imposent des normes et des comportements qu’il convient de suivre. Selon les domaines, les exigences sont plus ou moins importantes.
Ainsi, en matière financière, le règlement DORA (Digital Operational Résilience Act), ainsi que la directive 2022/2556 connexe, s’appliquent à tous les établissements financiers européens, ainsi qu’aux prestataires informatiques de ces établissements, et établit des normes de cybersécurité qui ouvrent la voie à des actions en responsabilité contre les responsables informatiques, des sanctions administratives, notamment financières, pour les établissements financiers, pouvant aller jusqu’au retrait d’agrément pour les cas les plus graves.
La directive 2022/2555, appelée NIS2 impose aussi à de nombreux acteurs économiques des obligations relatives à la cybersécurité, notamment en terme de résistance aux attaques et de résilience en cas de faille de sécurité. Le non respect des exigences mises en place via NIS2 a des conséquences d’un point de vue assurantiel, les établissements refusant d’indemniser les entreprises ne respectant pas les critères de sécurité NIS2, mais aussi dans d’autres domaines, puisqu’il s’avère impossible, pour un opérateur économique soumis à NIS2, de se dédouaner envers ses clients, pour tout dommage résultant d’une faille de cybersécurité en raison de non-conformités.
Les conséquences juridiques relatives aux failles de sécurité sont très nombreuses, puisque le RGPD impose aussi de s’assurer que les données personnelles sont correctement protégées, notamment des cyberattaques. Les sanctions administratives, couplées à des actions judiciaires, sont logiquement possibles en cas d’atteintes aux droits des personnes en vertu du RGPD ou de textes similaires comme la LPD en Suisse.
Ceci n’est forcément qu’un bref aperçu des conséquences juridiques touchant la question de la cybersécurité. Il est primordial, pour de nombreux agents économiques, de connaître les dangers juridiques liés aux technologies de l’information. Nous sommes bien évidemment à votre disposition pour toute question.à ce sujet.
