Le contexte
La loi n° 05-20 relative à la cybersécurité a été promulguée en juillet 2020. Elle vise à renforcer la sécurité des systèmes d'information des organismes les plus sensibles et à organiser la coopération nationale face aux incidents.
Elle s'appuie sur la Direction générale de la sécurité des systèmes d'information (DGSSI), qui joue le rôle d'autorité nationale de la cybersécurité, et sur son centre de veille et de réponse aux incidents, le maCERT.
Qui est concerné ?
La loi s'applique principalement :
- aux administrations de l'État, aux collectivités territoriales et aux établissements et entreprises publics ;
- aux infrastructures d'importance vitale (IIV), c'est-à-dire les organismes dont l'arrêt aurait un impact grave sur le fonctionnement du pays ;
- à certains opérateurs et prestataires : exploitants de réseaux de télécommunications, fournisseurs d'accès à Internet, prestataires de services numériques et de cybersécurité.
Une PME privée n'est généralement pas directement assujettie. Mais si vous êtes fournisseur ou sous-traitant d'un organisme concerné, ses exigences de sécurité vous seront de plus en plus souvent répercutées contractuellement.
Les grands principes
Pour les organismes concernés, le texte et ses décrets d'application prévoient notamment :
- la mise en place d'une politique de sécurité des systèmes d'information et la désignation d'un responsable ;
- l'identification et la classification des systèmes et des données selon leur sensibilité ;
- la déclaration des incidents de sécurité à l'autorité nationale ;
- des audits de sécurité réguliers pour les systèmes les plus sensibles ;
- des règles spécifiques pour l'hébergement des données sensibles des infrastructures d'importance vitale.
Pourquoi cela concerne aussi les PME
Même sans obligation légale, les principes de la loi 05-20 et du référentiel de la DGSSI constituent une excellente base pour toute entreprise :
- Savoir ce que l'on protège : inventaire des systèmes et des données critiques.
- Désigner un responsable : interne ou prestataire, quelqu'un doit piloter la sécurité.
- Se préparer aux incidents : une procédure écrite, des contacts, des sauvegardes isolées.
- Contrôler régulièrement : un audit périodique révèle les dérives avant les attaquants.
Par ailleurs, la loi 09-08 relative à la protection des données personnelles, contrôlée par la CNDP, s'applique à toutes les entreprises qui traitent des données de clients, de patients ou de salariés, et impose des mesures de sécurité adaptées.
Par où commencer ?
- Réaliser un état des lieux de votre sécurité et de vos sauvegardes.
- Corriger les points critiques : authentification forte, pare-feu, mises à jour, sauvegarde immuable.
- Formaliser une politique de sécurité simple et une procédure d'incident.
- Sensibiliser les équipes, puis contrôler chaque année.
Nous accompagnons les organisations dans chacune de ces étapes. Demander un audit de sécurité.
Cet article est une synthèse à visée informative et ne constitue pas un avis juridique. Pour connaître précisément vos obligations, référez-vous au texte de la loi n° 05-20, à ses décrets d'application et aux publications de la DGSSI, et consultez un conseil juridique.