C’est une des grandes nouveautés de cette LPM 2018 : les OCE auront l’obligation de notifier à l’ANSSI tout « évènement susceptible d’affecter la sécurité » de leur SI.

Cette obligation ne concernait – en application de la LPM 2013 – que les OIV et – en application de la, loi NIS de 2018 – que les OSE et les FSN..

Ah oui, j’oubliais… en cas de « vulnérabilité » ou « d’atteinte subi » par le terminal des « abonnés », l’opérateur télécom / le FAI devra – si l’ANSSI l’impose -aussi en informer ses clients.

Bien entendu, même si ces deux termes ne font pas débat pour les professionnels, nous les juristes manquons de définition légale pour l’un et l’autre.

Pour la notion de « vulnérabilité », il est recommandé (tout de même) de se référer à la définition du glossaire de l’ANSSI :

« Faute, par malveillance ou maladresse, dans les spécifications, la conception, la réalisation, l’installation ou la configuration d’un système, ou dans la façon de l’utiliser. Remarques : Une vulnérabilité peut être utilisée par un code d’exploitation et conduire à une intrusion dans le système« .

Pour la notion « d’atteinte subie », il me semble que le texte de référence soit les articles 323-1 à 323-3 du Code pénal (« atteinte à un système automatisé de données« ).

La définition « d’atteinte » ne relève pas du moyen utilisé mais de ses conséquences sur le système d’information attaqué.

Cette obligation d’information m’inspire deux commentaires (en plus de l’exemple des pharmacies donné par l’invité du podcast) :

– soit l’ANSSI anticipe déjà un problème majeur et veut disposer dès à présent d’un outil juridique pour obliger les OCE à communiquer de manière transparente…

– soit la situation en termes de sécurité des SI est plus grave encore que celle dont on nous parle hors statut « Confidentiel-Défense ».

Entre la peste et le choléra, j’avoue avoir des difficultés à trancher…