PATRICIA II - Personal dATa bReach awareness in Cybersecurity Incident Handling
Le CEPD organise la deuxième édition de PATRICIA - Sensibilisation aux violations de données personnelles dans la gestion des incidents de cybersécurité, un exercice de simulation axé sur la gestion des violations de données personnelles. Cet exercice cybernétique se déroulera le 5 juin 2025 de 8h45 à 16h dans les locaux du CEPD et réunira les principales parties prenantes de certaines institutions de l’Union européenne afin d’améliorer la réponse aux incidents et la collaboration.
Quand : 5 juin 2025, de 8h45 à 16h.
Où : Locaux du CEPD, rue Montoyer 30, Bruxelles
PATRICIA vise à sensibiliser le personnel des institutions de l’Union européenne (IUE) aux violations de données à caractère personnel et à favoriser la collaboration entre le personnel des institutions de l’Union européenne, notamment le personnel informatique, les délégués à la protection des données (DPD) et les responsables de la sécurité, afin de garantir une atténuation adéquate des risques pour les personnes. En simulant des incidents de cybersécurité et en échangeant connaissances et bonnes pratiques, les participants pourront améliorer leurs capacités de réponse aux incidents et leurs stratégies d’atténuation des risques.
L’édition de cette année comptera jusqu’à sept équipes d’IUE, qui participeront à un scénario de cyberattaque évolutif. Les participants échangeront leurs bonnes pratiques, testeront les mécanismes de réponse et affineront les stratégies de coordination pour gérer les violations de données à caractère personnel. La participation à PATRICIA est limitée aux IUE invitées.
Contexte :
La première édition de cet exercice, piloté et co-organisé avec l’ENISA en 2024, a impliqué six équipes d’IUE et a mis en évidence des points critiques à améliorer dans la gestion des violations de données à caractère personnel au sein des institutions de l’UE, tels que :
- Clarifier les rôles et responsabilités dans la gestion des violations
- Améliorer la collaboration entre les principales parties prenantes
- Renforcer les efforts de formation et de sensibilisation.
Des recommandations clés ont été formulées, notamment une plus grande implication de la direction, l’amélioration de la communication entre les équipes et le renforcement du partage des responsabilités.
L’exercice a été très apprécié, ce qui a conduit à un appel à une participation plus large et à la poursuite des efforts de renforcement des capacités.
Conformément aux articles 34 et 35 de l’EUDPR, le cadre juridique applicable au traitement des données à caractère personnel par les institutions de l’UE, toutes les IUE sont légalement tenues d’informer le CEPD lorsqu’un incident de sécurité impliquant des données à caractère personnel présente un risque pour les droits et libertés des personnes concernées. En cas de risque élevé, elles doivent également informer les personnes concernées.
Dans un environnement où les incidents de cybersécurité sont en augmentation, affectant considérablement le traitement des données personnelles, PATRICIA joue un rôle crucial dans les efforts du CEPD pour améliorer la préparation et la protection des données personnelles au sein des institutions de l'UE.