Responsabilite juridique : que se passe-t-il si votre MSSP est pirate ?
Confier sa securite a un prestataire externe ne signifie pas s'en laver les mains. Quand un incident survient chez votre MSSP, les questions de responsabilite deviennent vite complexes. Voici ce que vous devez savoir pour anticiper et vous proteger.
Le droit de la responsabilite en matiere cyber evolue. La jurisprudence reste limitee en France. Ce qui suit est une analyse basee sur les principes generaux, pas un conseil juridique.
Partage des responsabilites en cas d'incident
Externaliser sa securite a un MSSP ne transfere pas votre responsabilite vis-a-vis de vos clients et regulateurs. Vous restez le responsable de traitement et devez pouvoir justifier des mesures prises.
Un membre du collectif a vecu le piratage de son MSSP en 2022. "Mon premier reflexe a ete de penser que c'etait leur probleme. Mon avocat m'a vite explique que j'allais devoir me justifier aussi." Cette experience illustre parfaitement le piege dans lequel tombent beaucoup de decideurs IT.
Votre responsabilite residuelle
Meme avec un contrat MSSP en bonne et due forme, vous conservez plusieurs obligations. D'abord, vous devez prouver que vous avez selectionne un prestataire competent — ce qu'on appelle le "devoir de diligence dans le choix". Ensuite, vous restez responsable de la supervision globale : un MSSP execute, mais vous pilotez.
Pour les entreprises soumises au RGPD, la situation est claire : vous demeurez responsable de traitement. Le MSSP n'est qu'un sous-traitant au sens de l'article 28. Si une fuite de donnees survient suite a une defaillance du MSSP, c'est vers vous que la CNIL se tournera en premier. Pour approfondir les implications reglementaires, consultez notre dossier sur la gestion des donnees personnelles avec un MSSP.
La responsabilite du MSSP
Le MSSP engage sa responsabilite contractuelle sur le perimetre defini dans le contrat. Comme l'explique CrowdStrike dans sa presentation des MSSP, ces prestataires assurent une surveillance continue mais ne peuvent garantir l'absence totale d'incidents.
En pratique, le MSSP peut etre tenu responsable s'il n'a pas respecte ses engagements contractuels : delais de detection non tenus, alertes non transmises, procedures d'escalade ignorees. Mais attention aux clauses limitatives de responsabilite, souvent tres favorables au prestataire.
Obligations legales du MSSP
Obligation de moyens vs de resultat
Point essentiel : la quasi-totalite des contrats MSSP stipulent une obligation de moyens, pas de resultat. Concretement, le prestataire s'engage a mettre en oeuvre les ressources et competences necessaires, mais ne garantit pas l'absence d'intrusion.
Cette distinction a des consequences majeures en cas de litige. Avec une obligation de moyens, c'est a vous de prouver que le MSSP n'a pas deploye les efforts promis. Avec une obligation de resultat (rare), c'est au MSSP de prouver qu'il a fait tout ce qu'il fallait.
Selon les analyses du Forum des competences en cybersecurite, cette nuance juridique est souvent mal comprise par les clients au moment de la signature.
Devoir d'alerte
Le MSSP a une obligation d'information et d'alerte. S'il detecte une menace ou une vulnerabilite, il doit vous en informer dans des delais raisonnables — generalement definis contractuellement. Ce devoir d'alerte s'etend aussi aux evolutions reglementaires qui pourraient impacter votre securite.
Pour bien comprendre le role et les obligations d'un MSSP, notre guide pour comprendre le fonctionnement des MSSP detaille ces aspects fondamentaux.
Assurances cyber et couvertures
Votre assurance cyber
Avoir un MSSP ne vous dispense pas de souscrire votre propre assurance cyber. Au contraire, les assureurs apprecient cette demarche et peuvent vous proposer de meilleures conditions. Mais attention : votre police doit couvrir les incidents impliquant vos sous-traitants.
Verifiez specifiquement que votre contrat d'assurance couvre les scenarios de "supply chain attack" — ces attaques qui transitent par un prestataire pour atteindre votre SI. Le marche des services de cybersecurite geres evolue rapidement, et les assureurs adaptent leurs offres en consequence.
L'assurance du MSSP
Exigez une attestation d'assurance responsabilite civile professionnelle de votre MSSP. Verifiez les montants de couverture et les exclusions. Un MSSP serieux dispose d'une RC Pro avec des plafonds adaptes a son activite — comptez au minimum 1 a 2 millions d'euros pour une PME.
Constat du collectif
Sur 10 contrats MSSP analyses, 8 contenaient un plafond d'indemnisation limite a 12 mois de prestation, soit souvent moins de 50 000 EUR pour une PME.
Analyse de clauses contractuelles reelles partagees par les membres
Clauses de limitation a negocier
Notre position : le MSSP est un partenaire, pas un paratonnerre. Vous ne pouvez pas lui deleguer votre responsabilite, seulement partager les efforts de securisation. Cette realite doit se refleter dans le contrat.
Plusieurs points meritent une negociation attentive. D'abord, le plafond d'indemnisation : essayez d'obtenir un minimum de 24 mois de prestation ou un montant fixe plus protecteur. Ensuite, les delais de notification : en cas de breach chez le MSSP, vous devez etre informe dans les heures, pas les jours.
La question de la reversibilite merite aussi attention. Si vous devez changer de prestataire suite a un incident, quelles sont les conditions ? Notre article sur la reversibilite et le changement de MSSP aborde ces enjeux en detail.
Points de responsabilite a clarifier avec votre MSSP
- ✓ Perimetre exact de la responsabilite du MSSP
- ✓ Plafond d'indemnisation en cas de manquement
- ✓ Existence et montant de l'assurance RC du MSSP
- ✓ Procedure de notification en cas de breach chez le MSSP
- ✓ Clauses de cooperation en cas de litige avec un tiers
Ces aspects contractuels s'inscrivent dans un cadre reglementaire plus large. Pour une vision complete des obligations legales, consultez notre dossier sur la conformite reglementaire en cybersecurite.
Question frequente
Si mon MSSP se fait pirater, ma responsabilite est-elle engagee ?
Potentiellement oui. Vous devez prouver que vous avez choisi un prestataire competent et que vous avez mis en place une supervision adequate. Le MSSP peut etre co-responsable mais ne vous exonere pas.