No Pre-Established Legal / Breach Coach Contact

Aucun conseil juridique spécialisé en incident cyber — le rôle souvent appelé « breach coach » — n’est identifié avant l’incident : pas de contact établi, pas de cadre d’engagement, pas même un premier échange.

C’est structurel : la fonction n’appartient à personne. Le conseil juridique habituel de l’organisation (contrats, social, commercial) n’est pas spécialiste des incidents ; l’équipe technique ne pense pas « juridique » avant d’y être forcée ; et engager un spécialiste « pour rien » ressemble à une dépense sans objet tant que rien n’a brûlé. Résultat : le choix d’un conseil se fait en urgence, sans comparaison possible, au moment précis où l’organisation est la moins capable d’évaluer ce qu’on lui propose.

Trois mécanismes, dont deux sont peu connus des équipes techniques :

• les délais courent : les obligations déclenchées par un incident — notification aux autorités compétentes, information des personnes concernées, obligations contractuelles envers les clients — partent de moments précis et se qualifient mal à chaud. Notifier trop tard expose ; notifier trop large fait des dégâts inutiles ; mal qualifier expose deux fois. Un conseil spécialisé arbitre ces questions en heures, une équipe non préparée délibère en jours ;
• la structuration de l’investigation : un conseil engagé tôt peut cadrer qui mandate qui et comment circulent les constats, d’une manière qui protège les travaux et les échanges — une structuration impossible à poser rétroactivement ;
• les écrits survivent : les communications produites pendant l’incident, internes comme externes, ont une vie juridique longue. Les rédiger sans regard spécialisé se paie longtemps après la remédiation.

Trois questions, à poser aux personnes qui géreraient réellement l’incident :

• si un chiffrement massif était découvert ce soir, quel conseil spécialisé appelleriez-vous — un nom et un numéro, pas une intention ? Et ce conseil sait-il que vous existez ?
• connaissez-vous les obligations de notification qui s’appliquent à votre situation — juridictions, secteurs d’activité des clients, engagements contractuels — sans avoir à les rechercher pendant l’incident ?
• si l’organisation est assurée : le conseil du panel de l’assureur est-il identifié, et savez-vous si la police permet d’en choisir un autre ?

Trois réponses vagues signent le pattern. Une variante fréquente : un conseil existe « quelque part » — dans la police d’assurance, dans un contrat cadre — mais les répondants opérationnels l’ignorent, ce qui produit le même résultat la nuit de l’incident.

L’essentiel tient en une demi-journée d’effort, réparti :

• identifier un conseil spécialisé et tenir un premier échange à froid — une heure suffit : périmètre, coordonnées d’urgence, modalités d’engagement. Un cadre pré-négocié sans rétention payante est une pratique courante ;
• si l’organisation est assurée : croiser avec le panel de l’assureur (voir MFL-005), pour ne pas découvrir l’incompatibilité pendant la crise ;
• cartographier à froid les obligations de notification applicables — registres, délais, seuils — et ranger la synthèse dans le plan de réponse ;
• inscrire le contact juridique dans la fiche réflexe des premières heures, au même rang que les contacts techniques : l’appel au conseil n’est pas une étape d’après, c’est une étape du début ;
• inclure le conseil dans un exercice (voir MFL-011), au moins une fois : le premier contact réel ne doit pas avoir lieu sous adrénaline.

Engager un conseil maintenant reste très supérieur à ne pas le faire : les délais de notification courent peut-être déjà, et chaque jour sans cadrage juridique produit des écrits non maîtrisés.

Voies rapides, par ordre d’efficacité :

• le panel de l’assureur, si l’organisation est assurée — un appel à la ligne de sinistre ;
• la recommandation d’un prestataire de réponse à incident déjà engagé, qui travaille avec ces conseils en permanence ;
• les associations et réseaux professionnels du secteur juridique.

En attendant l’engagement effectif : horodater les découvertes clés (détection, qualification, décisions), canaliser les communications externes par une seule personne, et suspendre les conclusions écrites hâtives — qualifications juridiques improvisées, attributions de responsabilité, promesses aux clients. Distinguer les deux registres : les faits s’écrivent, horodatés et sans interprétation — c’est la matière de l’investigation et la protection de tous. Les qualifications — nature juridique de l’incident, attribution de responsabilité, engagements envers les clients — attendent le conseil. Une qualification improvisée survit longtemps à sa correction.