Nous préparons ce qui ne s’improvise pas : un dossier d’assurance exact, les mesures que l’assureur exige, un prestataire de réponse à incident sous contrat, des contacts de crise à jour et un calendrier de notifications.
Une réponse inexacte au questionnaire de l’assureur peut fragiliser votre couverture au moment où vous en avez besoin. Un prestataire de réponse à incident trouvé dans l’urgence se mobilise lentement, sur un contrat signé sous la pression.
Nous préparons donc l’avant : des réponses vérifiées, les mesures exigées réellement en place, un prestataire choisi à froid et accepté par l’assureur, et un annuaire de crise que chacun sait où trouver.
Assurance et réponse à incident se préparent ensemble : l’une finance, l’autre agit, et les deux doivent être alignées.
Vous obtenezUn questionnaire exact et documenté
Vous obtenezUn plan d’action et ses preuves
Vous obtenezUn contrat de réponse à incident prêt à activer
Vous obtenezUn kit de crise testé
Selon votre statut, plusieurs textes encadrent la réponse aux incidents et fixent des délais de notification qui courent dès la prise de connaissance.
Les entités financières doivent disposer d’un processus de gestion des incidents liés aux TIC, activer sans délai des plans de confinement adaptés à chaque type d’incident, et notifier les incidents majeurs à l’autorité compétente.123
La directive range la continuité d’activité et la gestion de crise parmi les mesures que les États membres doivent exiger des entités, et prévoit une alerte précoce sous 24 heures en cas d’incident important ; le ReCyF (version de travail) leur fixe l’objectif de se préparer aux crises d’origine cyber.456
Le responsable de traitement notifie une violation de données personnelles à l’autorité de contrôle si possible dans les 72 heures, sauf si elle est peu susceptible d’engendrer un risque pour les personnes ; le sous-traitant l’en informe sans délai.78
La CNIL recommande de s’assurer que les utilisateurs, prestataires et sous-traitants savent qui alerter en cas d’incident.9
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous vérifions à intervalles convenus que les mesures exigées par l’assureur sont en place, et que les contacts de crise sont à jour.
LivrablesNous préparons le dossier de l’assureur, et vous aidons à choisir et à contractualiser votre prestataire de réponse à incident.
LivrablesNous animons la préparation avec vos équipes, votre courtier et votre prestataire, sans effectuer les changements dans votre SI.
LivrablesLes questions les plus fréquentes des assureurs, avec la preuve qui étaye chaque réponse et les pièges de formulation.
Avec l’option Expert Connect, nous présélectionnons des prestataires de réponse à incident ; vous choisissez et vous mandatez.
Annuaire de crise, arbre de décision, calendrier des notifications et modèles de messages, à adapter à votre organisation.
Non. Nous préparons votre dossier et vos mesures, en lien avec votre courtier, qui reste votre interlocuteur pour la police et les garanties.
Nous ne sommes pas un prestataire de réponse à incident. Nous vous aidons à en contractualiser un avant l’incident, puis, pendant la crise, à coordonner les acteurs et à tenir le calendrier des notifications.
Cela dépend de vos textes. Une violation de données personnelles présentant un risque pour les personnes se notifie à l’autorité de contrôle si possible dans les 72 heures ; une entité NIS 2 adresse une alerte précoce sous 24 heures selon la directive, en attendant la transposition française ; une entité financière notifie ses incidents majeurs à son autorité selon DORA. Nous préparons ce calendrier avec vous ; il est à faire confirmer par votre juriste ou votre avocat.753
Nous en tenons compte dès la sélection : le prestataire retenu doit être accepté par l’assureur, ou l’écart convenu avec lui par écrit, avant l’incident.
Décrivez votre couverture actuelle et son échéance. Nous revenons vers vous avec une première lecture du questionnaire et des mesures exigées.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32022R2554-a17-p1Financial entities shall define, establish and implement an ICT-related incident management process to detect, manage and notify ICT-related incidents.32022R2554-a11-p2-3activate, without delay, dedicated plans that enable containment measures, processes and technologies suited to each type of ICT-related incident and prevent further damage, as well as tailored response and recovery procedures established in accordance with Article 12;32022R2554-a19-p1Financial entities shall report major ICT-related incidents to the relevant competent authority as referred to in Article 46 in accordance with paragraph 4 of this Article. Where a financial entity is subject to supervision by more than one national competent authority referred to in Article 46, Member States shall designate a single competent authority as the relevant competent authority responsible for carrying out the functions and duties provided for in this Article. Credit institutions classified as significant, in accordance with Article 6(4) of Regulation (EU) No 1024/2013, shall report major ICT-related incidents to the relevant national competent authority designated in accordance with Article 4 of Directive 2013/36/EU, which shall immediately transmit that report to the ECB. For the purpose of the first subparagraph, financial entities shall produce, after collecting and analysing all relevant information, the initial notification and reports referred to in paragraph 4 of this Article using the templates referred to in Article 20 and submit them to the competent authority. In the event that a technical impossibility prevents the submission of the initial notification using the template, financial entities shall notify the competent authority about it via alternative means. The initial notification and reports referred to in paragraph 4 shall include all information necessary for the competent authority to determine the significance of the major ICT-related incident and assess possible cross-border impacts. Without prejudice to the reporting pursuant to the first subparagraph by the financial entity to the relevant competent authority, Member States may additionally determine that some or all financial entities shall also provide the initial notification and each report referred to in paragraph 4 of this Article using the templates referred to in Article 20 to the competent authorities or the computer security incident response teams (CSIRTs) designated or established in accordance with Directive (EU) 2022/2555.32022L2555-a21-p2-3business continuity, such as backup management and disaster recovery, and crisis management;32022L2555-a23-p4-1without undue delay and in any event within 24 hours of becoming aware of the significant incident, an early warning, which, where applicable, shall indicate whether the significant incident is suspected of being caused by unlawful or malicious acts or could have a cross-border impact;recyf:obj-14Les entités [importantes ou essentielles] mettent en œuvre une organisation, des processus et des outils adaptés pour se préparer et réagir à des crises d’origine cyber et tiennent à la disposition des autorités nationales compétentes et en particulier de l’autorité nationale de sécurité des systèmes d’information les informations relatives aux parties prenantes externes à l’entité pertinente dans la gestion de la crise.
Les [entités essentielles] mettent en œuvre des retours d’expérience permettant d’identifier les axes d’amélioration et les mesures associées à mettre en œuvre suite à un entraînement, un exercice ou une crise réelle.32016R0679-a33-p1In the case of a personal data breach, the controller shall without undue delay and, where feasible, not later than 72 hours after having become aware of it, notify the personal data breach to the supervisory authority competent in accordance with Article 55, unless the personal data breach is unlikely to result in a risk to the rights and freedoms of natural persons. Where the notification to the supervisory authority is not made within 72 hours, it shall be accompanied by reasons for the delay.32016R0679-a33-p2The processor shall notify the controller without undue delay after becoming aware of a personal data breach.F18-PE-02S’assurer que les utilisateurs, prestataires et sous-traitants savent qui alerter en cas d’incident.