Introduction
Les opérations de fusion-acquisition exposent les acheteurs et les vendeurs à des risques cyber et de protection des données pouvant affecter la valeur, la continuité et la responsabilité juridique. Ce guide propose une checklist pratique pour intégrer les contrôles techniques et de conformité privacy dans la due diligence.
Public concerné
- Équipes juridiques et conseillers M&A
- Directions financières et corporate development
- RSSI et responsables IT
- Délégués à la protection des données (DPO) et consultants privacy
Objectifs de la due diligence
- Vérifier la posture de sécurité de la cible
- Identifier les passifs réglementaires (GDPR, NIS2, DORA, AI Act, Cyber Resilience Act et transpositions nationales)
- Évaluer l'exposition aux incidents, litiges et obligations contractuelles
- Définir le plan de remédiation et l'allocation du risque contractualisé
Checklist opérationnelle (documents et preuves)
- Gouvernance et documentation
- Registre des activités de traitement
- Politiques de sécurité et de protection des données, plan d'incident
- Nomination des rôles : DPO, propriétaires sécurité, équipe de gestion des incidents
- Rapports d'audit internes
Demander : copie du registre, versions récentes des politiques, comptes rendus d'audit.
- Inventaire des actifs et architecture
- Inventaire des actifs (serveurs, endpoints, cloud, applications) et schémas réseau
- Liste des prestataires critiques et contrats de service
- Software bill of materials (SBOM) si disponible
Preuves : inventaires exportables, diagrammes, contrats avec SLA.
- Contrôles techniques et gestion des vulnérabilités
- Rapports récents de tests d'intrusion et d'évaluation des vulnérabilités
- Processus de gestion des correctifs
- Chiffrement des données, gestion des clés, hardening
- Gestion des identités et des accès : MFA, gestion des comptes privilégiés
Demander : rapports pentest, calendriers de remédiation, configurations de sécurité.
- Sauvegarde, continuité et résilience
- Politiques de backup et tests de restauration documentés
- Plan de continuité d'activité et reprise après sinistre
- Exercices de résilience réalisés
Vérifier les tests de restauration et objectifs RTO/RPO.
- Réponse aux incidents et capacité médico-légale
- Plan de réponse aux incidents et playbooks
- Procédures de notification aux autorités et aux personnes concernées (notification de violation de données)
- Rétention et intégrité des logs pour analyses forensiques
Demander : rapports d'incidents passés, analyses post-mortem et mesures correctives.
- Protection des données et confidentialité
- DPIA pour traitements à risque élevé
- Contrats de sous-traitance (DPA) et garanties contractuelles
- Politiques de minimisation, conservation et suppression des données
- Traçabilité des demandes relatives aux droits des personnes
Documents : DPIA, DPA, registres de demandes.
- Conformité réglementaire
- Cartographie des obligations applicables (GDPR, NIS2, DORA pour le secteur financier, AI Act pour systèmes à risque, Cyber Resilience Act)
- Procédures en cours avec autorités de contrôle
- Certifications (ISO 27001, SOC 2) et audits externes
Vérifier notifications formelles, inspections et plans de mise en conformité.
- Contrats, licences et propriété intellectuelle
- Titularité du code source, clauses de transfert de PI
- Conformité des licences logicielles et OSS
- Clauses contractuelles sur responsabilités en cas d'incident
Contrôler inventaire licences, accords de transfert, escrow code.
- Tiers et chaîne d'approvisionnement
- Évaluation du risque fournisseurs : sous-traitants, cloud, MSP
- Procédures d'onboarding, droits d'audit et pénalités
Demander la liste des fournisseurs critiques et évaluations récentes.
- Finances et assurances
- Estimation des coûts de remédiation post-closing
- Couverture assurance cyber, exclusions et limites
- Historique des sinistres
Preuves : polices, déclarations de sinistre, correspondances avec assureurs.
Évaluation des risques et priorisation
Construire une matrice de risque (probabilité x impact). Classer les problèmes :
- Critiques : remédiation avant clôture ou ajustement du prix
- Élevées : plan contraignant de remédiation dans l'acte d'achat
- Modérées : garanties et mécanismes d'escrow
- Faibles : recommandations post-closing
Clauses contractuelles recommandées
- Représentations et garanties spécifiques à la sécurité et conformité
- Indemnités, escrow et plafonds liés aux coûts de remédiation
- Droit d'audit post-closing et engagements d'intégration
Plan d'intégration et remédiation
Élaborer un playbook post-closing avec priorités, propriétaires, délais et budget. Prioriser :
- Correction des vulnérabilités critiques
- Renforcement des contrôles d'accès et activation du MFA
- Harmonisation des politiques privacy et DPIA
- Revue des contrats fournisseurs critiques
Checklist rapide (actions immédiates)
- Obtenir le registre des traitements et DPIA
- Demander rapports pentest et preuves de remédiation
- Vérifier plan de réponse aux incidents et conservation des logs
- Contrôler assurance cyber et sinistres antérieurs
- Insérer clauses contractuelles spécifiques
Conclusion
Une due diligence cyber et privacy structurée diminue l'incertitude et protège la valeur de l'opération. Faire collaborer dès le départ juristes, financiers et experts techniques et traduire les risques en mesures contractuelles et opérationnelles est la clé d'une acquisition sécurisée.
