Due Diligence Cybersécurité Fusions Acquisitions

Processus de due diligence cyber M&A

La due diligence cyber M&A suit typiquement 4 phases : (1) Phase documentaire — revue des politiques de sécurité, des certifications (ISO 27001, SOC 2), des rapports d'audit et de pentest existants, des contrats de sous-traitance cyber, et des déclarations de violation de données passées. Durée : 1-2 semaines ; (2) Phase technique — scan de vulnérabilités externe (surface d'attaque exposée), revue de l'architecture réseau, évaluation de la configuration des systèmes critiques, et analyse des logs d'incidents. Durée : 1-2 semaines ; (3) Phase interviews — entretiens avec le RSSI, le DPO, le DSI, et les équipes IT sur les pratiques de sécurité, les incidents passés, les projets de sécurité en cours. Durée : 2-5 jours ; (4) Rapport et évaluation des risques — synthèse des risques identifiés (techniques, juridiques, réglementaires) avec estimation du coût de remédiation.

Le timing de la due diligence cyber dans le processus M&A : idéalement dans la phase de due diligence complète (entre la lettre d'intention et le closing), mais de plus en plus souvent initiée dès la phase préliminaire (indicative offer phase) pour les actifs à forte composante IT. Les délais serrés des M&A contraignent souvent la due diligence cyber à une revue partielle — il faut donc prioriser les risques les plus matériels.

Valorisation du risque cyber et impact sur le prix

Le coût de remédiation des risques cyber identifiés en due diligence influence directement les négociations. Méthodologie d'estimation : coût de correction des vulnérabilités critiques (patches, reconfigurations), coût de mise en conformité réglementaire (RGPD, NIS2), coût estimé des sanctions potentielles (en cas de violations de données non déclarées), coût des programmes de sécurité manquants (SOC, SIEM, PAM), et prime de risque pour les risques non quantifiables (compromissions en cours non détectées).

Des clauses contractuelles spécifiques protègent l'acquéreur : Mac Cyber Clause (Material Adverse Change spécifique cyber — la transaction peut être abandonnée si une violation de données matérielle est découverte pre-closing), représentations et garanties cyber (le vendeur déclare qu'il n'a pas connaissance de violations de données non déclarées, sous peine d'indemnisation), et R&W Insurance (Representations and Warranties Insurance) qui couvre les erreurs dans les déclarations du vendeur incluant les aspects cyber.

Post-acquisition : intégration cyber et harmonisation

Après le closing, l'intégration des systèmes de l'entité acquise soulève des risques cyber importants : les deux SI sont interconnectés avant que la sécurité de l'entité acquise ait été homogénéisée avec les standards de l'acquéreur. Bonnes pratiques post-acquisition : isolation initiale du SI de la cible (réseau séparé avec DMZ contrôlée), évaluation de la maturité cyber approfondie de la cible, plan d'intégration cyber documenté avec jalons et priorités, et intégration progressive en commençant par les systèmes les moins risqués.

Le risque de contamination (« supply chain attack via M&A ») est réel : plusieurs compromissions majeures ont utilisé des acquisitions comme vecteur d'intrusion, en compromettant la cible avant le closing pour accéder ensuite au réseau de l'acquéreur post-intégration. La surveillance des activités cyber suspectes dans l'entité cible dès la signature de la LOI (Letter of Intent) est recommandée.