Au-delà du 8-K : constituer le dossier de preuves avant d’avoir quatre jours pour juger du caractère significatif

L’horloge que personne ne peut déclencher à votre place

L’Item 1.05 du formulaire 8-K impose la publication des incidents de cybersécurité significatifs, en couvrant la nature, la portée et le calendrier de l’incident ainsi que son impact significatif ou raisonnablement susceptible d’être significatif, y compris sur la situation financière et les résultats d’exploitation. Le dépôt doit intervenir dans les quatre jours ouvrés qui suivent le moment où l’émetteur détermine que l’incident est significatif. Lorsque des informations ne sont pas disponibles au moment du dépôt, l’émetteur l’indique et dépose un amendement dans les quatre jours ouvrés qui suivent le moment où elles deviennent disponibles.

La structure est inhabituelle. La plupart des délais réglementaires partent d’un événement. Celui-ci part d’un jugement, porté par l’entreprise, sur son propre incident. Cette conception fait peser l’essentiel sur le processus de détermination plutôt que sur le dépôt, et c’est sur ce processus de détermination que les inspecteurs, les avocats des plaignants et les conseils d’administration posent ensuite leurs questions.

Ce qu’ont montré les premières années de dépôts

Le profil des dépôts depuis l’entrée en vigueur de la règle est instructif. Parmi les entreprises ayant déposé un formulaire 8-K pour un incident de cybersécurité au cours de la période postérieure à avril 2024, une nette majorité l’a fait au titre de l’Item 8.01 - la rubrique générale de publication volontaire - plutôt qu’au titre de l’Item 1.05.

Cette répartition n’est pas une manœuvre d’évitement. Elle traduit une position réelle : une entreprise qui n’a pas déterminé qu’un incident est significatif, mais qui estime que les investisseurs doivent en être informés, dépose au titre du 8.01. Les propres orientations de la SEC encouragent précisément cette séparation, afin que l’Item 1.05 conserve sa valeur de signal du caractère significatif.

Ce que cela signifie en revanche, c’est que la décision de publication est désormais un jugement en deux étapes sous la pression du temps, chaque étape étant assortie d’une conséquence au regard du droit des valeurs mobilières, rendu alors que la réponse à l’incident est encore en cours. C’est une décision difficile à bien prendre, et extrêmement difficile à reconstituer après coup si vous ne l’avez pas consignée au fil de l’eau.

Ce que doit contenir le registre de détermination

1. Le moment où l’organisation a eu connaissance de l’incident pour la première fois, clairement distingué du moment de son escalade et de celui de la détermination
2. Ce qui était connu au moment de la détermination, par opposition à ce qui a été appris ensuite - la détermination est jugée sur les informations disponibles à ce moment-là
3. Qui a participé à la détermination et à quel titre, puisque le caractère significatif est un jugement que la règle confie à l’émetteur, et non à l’équipe de sécurité
4. Le raisonnement appliqué, y compris les estimations quantitatives de l’impact et les facteurs qualitatifs pris en compte
5. Pourquoi l’incident a été jugé significatif ou non, les déterminations négatives étant consignées avec autant de soin que les positives
6. Ce qui a changé par la suite, et si cela a déclenché une obligation d’amendement

Pourquoi consigner sur le moment compte plus que consigner de façon exhaustive

Une note de détermination rédigée une semaine plus tard, aussi soignée soit-elle, présente un défaut qu’aucun soin ne corrige : elle a été écrite en sachant ce qui s’est passé ensuite.

Si l’incident s’est révélé mineur, la note le reflétera inconsciemment. S’il s’est révélé grave, elle le reflétera aussi. Ni l’un ni l’autre n’est malhonnête, et les deux sont visibles pour quiconque lit la note à la lumière de l’issue. La valeur d’un registre de détermination tient presque entièrement au fait qu’il a été établi sur le moment, avant que quiconque sache comment les choses tourneraient.

C’est pourquoi le registre a besoin d’une date vérifiable plutôt que d’une date déclarée. Un document affirmant avoir été rédigé le 14 mars, dans un système où l’on peut fixer les dates, prouve nettement moins que le même document doté d’un horodatage vérifiable de manière indépendante. En matière de valeurs mobilières, où la question de savoir ce que la direction savait, et à quel moment, constitue souvent tout le litige, cette différence pèse réellement.

Le chevauchement avec les obligations européennes

Les sociétés cotées aux États-Unis qui ont des activités en Europe gèrent deux régimes d’incidents à la fois. Les mécanismes diffèrent - l’alerte précoce de 24 heures de NIS2 est plus rapide et a un seuil plus bas que l’Item 1.05, et DORA ajoute sa propre notification des incidents majeurs pour les entités financières - mais l’exigence de preuve sous-jacente est presque identique : une trace défendable et datée de ce qui était connu, à quel moment, et de ce qui a été décidé.

Mettre en place un seul processus de preuve des incidents qui alimente plusieurs déclarations réglementaires coûte nettement moins cher que de faire tourner des processus parallèles, et supprime un risque précis : l’incohérence entre ce que vous avez dit à un superviseur européen dans les 72 heures et ce que vous avez dit au marché une semaine plus tard. Le modèle de consolidation est présenté dans constituer une seule couche de preuves pour les entités à double régulation, et le détail de la règle propre aux États-Unis figure dans règles de la SEC sur la publication en matière de cybersécurité : ce que les entreprises américaines doivent savoir en 2026.

• Définissez le processus de détermination et ses participants avant un incident, et non pendant
• Consignez la prise de connaissance, l’escalade et la détermination comme trois événements distincts horodatés
• Documentez les déterminations négatives avec la même rigueur que les dépôts
• Ancrez les registres de détermination afin que leurs dates ne dépendent pas de vos propres systèmes
• Harmonisez les récits de publication américain et européen avant que l’un ou l’autre ne soit émis

Si vous souhaitez des registres de détermination d’incidents dont les dates sont vérifiables par un tiers, vous pouvez ancrer le premier en quelques minutes, ou découvrir le fonctionnement du modèle sur la page de la plateforme ROOTKey.