Informatique légale · Entreprises

Comment reconstituer de manière transparente le délai de rétablissement techniquement nécessaire après une cyberattaque ?

Für die Betriebsunterbrechungsversicherung, für Schadensersatzansprüche und für die Bewertung der eigenen Notfallplanung ist entscheidend, wie lange Systeme tatsächlich nicht verfügbar waren und welche Schritte die Wiederherstellung bestimmt haben. Diese Zeiten lassen sich aus technischen Spuren belegen.

Demande sans engagement

Pourquoi cette question est-elle importante pour une entreprise ?

Au cours de la phase de rétablissement suite à un incident cybernétique, des décisions techniques sont prises qui peuvent avoir une incidence simultanée sur la continuité des opérations, la conservation des preuves, la protection des données et la traçabilité ultérieure. Une documentation rigoureuse permet donc non seulement de protéger le service informatique, mais aussi de constituer une base factuelle solide pour la direction et les conseillers juridiques.

Technischer Hintergrund

Es ist sinnvoll, zwischen technischer Erreichbarkeit, eingeschränktem Betrieb und vollständigem Regelbetrieb zu unterscheiden. Verzögerungen entstehen häufig durch nicht nutzbare Backups, Abhängigkeiten zwischen Systemen (AD vor ERP), forensische Sicherung vor Wiederaufbau oder fehlende Dokumentation.

Relevante Spuren und Datenquellen

• Backup- und Restore-Protokolle (Start, Ende, Fehler)
• Systemstart- und Dienststatusereignisse
• Monitoring-Daten und Ticketsysteme
• Anmeldungen der ersten Nutzer in Fachanwendungen

Grenzen

• Wurden Systeme neu aufgebaut und alte Logs nicht gesichert, sind einzelne Zeitpunkte nur über Sekundärquellen belegbar.
• Die versicherungsrechtliche Bewertung erfolgt durch Versicherer bzw. Gutachter.

Mögliche Ergebnisse

• Zeitlinie der Wiederherstellung je System
• Begründung von Verzögerungen

Pourquoi LanCologne ?

Après un incident cybernétique grave, la mission ne s'arrête pas à la neutralisation de l'attaque. L'entreprise doit remettre ses systèmes en service de manière contrôlée, analyser les données et les sauvegardes, sécuriser les identités, évaluer les interruptions d'activité et, parallèlement, conserver les preuves nécessaires en vue d'éventuelles questions juridiques, liées aux assurances ou réglementaires.

So gehen wir vor

• Definition der zu belegenden Zeitpunkte je kritischem System.
• Auswertung der Protokolle und Abgleich mit Ticket- und Kommunikationsdaten.
• Darstellung von Abhängigkeiten und Gründen für Verzögerungen.

La restauration ne doit pas fausser a posteriori les preuves historiques

Un système correctement reconfiguré après l'incident ne permet pas automatiquement de déterminer quel était son état avant ou pendant l'attaque. C'est pourquoi nous consignons séparément les constatations historiques et les mesures correctives prises par la suite. Cela permet d'éviter que l'état amélioré après l'incident ne soit considéré rétrospectivement comme une preuve de faits antérieurs.

Cadre juridique et réglementaire

En matière de traitement des données à caractère personnel, les principes énoncés à l'article 5 du RGPD continuent de s'appliquer, ainsi que l'exigence d'une base juridique valable conformément à l'article 6 du RGPD. L'article 32 du RGPD exige la mise en œuvre de mesures techniques et organisationnelles appropriées, compte tenu du risque, et mentionne notamment la confidentialité, l'intégrité, la disponibilité, la résilience ainsi que la capacité à rétablir rapidement la disponibilité et l'accès après un incident.

En cas de violation de la protection des données à caractère personnel, les articles 33 et 34 du RGPD peuvent s'appliquer. L'article 33 prévoit, sous certaines conditions, une notification à l'autorité de contrôle en principe sans délai et, si possible, dans les 72 heures suivant la prise de connaissance de la violation, et exige, en vertu du paragraphe 5, une documentation relative à la violation, à ses conséquences et aux mesures correctives prises. En cas de risque présumé élevé, l’article 34 peut en outre exiger la notification des personnes concernées. Le respect des conditions requises est évalué au regard de la législation sur la protection des données ; la criminalistique fournit les éléments factuels techniques.

Pour les entreprises relevant de la nouvelle loi sur la sécurité informatique (BSIG), qui entrera en vigueur en décembre 2025, des obligations supplémentaires peuvent s'appliquer aux entités particulièrement importantes et importantes. Selon leur classification, celles-ci comprennent des exigences en matière de gestion des risques liés à la cybersécurité, ainsi que de traitement et de signalement des incidents de sécurité majeurs. Les obligations de la direction sont expressément mentionnées dans la version actuelle de la loi BSIG. Pour déterminer si une entreprise donnée est concernée et quels sont les délais ou obligations applicables dans chaque cas particulier, il convient de se référer à la classification légale en vigueur.

En ce qui concerne les données relatives aux salariés, l'article 226 de la BDSG et les droits de cogestion au sein de l'entreprise peuvent également s'appliquer. Même lors d'un incident cybernétique, la possibilité technique d'accéder aux données ne confère pas pour autant un champ d'enquête illimité.

LanCologne fournit des conclusions techniques et en documente le raisonnement. Les décisions relatives aux obligations de déclaration, à la responsabilité, aux mesures relevant du droit du travail ou à toute autre conséquence juridique restent du ressort des organes compétents de l'entreprise, des délégués à la protection des données et des conseillers juridiques.

LanCologne pour l'analyse judiciaire et la restauration contrôlée

LanCologne allie la rigueur technique à une présentation compréhensible pour les décideurs. Nous documentons non seulement les mesures qui ont été mises en œuvre, mais aussi les faits techniques sur lesquels elles se fondaient et leurs limites d’interprétation. Cela garantit la traçabilité pour la direction, les conseillers juridiques, les assureurs et un éventuel contre-contrôle technique ultérieur.

Foire aux questions

🔗 Sujets connexes