Gestion des incidents et réponse à incident : le guide du DPO
La gestion des incidents et la réponse à incident permettent de détecter, contenir et éradiquer une menace, puis de notifier les autorités dans des délais très courts : 72 heures pour signaler une violation de données personnelles à la CNIL sous le RGPD, immédiatement pour un incident grave d’IA à haut risque sous l’AI Act. Un plan de réponse à incident se prépare avant l’attaque.
L’essentiel
- Une violation de données personnelles présentant un risque pour les droits et libertés des personnes doit être notifiée à la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance.
- Le compte à rebours des 72 heures commence dès la connaissance de la violation par le responsable de traitement, et non au moment de sa résolution technique.
- Si le risque pour les personnes concernées est élevé, l’organisation doit aussi les informer individuellement et sans délai injustifié.
- L’article 33.5 du RGPD impose de documenter toutes les violations de données personnelles dans un registre interne, y compris celles qui n’ont pas été notifiées à la CNIL.
- Sous l’AI Act, un incident grave impliquant un système d’IA à haut risque doit être signalé immédiatement à l’autorité de surveillance du marché, dans un délai maximal de 15 jours.
Un rançongiciel (ransomware) paralyse vos serveurs RH. Une erreur de configuration expose votre base de données clients en ligne. Un système d’intelligence artificielle dérive et discrimine des candidats lors d’un recrutement.
Face à ces situations, l’improvisation n’a plus sa place. La gestion des incidents et la réponse à incident ne sont plus une simple préoccupation technique réservée aux équipes informatiques : elles sont devenues le pilier central de la conformité réglementaire des entreprises.
Avec le durcissement du cadre légal européen, notamment à travers le RGPD et l’AI Act (règlement européen sur l’intelligence artificielle, aussi appelé RIA), les organisations doivent être capables de détecter, contenir et notifier les failles de sécurité dans des délais extrêmement serrés. Ce guide pratique explique comment structurer un plan de réponse à incident résilient et comment unifier la conformité RGPD et AI Act sans surcharger les équipes.
Qu’est-ce que la gestion des incidents et la réponse à incident ?
La gestion des incidents et la réponse à incident désignent l’ensemble des actions qui permettent de stopper une attaque, de contenir un incident de sécurité et de respecter les obligations réglementaires qui en découlent. Une gestion des incidents de sécurité réussie repose sur un équilibre entre l’excellence technique et la maîtrise réglementaire.
Dans l’imaginaire collectif, un incident de sécurité est parfois perçu comme un simple problème informatique à résoudre. La réponse technique est pourtant seulement le premier rempart : elle permet de stopper l’attaque, de contenir l’incident et de réduire immédiatement le risque opérationnel. Cette action de terrain est indissociable des enjeux juridiques et réputationnels portés par trois acteurs :
- le DPO (délégué à la protection des données) ;
- le RSSI (responsable de la sécurité des systèmes d’information) ;
- le Directeur Juridique.
Pour piloter cette synergie entre technique et juridique, il convient d’abord de distinguer deux notions fondamentales : l’incident de sécurité et la violation de données personnelles.
Quelle différence entre un incident de sécurité et une violation de données personnelles ?
- L’incident de sécurité (sens large) est tout événement indésirable ou inattendu qui compromet la disponibilité, l’intégrité ou la confidentialité d’un système d’information. Exemple : un serveur inaccessible à la suite d’une panne électrique.
- La violation de données personnelles (sens RGPD) est un incident de sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la divulgation non autorisée de données personnelles. Exemple : l’exfiltration d’un fichier de paie des employés par un cyberattaquant.
Toutes les violations de données sont des incidents de sécurité, mais tous les incidents de sécurité ne sont pas des violations de données.
Exemple : la réponse à incident face à une attaque par ransomware
Votre entreprise est victime d’un ransomware. Vos fichiers clients sont chiffrés et potentiellement copiés. La synergie entre la technique et le juridique prend alors tout son sens :
- l’équipe de sécurité informatique tente d’isoler l’infection pour la contenir ;
- en parallèle, le DPO qualifie immédiatement l’incident : y a-t-il un risque pour les droits et libertés des personnes physiques ?
- si oui, le processus de notification doit être enclenché.
Pour éviter que ces crises ne paralysent l’activité, les entreprises doivent s’appuyer sur une gouvernance et un pilotage de la conformité RGPD solides, capables de faire le pont entre la technique et le droit.
Quelles sont les 4 étapes d’un plan de réponse à incident ?
Un plan de réponse à incident efficace suit 4 étapes : la détection et la qualification de l’incident par le CSIRT, le confinement et l’éradication de la menace, la notification réglementaire dans les délais légaux, puis le retour d’expérience. Le plan de réponse à incident ne se conçoit pas le jour de l’attaque : il se prépare en amont, à travers un processus structuré et systématique.
1. Détection, qualification et mobilisation du CSIRT
L’alerte peut provenir de trois sources :
- un outil de supervision (SIEM) ;
- un utilisateur interne ;
- un signalement externe.
Dès que l’anomalie est détectée, elle doit être qualifiée. C’est le rôle du CSIRT. Le CSIRT (Computer Security Incident Response Team) est une équipe d’experts en cybersécurité dédiée à la gestion, à l’analyse et à la résolution des incidents de sécurité informatique. Qu’il soit interne à l’entreprise ou externalisé auprès d’un prestataire spécialisé, le CSIRT analyse la nature de l’attaque et évalue sa gravité.
Pour agir vite, les experts du CSIRT s’appuient sur un playbook incident préétabli. Le playbook incident est un guide opérationnel standardisé qui détaille les actions réflexes selon le type de menace : phishing, déni de service, compromission de compte.
2. Contenir et éradiquer la menace : la gestion de crise cyber
L’objectif de la phase de confinement est de stopper l’hémorragie. La gestion de crise cyber implique de prendre des décisions parfois lourdes pour l’activité économique de l’entreprise :
- isoler les machines infectées du reste du réseau ;
- révoquer les accès des comptes compromis ;
- couper temporairement certaines connexions externes.
Une fois la menace contenue, l’équipe technique procède à l’éradication :
- suppression des logiciels malveillants ;
- application des correctifs de sécurité nécessaires ;
- restauration des systèmes à partir de sauvegardes saines et vérifiées.
3. Notification réglementaire : le délai de 72 heures du RGPD
Sous le RGPD, le temps est le pire ennemi du DPO. Lorsqu’une violation de données personnelles est avérée et qu’elle présente un risque pour les droits et libertés des individus, l’organisation a l’obligation légale de notifier la CNIL (ou l’autorité de contrôle compétente) dans un délai maximal de 72 heures après en avoir pris connaissance.
Le compte à rebours des 72 heures commence dès la connaissance de la violation par le responsable de traitement, et non au moment de sa résolution technique.
Rappel réglementaire : si le risque pour les personnes concernées est qualifié d’« élevé » (par exemple, un vol de données bancaires ou de santé), vous devez également les informer individuellement et sans délai injustifié, afin qu’elles puissent prendre les mesures nécessaires (changement de mot de passe, vigilance accrue face au phishing).
Pour respecter la procédure de notification d’incident sans céder à la panique, il est indispensable d’anticiper et de pouvoir automatiser le registre des violations de données, afin de centraliser l’historique et les pièces justificatives exigées par le régulateur.
4. Post-incident : le retour d’expérience (Retex)
Le retour d’expérience (Retex) est l’étape qui suit la crise : le processus de réponse à incident n’est pas terminé une fois la crise passée. Le Retex est obligatoire et permet de :
- documenter précisément l’incident, ce qui est une obligation RGPD même si la violation n’a pas été notifiée à la CNIL ;
- ajuster l’analyse des risques de l’entreprise (analyse d’impact relative à la protection des données, AIPD ou PIA;
- mettre à jour les politiques de sécurité pour boucher les failles résiduelles.
Registre interne obligatoire : l’article 33.5 du RGPD impose de documenter toutes les violations de données personnelles dans un registre interne tenu par le DPO, y compris celles qui n’ont pas été notifiées à la CNIL, avec l’explication du motif de non-notification.
Quelles obligations de notification d’incident impose l’AI Act ?
L’AI Act impose aux fournisseurs et aux déployeurs de systèmes d’IA à haut risque des exigences strictes de surveillance et de notification : un dysfonctionnement grave d’un algorithme doit être signalé immédiatement aux autorités de surveillance du marché. La conformité en matière d’incidents ne s’arrête donc plus aux seules données personnelles.
L’entrée en vigueur de l’AI Act introduit une nouvelle dimension dans la gestion des incidents de sécurité. Un dysfonctionnement grave d’un système d’IA peut entraîner, par exemple :
- une violation des droits fondamentaux ;
- un impact majeur sur la santé et la sécurité des personnes ;
- des dégâts sur les infrastructures critiques.
Dans ces cas, l’entreprise doit signaler l’incident immédiatement aux autorités de surveillance du marché.
Seuils de gravité de l’article 73 de l’AI Act : les seuils de gravité de l’article 73 de l’AI Act imposent une attention particulière. Un incident entraînant la violation des droits fondamentaux ou portant atteinte à l’intégrité physique d’une personne doit être déclaré sans aucun délai injustifié.
Notification RGPD et notification AI Act : quelles différences ?
Événement déclencheur
- Sous le RGPD (données personnelles) : violation de données personnelles (destruction, perte, accès non autorisé).
- Sous l’AI Act (systèmes d’IA à haut risque) : incident grave (décès, atteinte à la santé/sécurité, violation des droits fondamentaux, dommages aux infrastructures).
Délai maximum
- Sous le RGPD : 72 heures après en avoir pris connaissance.
- Sous l’AI Act : immédiatement (maximum 15 jours, ramené à 2 jours en cas de menace généralisée ou d’atteinte vitale).
Destinataire
- Sous le RGPD : autorité de contrôle de protection des données (ex. : CNIL).
- Sous l’AI Act : autorité de surveillance du marché nationale / Bureau de l’IA.
Pourquoi unifier la procédure de notification d’incident RGPD et AI Act ?
Plutôt que de traiter d’un côté les violations RGPD et de l’autre les dérives de l’intelligence artificielle, les organisations matures structurent une procédure de notification d’incident unifiée. Cette approche transversale évite les silos et donne au DPO, au RSSI et au Responsable Conformité une vision à 360° des risques technologiques de l’entreprise.
Pour anticiper ces transformations majeures, les entreprises ont intérêt à s’appuyer sur une démarche structurée de conformité à l’AI Act.
Comment un logiciel de conformité sécurise-t-il la réponse à incident ?
Un logiciel de conformité RGPD et IA sécurise la réponse à incident en centralisant les incidents, en guidant la rédaction des notifications et en réunissant le DPO, le RSSI, la direction juridique et les équipes techniques sur une plateforme unique.
Gérer une crise cyber et réglementaire avec des tableurs Excel éparpillés, des chaînes d’e-mails interminables et des notes manuscrites est le meilleur moyen de manquer le délai des 72 heures et de commettre des erreurs méthodologiques.
L’utilisation d’un logiciel de conformité RGPD et IA tel qu’Adequacy permet de professionnaliser et d’accélérer chaque étape du plan de réponse à incident :
- Centralisation et traçabilité : enregistrez chaque incident, qualifiez-le instantanément grâce à des arbres de décision intégrés et conservez l’historique des actions menées (idéal en cas de contrôle de la CNIL).
- Génération guidée des notifications : remplissez pas à pas les informations requises par les autorités réglementaires sans rien oublier.
- Collaboration simplifiée : faites interagir en temps réel le DPO, le RSSI, la direction juridique et les équipes techniques sur une plateforme unique et hautement sécurisée.
- Playbooks prêts à l’emploi : standardisez vos processus de remédiation pour que chaque acteur sache exactement quoi faire, ce qui diminue le stress collectif et le risque d’erreur humaine.
Gestion des incidents et réponse à incident : que retenir ?
La gestion des incidents et la réponse à incident reposent sur un plan préparé en amont, qui articule la réponse technique (détection, confinement, éradication) et les obligations réglementaires (notification, documentation). Pour le DPO, l’enjeu est de qualifier l’incident sans attendre, de notifier la CNIL dans les 72 heures lorsque la violation présente un risque, de signaler les incidents graves d’IA à haut risque sous l’AI Act et de consigner chaque violation dans le registre interne. Une procédure de notification d’incident unifiée RGPD et AI Act évite les silos entre équipes.
FAQ - Gestion des incidents et réponse à incident
Quelle est la différence entre un incident de sécurité et une violation de données ?
Un incident de sécurité est un événement suspect qui compromet la confidentialité, l’intégrité ou la disponibilité d’un système d’information (ex. : un serveur inaccessible). Une violation de données est un incident de sécurité qui affecte spécifiquement des données personnelles (ex. : une fuite de données clients). Toutes les violations de données sont des incidents de sécurité, mais tous les incidents de sécurité ne sont pas des violations de données.
Qu’est-ce qu’un CSIRT ?
Un CSIRT (Computer Security Incident Response Team) est une équipe d’experts en cybersécurité dédiée à la gestion, à l’analyse et à la résolution des incidents de sécurité informatique. Le rôle du CSIRT est de contenir rapidement les attaques et d’aider l’entreprise à restaurer ses systèmes de manière sécurisée. Le CSIRT peut être interne à l’entreprise ou externalisé auprès d’un prestataire spécialisé.
Qu’est-ce qu’un playbook incident ?
Un playbook incident est un guide opérationnel standardisé qui décrit pas à pas les actions à mener par les équipes techniques, juridiques et de communication face à un type d’attaque précis (ex. : ransomware, phishing). Le playbook incident garantit une réaction rapide et conforme aux exigences du RGPD et de l’AI Act.
Quel est le délai pour notifier une violation de données à la CNIL ?
Le délai maximal pour notifier une violation de données personnelles à la CNIL est de 72 heures après en avoir pris connaissance, lorsque la violation présente un risque pour les droits et libertés des personnes. Le compte à rebours commence dès la connaissance de la violation par le responsable de traitement, et non au moment de sa résolution technique.
Faut-il documenter une violation de données non notifiée à la CNIL ?
Oui. L’article 33.5 du RGPD impose de documenter toutes les violations de données personnelles dans un registre interne, y compris celles qui n’ont pas été notifiées à la CNIL. Pour chaque violation non notifiée, le registre doit expliquer le motif de non-notification. Le registre centralise l’historique et les pièces justificatives exigées par le régulateur.
Quel est le délai pour signaler un incident grave d’IA sous l’AI Act ?
Sous l’AI Act, un incident grave impliquant un système d’IA à haut risque doit être signalé immédiatement à l’autorité de surveillance du marché nationale, dans un délai maximal de 15 jours. Ce délai est ramené à 2 jours en cas de menace généralisée ou d’atteinte vitale. Un incident grave peut être un décès, une atteinte à la santé ou à la sécurité, une violation des droits fondamentaux ou des dommages aux infrastructures.
