Bilans, liasses fiscales, données bancaires de dizaines d'entreprises clientes : votre cabinet est une cible privilégiée pour les ransomwares à effet domino. Vous avez aussi un rôle pivot envers vos clients PME.
Un cabinet d'expertise comptable est un agrégateur de données financières. Compromettre un cabinet, c'est accéder en une seule attaque aux bilans, paies, liasses fiscales et coordonnées bancaires de dizaines d'entreprises. Les attaquants le savent.
La période fiscale est un moment d'attaque privilégié : volume d'activité, équipes en surcharge, vigilance affaiblie. C'est aussi celui où une indisponibilité du système coûte le plus cher.
Spécificité fondamentale du métier comptable : votre cabinet endosse simultanément deux rôles RGPD selon la mission. Vos obligations changent selon le rôle endossé.
Pour la gestion de votre cabinet (RH, paie, prospection, contacts) et pour les missions où vous décidez des finalités du traitement : audit légal, conseil, accompagnement spécifique.
Pour la tenue comptable, paie, liasses fiscales effectuées au nom et pour le compte de vos clients. Vous traitez leurs données selon leurs instructions.
NIS2 fait l'objet d'une transposition en droit français en cours. Votre cabinet n'est probablement pas directement assujetti : mais vos clients soumis à NIS2 (banques, collectivités, hôpitaux, opérateurs essentiels, mais aussi de plus en plus d'ETI industrielles) vont contractualiser des exigences de sécurité avec leurs prestataires.
Concrètement : un client soumis à NIS2 va vous demander un audit récent, des engagements contractuels sur la sécurité, des preuves de continuité d'activité. Sans cela, le contrat ne pourra plus être maintenu.
Source : ANSSI · cyber.gouv.fr · projet de loi Résilience (en cours)
Si vous tenez la comptabilité ou réalisez le commissariat aux comptes pour des banques, sociétés de gestion, prestataires de paiement, vous êtes prestataire d'entités soumises à DORA. Elles vont vous demander des preuves de résilience numérique : tests, plan de continuité, encadrement contractuel des prestataires, gestion documentée des incidents.
Inventaire des données traitées, des accès, des prestataires, des flux entre cabinet et clients. C'est la base d'un registre RGPD utile.
MFA généralisée, chiffrement des supports et des sauvegardes, durcissement des postes, segmentation des accès.
Procédures techniques de réponse aux incidents, preuves de diligence pour les contrats clients, supports pour vos sous-traitances RGPD.
Plan de continuité spécifiquement testé avant la période fiscale. Astreinte renforcée si vous le souhaitez.
