Les hackers publient des données de l'administration de Berlin après le délai de ransomware

Les pirates ont publié une grande collection de fichiers de l'administration de l'État de Berlin après l'expiration d'un délai de remboursement, a rapporté Euronews le 5 septembre. La police a identifié le groupe comme Rhysida et a déclaré que le matériel contenait des informations personnelles sur les fonctionnaires civils. La divulgation met la protection des dossiers gouvernementaux et des personnes touchées sous contrôle.

Selon le rapport, le Sénat de Berlin avait refusé de payer la demande avant sa publication. Certains fichiers ont été décrits comme liés à la planification d'urgence et à la sécurité. Ces descriptions nécessitent une évaluation minutieuse : les rapports disponibles ne démontrent pas que chaque document est authentique, actuel ou opérationnel utile, ou identifient un état dirigant les pirates.

Deux droits de protection différents

Les règles européennes traitent à la fois la résilience des systèmes publics et les conséquences de l’exposition des informations personnelles. Dans sa déclaration d'adoption de novembre 2022, le Conseil de l'Union européenne a expliqué que le NIS2 étend les exigences en matière de cybersécurité aux administrations publiques centrales et régionales. Elle établit des exigences minimales en matière de gestion des risques et de rapport d'incidents, ainsi que des arrangements pour la coopération entre les autorités nationales en matière d'incident cyber sérieux.

Ce cadre a des limites importantes. Le Conseil a explicitement exclu les activités impliquant la défense, la sécurité nationale, la sécurité publique et l'application de la loi, ainsi que plusieurs autres institutions. Par conséquent, la simple présence de documents gouvernementaux dans une fuite de données ne définit pas quelles dispositions de cybersécurité régissent chaque système affecté. La détermination des entités responsables et de la nature de leurs activités reste essentielle pour l’évaluation des obligations applicables.

La notification et l’évaluation suivante

Pour les renseignements personnels couverts par le Règlement général sur la protection des données, l’article 33 exige la notification à l’autorité de contrôle compétente sans retard injustifié et, le cas échéant, dans les 72 heures d’avertissement. Une exception s’applique lorsque une violation est improbable de créer des risques pour les droits et libertés des personnes. Lorsque la notification est tardive, le contrôleur doit expliquer le retard; ce sont des exigences en cours, pas des résultats d’une violation à Berlin.

Le règlement exige également la communication aux personnes touchées lorsque une violation est susceptible de créer un risque élevé, sous réserve de ses exceptions. Les prochains développements significatifs seraient donc un rapport autoritaire de ce qui a été exposé, des risques impliqués et de la réponse protectrice. La divulgation publique des fichiers volés seule ne peut pas déterminer si les obligations de notification ont été remplies ou quelles conséquences de sécurité durables suivront.