Acteurs institutionnels et obligations
Bloc B3.1 / B3.4 — savoir vers qui se tourner, et à quoi l'organisation est tenue. Question classique en étude de cas.
1. Qui fait quoi
| Organisme | Périmètre | Rôle |
|---|---|---|
| CNIL | France | Autorité de contrôle des données personnelles : informe, conseille, contrôle et sanctionne. Reçoit les notifications de violation et les plaintes. |
| ANSSI | France | Agence nationale de la sécurité des SI : autorité nationale de cyberdéfense, publie référentiels, guides et recommandations, accompagne les opérateurs critiques. |
| CERT-FR | France | Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques, rattaché à l'ANSSI. Publie bulletins et avis de vulnérabilité. |
| C3N | France | Centre de lutte contre les criminalités numériques de la gendarmerie : enquêtes judiciaires sur la cybercriminalité. |
| BEFTI | Paris | Brigade d'enquêtes sur les fraudes aux technologies de l'information (préfecture de police) : service d'enquête spécialisé. |
| ENISA | Union européenne | Agence de l'UE pour la cybersécurité : expertise, certification, coordination entre États membres. |
| Europol — EC3 | Union européenne | Centre européen de lutte contre la cybercriminalité : coordination des enquêtes transfrontalières. |
Distinction à retenir : la CNIL traite des données personnelles, l'ANSSI de la sécurité technique, et les services de police / gendarmerie (C3N, BEFTI) du volet judiciaire. Une même fuite peut concerner les trois.
2. En cas de fuite de données
- Qualifier l'incident : nature des données, volume, personnes concernées, gravité.
- Notifier la CNIL sous 72 h après en avoir pris connaissance (article 33 du RGPD), sauf si la violation est peu susceptible d'engendrer un risque.
- Informer les personnes concernées dans les meilleurs délais si le risque pour leurs droits et libertés est élevé (article 34).
- Déposer plainte auprès des services compétents (C3N, BEFTI) — c'est ce qui ouvre l'enquête pénale.
- Documenter la violation dans le registre interne, même si elle n'est pas notifiée.
- Conserver les preuves : logs figés et horodatés, images disque, chronologie.
Sanctions possibles : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu — sans compter les actions civiles des personnes lésées et l'atteinte à l'image.
3. Veille et sources
- CERT-FR : avis et alertes de vulnérabilité, à suivre en flux RSS.
- ANSSI : guides d'hygiène informatique, recommandations de configuration.
- CNIL : fiches pratiques, modèles de registre, référentiels sectoriels.
- CVE / NVD : base des vulnérabilités identifiées, avec score CVSS.
- OWASP : ressources orientées sécurité applicative.
Une veille organisée (sources identifiées, périodicité, restitution) fait partie des attendus du BTS, aussi bien en E5 qu'en E6.