Hors collection - Quels droits face aux innovations numériques ? - 1re - 140

140

QUELS

DROITS FACE AUX INNOVATIONS NUMÉRIQUES

permises depuis 2013 par le Livre Blanc sur la défense et la sécurité nationale du ministère de la
Défense qui souligne la nécessité de mieux armer les entreprises en matière de cyberdéfense.
Davantage que l'attaque, c'est la défense qui doit être active et favorisée par l'action du RSSI dont le
rôle renvoie typiquement à s'assurer des capacités de résilience du système d'information de son entreprise. Dans le champ de moyens légaux, plusieurs solutions existantes peuvent contribuer à construire
une défense active (usage de la désinformation, capacités de détection des tentatives d'intrusion).
Dans le même registre, le recours à des équipes de hackers dans le cadre d'un bug bounty pour mener
des tests d'intrusion peut constituer une parade efficace aux cyberattaques, tout en s'inscrivant dans un
cadre parfaitement légal (v. supra, no 75).

Section 2

Les infractions relatives aux systèmes d'information

§1. Constat et champ d'application
255. Constat - Face à la multiplication des attaques, les institutions européennes ont entendu par une
directive Network and Information Security (NIS) du 6 juillet 2016 (nº 2016/1148), assurer un
niveau élevé de sécurité des réseaux informatiques et de l'information dans l'ensemble des pays
membres de l'Union européenne. Cette directive a fait l'objet d'une transposition en France par la
loi nº 2018-133 du 26 février 2018. L'objectif affiché était d'« augmenter la cyberrésilience des
systèmes informatiques, réduire la cybercriminalité et renforcer la politique de l'Union européenne
en matière de cybersécurité et de cyberdéfense à l'échelle internationale »14. Par ailleurs, les modalités
d'application de ce texte sont précisées dans un décret nº 2018-384 du 23 mai 2018.
256. Champ d'application - Pour atteindre cet objectif, la directive définit les obligations pesant sur
les opérateurs de services essentiels (OSE) identifiés dans l'annexe 2 de la directive ainsi qu'aux fournisseurs de service numérique (FSN). Les OSE sont pour l'essentiel les entités - publiques ou privées -
du secteur de l'énergie, des transports, de la santé, du secteur bancaire ou des infrastructures de
marchés financiers, ou d'infrastructure numérique et qui répondent aux critères définis à l'article 5 de
la directive NIS. Bien que délégant la charge de l'établissement d'une liste des OSE, la directive -
reprise par la loi de transposition et le décret d'application - fournit les critères de qualification :
- la fourniture d'un service essentiel au maintien d'activités sociétales et/ou économiques critiques ;
- le service est tributaire des réseaux et des systèmes d'information ;
- et si un incident a un effet disruptif important sur la fourniture du service.
L'article 5 de la loi de transposition précise que « ces opérateurs sont désignés par le Premier ministre.
La liste de ces opérateurs est actualisée à intervalles réguliers et au moins tous les deux ans. ».
Le décret d'application fournit les critères d'appréciation : (i) le nombre d'utilisateurs dépendant du
service, (ii) la dépendance des autres secteurs d'activité à ce service essentiel, (iii) les conséquences
qu'un incident pourrait avoir, en termes de gravité et de durée, sur le fonctionnement de l'économie
ou de la société ou sur la sécurité publique, (iv) la part de marché de l'opérateur, (v) la portée géographique eu égard à la zone susceptible d'être touchée par un incident, (vi) l'importance que revêt
14. Quéméner M., « La directive NIS, un texte majeur en matière de cybersécurité », Revue stratégique de cyberdéfense,
2016/3, nº 23, p. 50 et s.

Hors collection - Quels droits face aux innovations numériques ? - 1re

Table des matières de la publication Hors collection - Quels droits face aux innovations numériques ? - 1re