Cybersécurité PME : obligation légale et bonnes pratiques
Protéger les données de son entreprise n'est pas qu'une question de prudence : certaines obligations, comme celles du RGPD, s'y rattachent directement.
Par La rédaction 3 min de lecture
Aucun texte spécifique à la cybersécurité des PME n’a été vérifié à ce jour dans ce dossier : ce qui existe déjà, en revanche, c’est une obligation de sécurité qui découle du RGPD dès qu’une entreprise traite des données personnelles. Cette page part de ce seul point d’appui solide, et distingue ensuite ce qui relève de la loi et ce qui relève du simple bon sens.
Ce que la loi impose déjà, sans parler explicitement de « cybersécurité »
Le RGPD ne cite pas la cybersécurité en tant que telle, mais il pose un principe qui produit le même effet : tout traitement de données personnelles doit reposer sur une base légale et respecter un principe de proportionnalité. Une donnée mal protégée n’est pas traitée de façon proportionnée à ses risques. C’est un principe de cadrage, pas une norme technique détaillée : il n’indique ni logiciel, ni procédure, ni seuil précis à respecter. La protection des données personnelles impose déjà une part de cette vigilance, dès qu’un site ou un outil de gestion collecte des informations sur des clients ou des salariés.
Cette même logique se retrouve ailleurs dans le numérique de l’entreprise. La dématérialisation des factures pose la même question de sécurité des données, puisqu’elle fait transiter des informations qui doivent rester protégées. Les outils d’intelligence artificielle utilisés en entreprise soulèvent les mêmes questions de données, lorsqu’ils traitent des informations sur des personnes identifiables.
Ce qui relève de la prudence, et non d’une obligation chiffrée
En dehors de ce principe RGPD, la plupart des gestes de protection numérique restent des choix de prudence, non des obligations légales chiffrées : sauvegarder régulièrement ses données, renouveler ses mots de passe, appliquer les mises à jour proposées par les éditeurs de logiciels. Aucune loi ne fixe, dans ce dossier, de fréquence ou de modalité précise pour ces gestes. Ils relèvent de la décision de chaque entreprise, en fonction de son activité et de ce qu’elle a à protéger. La signature électronique est un autre outil numérique à sécuriser au même titre que les autres flux de données de l’entreprise.
Ce que cette page ne tranche pas
Cette page ne dit pas si votre secteur est soumis à une obligation de cybersécurité spécifique. Certaines activités (santé, finance, opérateurs jugés sensibles) peuvent être concernées par des textes propres, mais aucun de ces textes n’a été vérifié en source primaire pour cette page : ils ne sont donc ni cités ni écartés ici. Elle ne dit pas non plus si une assurance cyber est utile à votre situation, ni ce qu’impose une éventuelle notification en cas de fuite de données : ce sont des questions qui dépendent du cas et qui restent hors du périmètre de cet article.
Où vérifier, avant d’agir, ce qui s’applique à votre activité précise
Avant toute décision, la vérification passe par les organismes publics compétents en matière de sécurité numérique. Il s’agit d’un point de départ à vérifier soi-même, pas d’un résumé de leurs recommandations.
Poursuivre la lecture
