Pourquoi les rayons vides sont aussi l’affaire du conseil d’administration

Le week-end dernier, l’un des plus grands groupes de distribution du Benelux a débranché, par précaution, une partie de ses systèmes informatiques et fait état d’un incident de cybersécurité. Le lendemain, la boutique en ligne était hors service, les centres de distribution à l’arrêt, et des trous béaient dans des rayons d’ordinaire impeccablement garnis. Le groupe lui-même table sur quelques jours à une semaine avant que tout ne tourne à nouveau.

Sur ce qui s’est passé exactement, le groupe reste très avare d’informations. Il a en revanche réagi vite, sans doute parce qu’il savait d’avance ce qu’il devait protéger.

Le commerce de détail, c’est de la logistique, et la logistique, c’est du logiciel. Qu’il tombe en panne ou soit piraté, et c’est toute la chaîne qui suit. Cela vaut pour chaque organisation, grande ou petite.

Tout conseil d’administration connaîtra un jour son cyberincident, et il y a fort à parier qu’il surviendra un week-end, parce que les attaquants choisissent délibérément ce moment. C’est précisément alors qu’apparaît toute la valeur d’un plan de crise. Pour autant qu’il en existe un. Qui décide de débrancher ? Qui appelle les clients et les fournisseurs ? Qui parle à la presse, et pour dire quoi ? Tout cela doit être fixé à l’avance.

Ces plans sont loin d’être prêts partout. C’est ce qu’a montré, en 2024, une enquête du GUBERNA Sounding Board Cybersecurity auprès d’administrateurs belges. Dans les banques et les compagnies d’assurance, la cybersécurité figure d’office à l’ordre du jour, avec une procédure rodée et un responsable désigné. En dehors de ce secteur, le sujet reste bien trop peu abordé. Que cet énième incident serve de coup de semonce.

Sept questions

C’est pourquoi le Sounding Board a dressé, dès 2024, la liste de sept questions que tout conseil d’administration doit se poser régulièrement. Ce dossier ne se confie pas au seul département informatique. En résumé, voici les questions vitales que le conseil d’administration doit poser :

1. Quelle est notre cyberstratégie, et quels joyaux de la couronne protège-t-elle ?
2. Quels sont nos cinq principaux risques, et que faisons-nous pour y remédier ?
3. Comment les collaborateurs sont-ils formés, et les administrateurs reçoivent-ils eux aussi le test de phishing dans leur boîte de réception ?
4. Quels fournisseurs ont accès à nos systèmes les plus sensibles ?
5. La cybersécurité est-elle intégrée à chaque grand projet ?
6. À quelle fréquence le conseil consulte-t-il un tableau de bord, et les résultats d’audit y figurent-ils ?
7. Qui est le propriétaire du plan de crise, et combien de fois a-t-il été testé ?

Pour poser ces questions, un administrateur n’a pas besoin de savoir ce qu’est un pare-feu. Le conseil décide du niveau de risque que l’organisation accepte de courir et du prix qu’elle est prête à y mettre. Le comité d’audit vérifie que les mesures fonctionnent. Et la direction fait rapport aux deux, dans un langage compréhensible.

La loi

Depuis le 18 octobre 2024, NIS2 est loi belge. Les organisations qui en relèvent doivent faire approuver leurs mesures de cybersécurité par leur organe d’administration, qui en assure la surveillance. Les administrateurs doivent eux-mêmes suivre une formation et peuvent être tenus personnellement responsables. Les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Dans les entités essentielles, un administrateur peut même être temporairement suspendu. D’ici avril 2027, ces entreprises devront démontrer qu’elles sont en règle.

L’exercice

Une recommandation du Sounding Board se détache des autres : exercez-vous vous-mêmes. Le conseil au complet, sur un scénario où les systèmes tombent, où des pirates exigent une rançon et où la presse attend devant la porte. Plusieurs entreprises belges l’ont réellement vécu ces dernières années. Cet exercice ne se délègue ni à l’informatique ni au comité d’audit.

Pour les conseils d’administration où la cybersécurité ne figure pas, ou à peine, à l’ordre du jour, le week-end dernier est le signal d’alarme. Inscrivez la cybersécurité à l’ordre du jour de la prochaine réunion du conseil. De préférence avant que les clients ne se retrouvent devant des rayons vides.