devons-nous informer notre client s'il y a eu une fuite de données

Généralement oui, si l'incident affecte la prestation envers ce client

Dans la plupart des cas, vous devez signaler un incident à votre client, mais pas chaque incident et pas à tout le monde. L'article 21, paragraphe 2, de la directive NIS2 mentionne « la gestion des incidents » comme l'une des dix mesures obligatoires, et la plupart des questionnaires clients traduisent cela par : disposez-vous d'un processus pour signaler les incidents, à qui, et dans quel délai. C'est différent d'une obligation légale de signalement à une autorité de surveillance — la question de votre client porte sur l'accord contractuel ou opérationnel entre vous et lui, non sur l'obligation de signalement que la loi sur la cybersécurité imposera bientôt à certaines entités.

Une violation de données qui affecte uniquement vos propres systèmes internes et ne touche aucune donnée ou prestation de ce client tombe souvent en dehors de l'accord. Dès lors que l'incident affecte bien des données, des systèmes ou des livraisons pertinents pour ce client, le signalement s'impose — généralement dans le délai stipulé dans le contrat ou l'accord de traitement, non dans un délai que nous pourrions énoncer ici. Vérifiez donc d'abord ce qui est convenu dans votre propre accord avec ce client, car cela prime sur une réponse générale dans un questionnaire.

Ce que la preuve est et ce que vous répondez sans procédure

La preuve sous-jacente est la procédure de traitement des incidents de cybersécurité : elle précise qui décide en interne si quelque chose doit être signalé, à qui, et dans quel délai. Si vous n'avez pas consigné cette procédure, alors « non » est la réponse factuellement correcte — un oui sans document ne tient pas lors d'un audit. Les clients qui posent cette question posent souvent dans le même questionnaire aussi la question de politique relative à l'analyse des risques et à la sécurité des systèmes d'information, car la gestion des incidents à l'article 21, paragraphe 2, NIS2 et à l'annexe A de l'ISO/IEC 27001 est considérée comme faisant partie intégrante de la politique de sécurité, non comme un processus isolé.