Hypothèse de travail : la notification d'incident comme donnée de marché

La notification d'incident est née comme une obligation de conformité. Une entité constate un événement de sécurité ou une violation de données, et elle en informe une autorité dans un délai contraint. L'acte est pensé comme un rapport de l'entité vers le régulateur, dans une relation verticale et largement confidentielle. L'hypothèse de travail proposée ici consiste à changer de point de vue : et si ce flux d'obligations produisait, presque à son insu, une donnée de marché, c'est-à-dire une information datée, structurée et comparable, exploitable par des tiers pour évaluer un secteur, un fournisseur ou un concurrent ?

La question n'est ni rhétorique ni acquise. Elle suppose de distinguer avec soin ce qui, dans le processus de notification, devient effectivement observable de l'extérieur. Elle suppose aussi d'identifier les biais qui rendraient l'indicateur trompeur. Les analyses de corpus réglementaires publiées par l'Observatoire de l'Intelligence Économique, comme les affaires suivies au fil de leur instruction par Le Fil de la Veille, indiquent que la matière publique existe mais qu'elle est fragmentée, ce qui est précisément la situation où une hypothèse de travail a de la valeur : le gisement est plausible, son exploitation reste à démontrer.

Notifier, communiquer, publier : trois actes que l'usage confond

Notifier consiste à informer une autorité compétente, dans un délai fixé par le texte applicable, d'un incident répondant à des critères de qualification. L'acte est adressé, daté et généralement confidentiel. Communiquer consiste à informer les personnes concernées lorsqu'un risque élevé pèse sur leurs droits ou sur leurs intérêts. L'acte est individuel dans son principe, mais il devient collectif dès qu'il porte sur un grand nombre de personnes, et il devient alors observable. Publier, enfin, consiste à rendre l'information accessible à tous, soit par décision de l'entité, soit par obligation de marché, soit par l'effet d'une décision de l'autorité rendue publique.

Ces trois actes ne se déclenchent ni aux mêmes seuils ni dans les mêmes délais, et surtout ils ne se déduisent pas l'un de l'autre. Une entité peut notifier sans jamais communiquer, si le risque est jugé maîtrisé. Elle peut communiquer sans publier, si le périmètre des personnes touchées est restreint. La conséquence est déterminante pour l'hypothèse : ce qu'un observateur extérieur voit n'est pas l'ensemble des incidents notifiés, mais l'intersection entre les incidents notifiés et les régimes qui imposent une trace publique.

Quelle fraction du flux devient réellement observable

Plusieurs mécanismes rendent une notification visible sans intervention de l'entité. Le premier est la décision de sanction ou de mise en demeure rendue publique par une autorité de protection des données ou par un régulateur sectoriel : elle expose rétrospectivement l'incident, sa qualification et parfois sa chronologie. Le deuxième est l'obligation d'information du marché financier, qui impose à une société cotée de porter à la connaissance des investisseurs tout événement de nature à influencer significativement le cours. Le troisième est la communication aux personnes concernées à grande échelle, qui finit systématiquement par circuler.

S'y ajoutent les statistiques agrégées publiées par les autorités, qui ne nomment pas les entités mais donnent un dénominateur sectoriel, et les rapports d'activité qui décrivent la typologie des incidents traités dans l'année. Aucune de ces sources ne fournit à elle seule une image complète. Ensemble, elles dessinent une couverture partielle mais datée, et c'est cette caractéristique de datation qui distingue la notification d'incident des autres signaux de risque : contrairement à une rumeur ou à un article de presse, elle porte une date administrative opposable.

Le biais de régime, principale menace sur la validité de l'indicateur

Un indicateur construit sur les notifications publiques mesure d'abord l'intensité de l'obligation, ensuite seulement l'exposition réelle. Une entité soumise à un régime exigeant, parce qu'elle est cotée, parce qu'elle est qualifiée d'entité essentielle ou parce qu'elle opère dans un secteur financier étroitement supervisé, produira mécaniquement plus de traces publiques qu'une entité de taille et d'exposition identiques opérant hors de ces régimes. Lire la première comme plus risquée que la seconde constitue une erreur d'inférence classique, et cette erreur est d'autant plus tentante que les données de la première sont faciles à collecter.

Le correctif méthodologique consiste à normaliser par régime avant toute comparaison. Concrètement, on ne compare que des entités relevant du même cadre d'obligation, et l'on renonce explicitement aux classements transversaux tant que le dénominateur n'est pas établi. Un second biais, plus insidieux, tient à la maturité de détection : une organisation qui notifie beaucoup détecte peut-être simplement mieux. La corrélation entre volume de notifications et qualité du dispositif de sécurité est donc ambiguë, et cette ambiguïté doit être signalée dans toute restitution, faute de quoi l'indicateur produit exactement l'inverse du jugement qu'il prétend éclairer.

Trois hypothèses de travail dérivées et leurs critères de réfutation

Première hypothèse : la fraction publique des notifications suffit à établir une tendance sectorielle fiable, même si elle ne permet aucun classement d'entités. Elle se réfute en comparant, sur plusieurs années, la courbe construite à partir des sources publiques avec les volumes agrégés publiés par les autorités. Si les deux divergent en tendance et pas seulement en niveau, l'hypothèse tombe.

Deuxième hypothèse : la notification d'incident constitue un indicateur avancé pour la chaîne d'approvisionnement, parce qu'un incident chez un prestataire mutualisé précède les incidents constatés chez ses clients. Elle se réfute si l'analyse rétrospective de cas documentés ne fait apparaître aucun décalage temporel systématique. Troisième hypothèse : la valeur de la donnée réside dans la chronologie plutôt que dans le volume, c'est-à-dire dans l'écart entre la date de survenue, la date de détection et la date de notification. Elle se réfute si cet écart s'avère non renseigné dans la majorité des sources publiques exploitables, ce qui constituerait une limite de disponibilité et non une limite de pertinence.

Un indicateur bâti sur des obligations légales mesure d'abord le droit applicable, ensuite seulement le risque réel : oublier cet ordre suffit à inverser les conclusions.

Ce que cela impliquerait pour une cellule de veille réglementaire et fournisseurs

Si l'hypothèse se vérifie, la veille réglementaire cesse d'être un exercice de suivi de textes pour devenir un exercice de collecte de traces. Le travail consiste alors à identifier, pour chaque fournisseur critique, le régime d'obligation auquel il est soumis, puis à instrumenter les canaux par lesquels une notification devient publique dans ce régime. Cette cartographie préalable coûte du temps mais elle se fait une fois, et elle détermine entièrement la qualité de ce que l'on observera ensuite.

La difficulté opérationnelle est la dispersion : registres d'autorités nationales, communiqués réglementés, décisions publiées, portails sectoriels, presse spécialisée, et tout cela dans plusieurs langues et plusieurs formats. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, hiérarchise les signaux par pertinence et rattache chaque alerte à son document d'origine, ce qui rend la chaîne de garde vérifiable jusqu'à la décision ou au communiqué initial. Le cadrage du périmètre et la qualification juridique des faits restent, eux, à la charge de l'organisation, en lien avec sa direction juridique.

Questions fréquentes

Toutes les notifications d'incident finissent-elles par devenir publiques ?

Non, et c'est la limite centrale de l'hypothèse. La notification à une autorité est un acte confidentiel par défaut. Elle ne devient publique que si un mécanisme distinct l'y contraint : une décision de sanction rendue publique, une obligation d'information du marché, une communication de grande ampleur aux personnes concernées, ou une divulgation par un tiers. La majorité des notifications reste donc invisible de l'extérieur, ce qui interdit tout raisonnement en valeur absolue et n'autorise, au mieux, que des comparaisons à régime constant et des lectures de tendance.

En quoi une notification d'incident diffère-t-elle d'une simple information de presse sur une cyberattaque ?

Par son statut documentaire. Un article de presse rapporte un fait, avec la qualité variable de ses sources. Une notification, lorsqu'elle devient visible, porte une date administrative, une qualification juridique et un émetteur identifié qui engage sa responsabilité. Pour un analyste, cette différence est décisive : elle transforme une mention en source primaire, donc en élément utilisable dans une chaîne de garde. C'est aussi pourquoi les deux ne se substituent pas : la presse détecte plus tôt, la notification qualifie plus sûrement.

Par où commencer pour tester cette hypothèse à petite échelle ?

Par un périmètre volontairement étroit : cinq à dix fournisseurs critiques, un seul secteur, un seul régime d'obligation. Pour chacun, on établit le cadre applicable, on recense les canaux de publication associés, puis on reconstitue rétrospectivement les vingt-quatre derniers mois. Cette reconstitution répond seule à la question qui compte : la donnée existe-t-elle en quantité suffisante pour être exploitée ? Si oui, l'instrumentation continue se justifie ; si non, l'effort se reporte utilement sur les statistiques agrégées d'autorité, qui donnent une tendance sectorielle sans exiger de collecte lourde.