Qui est responsable quand notre fournisseur SaaS subit une violation ?

En général les deux, pour des choses différentes. Le fournisseur est responsable de la sécurité de son service et, selon le RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679)., un fournisseur agissant comme votre sous-traitant doit vous notifier dans les meilleurs délais après avoir pris connaissance d'une violation de données à caractère personnel. Vous, en tant que responsable du traitement des données de vos clients ou salariés, restez chargé d'évaluer le risque pour les personnes concernées et, si nécessaire, de notifier l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, ainsi que d'informer les personnes en cas de risque élevé. Si votre entreprise relève de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises., un incident important causé par un fournisseur peut déclencher vos propres obligations de notification, et NIS2 attend de vous que vous gériez la sécurité de la chaîne d'approvisionnement dans vos mesures de gestion des risques. Les contrats règlent une grande partie de la pratique : délais de notification, coopération, informations que vous recevrez et responsabilité. Préparez-vous avant : sachez quels fournisseurs détiennent quelles données, gardez leurs contacts sécurité et intégrez la violation chez un fournisseur à votre plan de réponse aux incidents. Votre loi nationale de transposition de NIS2 peut ajouter des détails ; vérifiez-la.

← Les 25 questions sur Sécurité du cloud et du SaaSTous les thèmes