quelques mots d'introduction au sujet du jour

« état de l’art » ? heuuuuu… répondent les juristes.

« état de l’art » ? heuuuuuu… répondent souvent (avec une sage prudence) les professionnels(le)s de la cyber sécurité.

Et si on profitait de ce début d’année pour faire un point technique et juridique autour des notions « d’état de l’art » et de « négligence » en matière de cyber sécurité ? (« oh oui » me souffle-t-on dans l’oreillette).

Nous nous focaliserons sur ce que nous connaissons : l’état de l’art selon l’ANSSI et la CNIL sur le territoire de l’hexagone.

Nous commencerons par un point juridique : quelle définition (légale ?) pour « état de l’art » en matière de cyber sécurité ?

Nous verrons ensuite ce que l’ANSSI considère comme la base de l’état de l’art de la cyber sécurité : « le socle de sécurité » du Guide d’hygiène en 42 points (v2 de 2017).

Tant qu’on y est, nous rappellerons ce que sera l’état de l’art technique avec la Directive NISv2 qui entre en application effective dans… dans 10 mois ! Pour la réponse en version détaillée à cette même question, allez parcourir notre « NISv2 : les 15 points de cyber sécurité » (date de fraicheur : novembre 2023) rédigé avec les pro de CYBERZEN.

L’état de l’art, ce sont aussi les décisions de condamnation prononcées par les autorités de contrôle… Ben oui… Profitons-en pour un petit survol de la jurisprudence CNIL « sécurité » depuis 2017. Coté ANSSI, ça va être rapide (mais ça devrait – enfin – changer… bientôt…).

Mais pourquoi tout ce pataquès autour de la notion « d’état de l’art » ?

Pour une raison simple : si votre « organisation / entité » ne respecte pas le niveau technique de l’état de l’art, votre entité sera NEGLIGENTE ! Et qui dit négligence, dit en conséquence sanctions (par les autorités de contrôle) et responsabilité à l’égard des partenaires contractuels (clients ou prestataires).

A propos de sanctions, rappelons ce qui est prévu dans la Directive NISv2 et dans le Règlement DORA pour les entités elles-mêmes comme pour leurs dirigeants ? 

Avant de conclure, intéressons-nous aux impacts techniques / business de l’obligation pour les professionnel(le)s d’être à l’état de l’art, notamment lorsqu’on développe du logiciel.

Les impacts business de l’état de l’art, c’est aussi ce qu’il faut (faudrait ?) écrire dans vos contrats BtoB. Avec un petit focus sur le débat « négligence et force majeure » qui fait beaucoup rêver des genoux certain(e)s juristes.

Tiens d’ailleurs, puisqu’on en est aux considérations juridiques : terminons en beauté et voyons quelle est la nature de l’obligation de cyber sécurité d’être « à l’état de l’art » ? [spoiler : une obligation de moyens ou de résultat ? autre chose ??? mais quel suspens torride…].

Si vous lisez tout ça, vous pourrez prétendre être à l’état de l’art en janvier 2024 !

Coté illustrations, bienvenue dans l’univers de « L’Oeil de la nuit » par Stéphane « Gess » au dessin et Serge « Maitre » Lehmann au scénario. C’est disponible aux éditions Delcourt en 3 tomes tout à fait remarquables (que dis-je : EX CEP TION NELS) !!! Avec quelques clins d’oeil coté « Milady 3000 » , « Le Fléau des Dieux » , « Hercule » et « La Nef des Fous » (tous les liens en fin de ce post de blog).