★ À maîtriser
📌 La numérisation concerne ce que l’usage de données rend possible, mais elle s’arrête lorsque les choses ne peuvent pas être numérisées : un billet de train peut l’être, contrairement au voyage lui-même.
Le droit du numérique régit l’utilisation, la création, la distribution et la modification des contenus et services numériques.
La cybersécurité constitue un risque systémique, car une atteinte au numérique peut compromettre la capacité de fonctionnement de toute une organisation.
Compléments
« Numérique » vient du latin « numerus » et désigne une représentation par nombres, tandis que « digital » vient de « digitus », qui signifie « doigt ».
Il n’existe pas de définition juridique générale de la donnée, même si plusieurs régimes juridiques, dont le RGPD, s’en saisissent.
La révolution numérique est liée à l’industrialisation des processeurs et des ordinateurs à partir des années 1970.
Le droit du numérique emprunte notamment au droit de la propriété intellectuelle, au droit de la vie privée, au droit des contrats et au droit pénal.
Le billet se numérise, le voyage en train non
★ À maîtriser
📌 L’intelligence artificielle repose sur des probabilités et non sur des vérités, et les chatbots fondés sur des LLM repèrent des tendances pour deviner l’option suivante plutôt que de fonctionner comme des moteurs de recherche.
Les enjeux juridiques de l’intelligence artificielle comprennent :
Le droit doit encadrer l’IA afin de permettre son utilisation tout en fixant les limites de la perte d’autonomie humaine et les mécanismes de responsabilité liés aux décisions qui lui sont confiées.
📌 La sécurité informatique ne se limite pas à la protection contre les attaques : elle comprend aussi la résilience, c’est-à-dire la capacité à récupérer après un incident.
Compléments
Internet est un réseau mondial de réseaux informatiques qui utilise des protocoles pour acheminer des paquets d’informations entre deux points, certains de ces protocoles permettant de vérifier leur intégrité pendant la transmission.
Le RGPD impose de notifier certaines violations de données à l’autorité de contrôle selon l’article 33 et, dans les cas concernés, aux personnes touchées selon l’article 34.
La sécurité informatique repose notamment sur la disponibilité, l’authentification, l’autorisation, la non-répudiation et la gestion des vulnérabilités, en plus de la confidentialité et de l’intégrité.
Tubes à vide → transistors → circuits intégrés → microprocesseurs
★ À maîtriser
🔄 La démarche d’accountability suit ces étapes : examiner le projet, repérer les principes auxquels il se confronte, choisir les outils juridiques permettant de respecter ces principes, documenter les mécanismes et procédures internes mis en œuvre
La cartographie des données et des systèmes d’information représente les flux et les acteurs qui peuvent accéder aux données, et doit être tenue continuellement à jour.
📌 Le DPO est l’interlocuteur chargé d’expliquer le traitement des données personnelles et n’est pas responsable de la mise en conformité de l’organisation.
Les organisations doivent tenir un registre des traitements de données personnelles et peuvent également tenir des registres des incidents de sécurité pour documenter leurs activités et leur préparation.
Une PSSI couvre notamment : le périmètre, les menaces, les mesures appliquées, la gestion des incidents de sécurité, l’information et la sensibilisation des employés et de la direction, les procédures de révision et de mise à jour
📌 Le plan de reprise d’activité décrit comment redémarrer l’activité après un incident, tandis que le plan de continuité d’activité vise à faire fonctionner l’organisation pendant l’incident.
Compléments
📌 La protection by default consiste à mettre en place dès le départ les meilleures techniques de sécurisation disponibles au regard des moyens dont on dispose.
La méthode EBIOS est une méthode d’analyse des risques qui examine les objectifs de sécurité, les sources de risques, les réactions à leur réalisation et les traitements destinés à les éviter.
L’analyse d’impact évalue les effets de la mise en œuvre d’un outil informatique, identifie les risques et les mesures d’atténuation et peut prévoir un test dans un environnement contrôlé appelé « sandbox ».
📌 Une analyse d’impact est obligatoire dans certains cas de traitement de données à caractère personnel en application de l’article 35 du RGPD.
Le RSSI est le référent désigné en matière de sécurité des systèmes d’information.
Les objectifs attribués au RGPD sont : améliorer la protection des données personnelles des Européens, améliorer la sécurité des traitements, faire prendre conscience aux organisations de la valeur des données qu’elles détiennent
Une charte d’utilisation des systèmes d’information doit être compréhensible par tous et portée à la connaissance des utilisateurs concernés, et peut être adaptée aux catégories d’utilisateurs ou aux prestataires.
Le signalement des incidents permet aux autorités de recevoir des informations sur les difficultés rencontrées afin que les organisations puissent aussi s’en protéger ; Pharos est un outil de signalement cité comme particulièrement connu.
★ À maîtriser
En France, l’ANSSI relève de l’autorité du Premier ministre, et la lutte contre la cybercriminalité mobilise aussi des services des ministères de l’Intérieur, de l’Économie et de la Justice.
Les opérateurs de services essentiels sont encadrés par les règles issues de la directive NIS1 et concernent des services dont l’interruption peut avoir un impact significatif sur l’économie ou la société.
Les trois critères de l’opérateur essentiel sont :
Les opérateurs de services essentiels sont sélectionnés parmi 23 catégories réparties dans 3 domaines, puis soumis à des règles de sécurité spécifiques visant notamment la défense et le redémarrage des systèmes.
📌 Lorsqu’un organisme relève à la fois du régime des opérateurs de services essentiels et de celui des systèmes d’importance vitale, il applique les règles plus strictes des systèmes d’importance vitale.
Compléments
TRACFIN suit les flux financiers, et la section J3 du parquet de Paris est citée parmi les pôles spécialisés du ministère de la Justice.
La liste des OIV n’est pas publique et l’État détermine les opérateurs auxquels cette qualité est attribuée.
Pour les OIV, l’ANSSI peut imposer des mécanismes de défense spécifiques, notamment des sondes de détection, ou obliger les opérateurs à déployer eux-mêmes des dispositifs de détection.
La France comptait 122 opérateurs de services essentiels concernés, tandis que certains pays scandinaves en comptaient des milliers.
L’ANSSI contrôle l’effectivité des règles applicables aux opérateurs de services essentiels, et le coût des contrôles est à la charge des opérateurs, notamment dans le cadre d’une convention de contrôle.
📌 En cas de manquement, l’opérateur de services essentiels est mis en demeure de réparer.
★ À maîtriser
📌 Les prestataires n’ont pas de régime juridique spécifique de cybersécurité et leurs clients leur imposent contractuellement le niveau de sécurité requis, notamment au moyen d’annexes aux contrats.
📌 L’article L. 2321-4 du Code de la défense exonère de responsabilité les lanceurs d’alerte qui, après avoir piraté un système informatique, fournissent des informations sur ses vulnérabilités, mais cette exonération ne couvre pas le piratage destiné au vol d’informations.
Compléments
Les fournisseurs de services numériques concernés comprennent les places de marché en ligne, les moteurs de recherche et les services de cloud.
Les fournisseurs de services numériques s’identifient eux-mêmes, appliquent des règles de sécurité spécifiques et peuvent être contrôlés par l’ANSSI, en coordination avec l’Union européenne pour les services transfrontaliers.
Les législations sectorielles peuvent s’appliquer aux organisations qui traitent des données dans un secteur d’activité précis.
📌 Les établissements bancaires peuvent être déclarés responsables des attaques subies par leurs clients lorsqu’ils ne sont pas suffisamment pédagogiques ou ne sécurisent pas assez les outils qu’ils leur proposent, même si les clients ont été négligents.
★ À maîtriser
Compléments
📌 Les textes de cybersécurité peuvent être généralistes, sectoriels, liés à une nature d’activité, liés à une catégorie de produits ou services, ou encadrer les activités numériques tout en comportant des obligations de sécurité.
★ À maîtriser
La directive NIS 1, adoptée en 2016 et transposée en France en 2018, demeure en vigueur tant que NIS 2 n’a pas été transposée.
NIS 1 vise un cadre de coopération européen, un cadre de gouvernance dans chaque État membre et le renforcement de la cybersécurité des opérateurs de services essentiels et des fournisseurs de services numériques.
📌 Sous NIS 1, les opérateurs de services essentiels doivent se protéger, réagir aux attaques et notifier tout incident suffisamment grave pour affecter la continuité de leurs services.
📌 Sous NIS 1, les fournisseurs de services numériques identifient les risques pesant sur leurs réseaux, prennent les mesures nécessaires pour éviter les incidents, assurer la continuité des services et réduire l’impact des incidents, puis notifient les incidents.
📌 NIS 2 distingue les entités essentielles, notamment dans l’énergie, les transports, la banque, les infrastructures et marchés financiers, l’eau potable, les eaux usées et la santé, des entités importantes, notamment dans la gestion des déchets, la distribution alimentaire et les services postaux.
📌 NIS 2 concerne les moyennes et grandes entreprises, mais peut également s’appliquer aux micro et petites entreprises en raison de leur secteur, de leur type d’entité ou de l’effet potentiel des perturbations.
📌 Sous NIS 2, un incident est important s’il cause une perturbation opérationnelle ou des pertes financières, ou s’il a affecté ou est susceptible d’avoir affecté des personnes physiques ; un incident grave doit être notifié.
📌 La responsabilité des dirigeants sous NIS 2 repose sur leur capacité à démontrer qu’ils ont pris les mesures nécessaires, que l’incident se soit produit ou non, et ne peut être déléguée.
Compléments
📌 Sous NIS 1, les opérateurs de services essentiels sont désignés par décret, et la liste des services est actualisée tous les deux ans.
NIS 1 protège les OSE et les FSN ; NIS 2 étend le périmètre et renforce les exigences.
★ À maîtriser
Le RGPD s’applique aux activités professionnelles, y compris dans le monde associatif, et encadre les traitements de données à caractère personnel plutôt que de les interdire.
Le RGPD prévoit trois obligations :
📌 L’article 32 du RGPD impose une sécurité du traitement adaptée aux moyens des acteurs et à l’activité concernée.
DORA vise à renforcer la sécurité informatique du secteur financier, à unifier la réponse européenne et à limiter les vulnérabilités systémiques et la multiplication des incidents.
L’IA Act de 2024 adopte une approche par les risques afin de favoriser l’innovation tout en respectant les droits fondamentaux.
📌 L’IA Act distingue les risques inacceptables, qui entraînent l’interdiction, les risques élevés, soumis à des obligations spécifiques, et les risques modérés, soumis à des obligations de transparence.
Le Cyber Resilience Act entre en vigueur le 10 décembre 2024 et s’applique généralement à partir du 11 décembre 2027.
La loi LOPMI de 2023 subordonne l’indemnisation par une assurance cyber à la preuve du dépôt de plainte après une attaque.
La loi SREN date de 2024 et vise à sécuriser et réguler l’espace numérique.
La loi SREN renforce les pouvoirs de l’ARCOM et les obligations de contrôle de l’âge pour limiter l’accès des mineurs aux contenus pornographiques.
Compléments
Les principes de DORA comprennent : la gestion des risques par les organes de direction, la notification des incidents, la circulation des informations, la réalisation de tests de résilience, le partage d’informations, l’intégration des exigences dans les contrats
L’IA Act distingue cinq catégories d’acteurs :
Les pratiques interdites mentionnées comprennent : les techniques subliminales ou manipulatoires, l’exploitation des vulnérabilités, l’évaluation et le classement des personnes, la prévision des risques de criminalité, l’analyse d’images faciales tirées du web, la déduction des émotions au travail ou dans l’enseignement, la catégorisation biométrique, l’identification biométrique à distance en temps réel
📌 Les obligations de l’IA Act se cumulent avec celles d’autres textes, notamment le RGPD, et les obligations de transparence augmentent avec la puissance de l’outil.
★ À maîtriser
Le secret des affaires repose sur trois séries de trois éléments :
Les sanctions pour violation du secret des affaires sont civiles et non pénales.
Le DSA et le DMA sont entrés en vigueur en 2023 afin d’encadrer les pratiques des géants du Web et des marchés numériques.
Compléments
La protection du secret des affaires vise notamment le savoir-faire, l’innovation, la recherche et développement, les algorithmes et le développement logiciel.
🔄 L’entreprise organise la protection en trois étapes :
Le droit des producteurs de bases de données peut contribuer à établir la preuve d’une appropriation, notamment au moyen de fausses adresses placées comme pièges dans une base de données.
Les obligations citées pour les grandes plateformes comprennent la révélation de leur savoir-faire pour contrôle, la désinstallation des applications préinstallées, l’interopérabilité des messageries instantanées et l’interdiction de mettre en avant leurs propres produits.
★ À maîtriser
L’ANSSI, créée en 2009, est compétente sur l’ensemble du territoire français et placée sous l’autorité du Premier ministre, sans être indépendante.
L’ANSSI intervient en défense et apporte des réponses aux systèmes d’information touchés par des cyberattaques, notamment ceux d’un service étatique ou d’un hôpital.
📌 NIS 1 vise la sécurité, tandis que NIS 2 renforce cet objectif en tenant compte notamment du risque d’espionnage par un prestataire de services cloud.
🔄 L’homologation d’un système s’appuie sur : une cartographie des risques, la définition d’un niveau de risque objectif, le choix de moyens de sécurité, l’intervention éventuelle d’un contrôleur extérieur, un suivi
🔄 La démarche de gouvernance juridique consiste à : établir le droit applicable et les rôles, dresser un état des lieux, élaborer des documents juridiques contextualisés, vérifier leur conformité aux objectifs poursuivis
La mise en œuvre de la PSSI comprend la définition de son périmètre physique et logique, l’identification des menaces, l’évaluation de l’opposabilité des documents, la création de règles et de chartes, la sensibilisation, la justification des mesures et la préparation de la gestion des incidents.
Compléments
L’ANSSI approuve des solutions de sécurité par des certifications délivrées par elle-même ou par des centres d’évaluation, et certifie également des organismes et prestataires de cybersécurité.
La certification des prestataires contribue à sécuriser la chaîne de sous-traitance en permettant de définir les prestataires auxquels les organisations peuvent confier leurs données.
📌 L’ANSSI ne pouvant pas prononcer elle-même les sanctions liées aux manquements relevant de NIS 2, DORA, du DSA ou du DMA, la loi de transposition a créé un comité indépendant.
Dans le secteur public, chaque ministère dispose d’un haut fonctionnaire de défense et de sécurité chargé de centraliser les informations entrantes et de faire remonter les informations sortantes.
Le secteur public utilise un référentiel général de sécurité émis par l’autorité administrative et des certificats adaptés au processus et au niveau de sécurité requis.
Les mesures citées pour le secteur public comprennent : les mises à jour, sauf pour un système déconnecté, un antivirus, des clauses avec les prestataires, des moyens d’identification forts, la conservation de traces, la diffusion des règles d’application, des évaluations
📌 La PSSI est obligatoire pour les organisations soumises aux législations qui l’imposent, notamment NIS 1 ou NIS 2, et s’applique aux personnes qui interviennent dans ces organisations.
La PSSI doit contextualiser son domaine d’application afin de limiter les ambiguïtés d’interprétation susceptibles de créer une insécurité juridique ou un contentieux.
Le tableau RACI sert à déterminer qui réalise une tâche, qui l’approuve, qui doit être consulté et qui doit être informé.
La PSSI est notamment reliée aux obligations de sécurité de NIS 2 et aux obligations de sécurité du RGPD pour les traitements de données sensibles.
★ À maîtriser
📌 La couverture de première partie indemnise les pertes financières de l’assuré dues à une attaque ou à une faille de cybersécurité de ses réseaux ou systèmes, tandis que la couverture de tiers couvre sa responsabilité envers des tiers à la suite d’un événement cyber.
📌 Selon la loi de 2023, l’indemnisation d’un sinistre cyber par l’assureur est subordonnée au dépôt d’une plainte par la victime auprès des autorités compétentes dans les 72 heures.
Compléments
Les risques mentionnés en matière de cyberassurance comprennent :
Il n’existe pas de contrat généraliste de cyberassurance dans le cadre décrit, car les assurances sont spécialisées et excluent les autres domaines.
La souscription nécessite notamment de : vérifier les exclusions, impliquer les responsables du système d’information, analyser le risque, pouvoir démontrer que la situation assurée correspond à la réalité
Un déni de service distribué vise à bloquer l’accès à des sites internet.
Un rançongiciel bloque un système et réclame de l’argent pour le débloquer, sans garantir que le déblocage aura lieu.
L’ingénierie sociale exploite une erreur ou un comportement humain afin d’obtenir l’accès à des informations ou à des services.
Les attaques de la chaîne d’approvisionnement exploitent les vulnérabilités d’une organisation chez ses fournisseurs ou partenaires et peuvent produire des effets en cascade.
La répartition des cyberattaques indiquée est la suivante :
Les attaques d’ingénierie sociale citées sont : le phishing par courriel, le vishing par voix, le smishing par SMS, le whaling contre des dirigeants, le pretexting, la compromission d’emails professionnels, le piggybacking dans des zones à accès réservé
★ À maîtriser
📌 Une donnée anonymisée de manière irréversible n’est plus une donnée à caractère personnel et sort du champ du RGPD, tandis qu’une donnée pseudonymisée reste soumise au RGPD puisque le lien d’identification subsiste quelque part.
Compléments
Les objectifs de la cryptologie comprennent :
La loi de 2004 sur la confiance dans l’économie numérique a consacré une liberté d’utilisation des moyens de cryptologie, sous réserve de limites prévues par la loi et contrôlées par l’ANSSI pour certains biens à double usage civil et militaire.
L’anonymisation vise à empêcher : l’individualisation, la corrélation de données permettant une réidentification, l’inférence d’un attribut à partir d’autres attributs
Les techniques de pseudonymisation citées comprennent :
📌 Les archives courantes sont utilisées quotidiennement, les archives intermédiaires doivent rester relativement accessibles sans être conservées sur la machine de travail quotidienne, et les archives définitives sont gardées pour pouvoir justifier certains éléments, bien que leur consultation ultérieure soit rare.
📌 L’article 6 de la loi de 2004 oblige les fournisseurs d’accès à internet à proposer des moyens techniques permettant de restreindre l’accès à certains services et à faire connaître ces moyens.
📌 Les États souhaitent une conservation prolongée des données par les fournisseurs d’accès et un accès facilité, tandis que la CJUE impose des durées limitées et exige l’autorisation d’un juge pour l’accès intrusif aux données concernant des personnes physiques.
L’anonymisation rompt le lien ; la pseudonymisation le masque sans le supprimer.
★ À maîtriser
📌 La reconnaissance faciale par biométrie est interdite par l’AI Act, tandis que l’analyse algorithmique d’images sans recherche d’identification peut être autorisée par les législations nationales.
📌 La vidéoprotection concerne les lieux publics ou ouverts au public, tandis que la vidéosurveillance concerne les lieux non ouverts au public.
Compléments
📌 La biométrie est interdite par principe, sous réserve d’exceptions, et son utilisation sur les lieux de travail est encadrée par une délibération de 2019.
📌 Un gabarit biométrique conserve des points de comparaison et non une image du visage, tandis qu’une empreinte digitale permet une identification plus directement exploitable pour des enquêtes.
📌 La vidéosurveillance algorithmique est interdite par l’AI Act lorsqu’elle repose sur la reconnaissance faciale, tandis que l’analyse d’images sans identification peut relever des législations nationales.
★ À maîtriser
📌 Dans le cadre de NIS, les OSE notifient les incidents susceptibles d’avoir un impact significatif sur la continuité de leurs services, et les fournisseurs de services numériques notifient ceux qui affectent significativement la fourniture du service.
📌 L’article 33 du RGPD impose de notifier dans les 72 heures à l’autorité les violations de données personnelles susceptibles d’engendrer un risque pour les droits et libertés des personnes physiques.
🔄 La gestion d’un incident suit six étapes :
Les cyberassurances couvrent généralement des pertes telles que les coûts de notification, de surveillance du crédit des victimes, de réparation judiciaire et d’expertise, ainsi que parfois la communication de crise et la réparation des atteintes à la réputation.
Les cyberassurances ne couvrent généralement ni les pertes de revenus ni les événements relevant de la force majeure.
📌 Depuis 2023, le dépôt de plainte dans un délai de 72 heures est une condition de fonctionnement de l’assurance cyber, mais le point de départ de ce délai est jugé peu clair par les praticiens.
Compléments
📌 Les organisations concernées doivent répercuter contractuellement leurs obligations de notification aux fournisseurs, prestataires et acteurs de leur chaîne d’approvisionnement, notamment dans les annexes de sécurité.
Évaluer, documenter, notifier, appliquer, gérer la crise, tirer le retour d’expérience.
★ À maîtriser
La Convention de Budapest, adoptée en 2001 sous l’égide du Conseil de l’Europe et entrée en vigueur en 2004, vise à harmoniser les législations pénales nationales, améliorer les techniques d’enquête et renforcer la coopération entre États.
Les États-Unis, le Japon et le Canada ont ratifié la Convention de Budapest, qui prévoit un point de contact national disponible 24 h/24 et 7 j/7 pour faciliter l’entraide urgente en cas de cyberattaque.
📌 La convention internationale de l’ONU sur la cybercriminalité vise à compléter, et non à remplacer, la Convention de Budapest, notamment pour inclure des États comme la Russie et la Chine qui n’en font pas partie.
📌 Le règlement e-Evidence crée l’injonction européenne de production, qui ordonne la fourniture de données, et l’injonction européenne de conservation, qui empêche leur effacement en attendant une demande d’accès ultérieure.
Compléments
Le protocole additionnel à la Convention de Budapest signé en mai 2022 renforce les échanges, l’entraide urgente et la possibilité d’enquêtes communes.
Interpol compte 196 pays et héberge un programme de lutte contre la cybercriminalité qui gère une base de données internationale accessible aux services d’enquête des pays qui en demandent l’accès.
La directive européenne de 2011 impose aux États de pénaliser la pédopornographie et la consultation de tels contenus.
📌 Les injonctions e-Evidence concernent les données électroniques dans un cadre strict, notamment un seuil minimal d’infractions punies de trois ans d’emprisonnement, avec un délai de réponse du fournisseur et une information des États concernés.
★ À maîtriser
L’article 323-1 du Code pénal punit l’accès ou le maintien frauduleux dans un système de traitement automatisé de données de trois ans d’emprisonnement et de 100 000 € d’amende.
L’article 323-2 du Code pénal réprime l’entrave ou la falsification effective du fonctionnement d’un système, tandis que l’article 323-3 réprime notamment l’introduction, l’extraction, la détention, la reproduction, la transmission, la suppression ou la modification frauduleuse des données qu’il contient.
Les articles 323-2 et 323-3 du Code pénal prévoient cinq ans d’emprisonnement et 150 000 € d’amende, portés à sept ans et 300 000 € lorsque l’infraction vise un système de données personnelles mis en œuvre par l’État.
L’article 323-3-1 du Code pénal sanctionne, sans motif légitime, l’importation, la détention, l’offre, la cession ou la mise à disposition de moyens spécialement adaptés aux infractions informatiques, sauf notamment lorsqu’ils servent à la recherche ou à la sécurité informatique.
Compléments
L’article 323-4 du Code pénal réprime la participation consciente à un groupement destiné à préparer des infractions informatiques, et l’article 323-4-1 prévoit une aggravation en cas de bande organisée.
Les articles 323-4-2 et 323-5 du Code pénal aggravent les peines selon les conséquences de l’attaque et prévoient des peines complémentaires, dont la confiscation du matériel électronique.
Les articles 323-6 à 323-8 du Code pénal prévoient la responsabilité des personnes morales, punissent les tentatives des mêmes peines que les infractions consommées et excluent l’application de ces peines lorsque les faits sont réalisés par des agents étatiques.
★ À maîtriser
📌 L’article 83 du RGPD permet, pour certaines violations, des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total d’une entreprise, le montant le plus élevé étant retenu.
Compléments
La LIL prévoit des sanctions pénales pour plusieurs manquements, notamment les formalités préalables, l’usage illicite du numéro de sécurité sociale, le non-respect de mesures importantes du RGPD, la collecte illicite, la conservation excessive, la violation des règles sur les données médicales de recherche et le défaut de notification d’une violation.
Les fondements légaux mentionnés sont :
La directive NIS prévoit des sanctions en cas de non-respect des règles de sécurité ou d’obstacle aux opérations de contrôle, et le Code de la défense permet de sanctionner directement les dirigeants des OIV.
La LOPPSI 2 de 2011 a notamment créé le délit d’usurpation d’identité en ligne, le blocage de sites pédopornographiques, le filtrage d’adresses IP sur décision ministérielle et des dispositifs de surveillance et d’interception policières.
📌 Une captation portant atteinte à la vie privée peut être pénalement sanctionnée tout en restant admissible comme preuve, car le droit au procès équitable peut primer sur le droit à la vie privée.
Les infractions numériques spécifiques comprennent notamment :
Le Code de procédure pénale permet au juge de désigner un expert pour réaliser des opérations de déchiffrement et sanctionne le refus de fournir les clés de déchiffrement.
Les infractions classiques fréquemment commises au moyen d’outils numériques comprennent :
★ À maîtriser
Après une cyberattaque, il faut figer les preuves, débrancher le système sans l’éteindre, sécuriser ce qui reste sous contrôle, déposer une plainte ou une main courante, puis envisager les opérations de remédiation.
Les organisations doivent anticiper leur rétablissement après une attaque au moyen d’un plan de continuité d’activité (PCA) et d’un plan de reprise d’activité (PRA).
📌 Les outils juridiques de cybersécurité sont les règles de droit, tandis que les outils techniques sont les mesures concrètes mises en œuvre en application de ces règles.
La PSSI, ou politique de sécurité des systèmes d’information, organise principalement les opérations techniques de sécurité et doit aussi prévoir la réaction de l’organisation en cas de crise.
Il n’existe pas de législation générale de cybersécurité : le cadre repose sur des législations spéciales.
📌 NIS1 visait à sécuriser le fonctionnement du marché intérieur de l’Union européenne, tandis que NIS2 renforce la cybersécurité sur le territoire européen et élargit la responsabilité des organisations, notamment à l’égard de leurs sous-traitants.
Compléments
Le signalement des infractions sur PHAROS contribue à déclencher une réponse générale, car la multiplication des signalements permet de faire apparaître les phénomènes criminels.
L’article 230-46 du Code de procédure pénale permet aux forces de l’ordre de mener des opérations d’infiltration dans le domaine numérique.
📌 NIS1 identifiait les opérateurs de services essentiels et les fournisseurs de services numériques, tandis que NIS2 distingue les entités essentielles et les entités importantes.
📌 Sous NIS2, les obligations concernent en principe les entités des secteurs visés qui atteignent une taille suffisante, mais certaines catégories restent concernées indépendamment de ce critère, notamment les administrations publiques centrales ou régionales, les réseaux de communications électroniques, les prestataires de services de confiance et les gestionnaires de noms de domaine ou fournisseurs d’accès.
Figer la preuve avant d’agir sur le système, car chaque action le modifie et laisse des traces.
| Catégorie | Objet | Enjeu principal |
|---|---|---|
| OIV | Opérateur public ou privé | Indisponibilité menaçant les intérêts vitaux de la nation |
| SIIV | Système d’information | Atteinte pouvant menacer les intérêts vitaux ou la population |
| OSE | Opérateur de service essentiel | Impact significatif sur l’économie ou la société |
| Critère | Anonymisation | Pseudonymisation |
|---|---|---|
| Lien avec la personne | Rupture totale et définitive | Lien conservé, mais non directement identifiant |
| Réversibilité | Irréversible | Identification possible grâce à un élément de correspondance |
| Champ du RGPD | La donnée sort du champ du RGPD | Le RGPD continue de s’appliquer |
Teste tes connaissances sur Cybersécurité et prévention des incidents avec 70 questions à choix multiples et corrections détaillées.
1. Dans le cadre du numérique, que désigne une donnée ?
2. Une entreprise met en place des équipements, des logiciels et des procédures pour recueillir des informations, les conserver, les traiter, les structurer puis les transmettre. Comment désigne-t-on cet ensemble organisé ?
Mémorisez les concepts clés de Cybersécurité et prévention des incidents avec 98 flashcards interactives.
Qu’est-ce qu’une donnée ?
L’enregistrement restituable d’une information.
Qu’est-ce qu’un système d’information ?
Un ensemble organisé de ressources physiques et numériques permettant de traiter et distribuer de l’information.
Quel exemple distingue la numérisation possible de l’expérience non numérisable ?
Un billet de train peut être numérisé, contrairement au voyage lui-même.
Importe ton cours et l'IA génère fiches, QCM et flashcards en 30 secondes.
Générateur de fiches