Publié le 13 novembre 2023 10:22:00. Le gouvernement britannique s’apprête à renforcer considérablement les pouvoirs de sanction des régulateurs en matière de cybersécurité, face à une augmentation alarmante du coût des cyberattaques qui pèse désormais sur l’économie du pays.
- Les entreprises qui ne respectent pas les règles de cybersécurité pourraient se voir infliger des amendes allant jusqu’à 4 % de leur chiffre d’affaires annuel, ou 17 millions de livres sterling (environ 19,6 millions d’euros).
- Le champ d’application de la réglementation sera élargi pour inclure des secteurs clés tels que la santé, les services informatiques et les centres de données.
- Les entreprises devront signaler les cyberattaques importantes dans un délai de 24 heures et fournir un rapport d’incident complet dans les 72 heures.
Le gouvernement britannique entend donner aux régulateurs les moyens de sévir plus efficacement contre les manquements en matière de cybersécurité. Ce durcissement de la législation fait suite à des avertissements récents selon lesquels les entreprises insuffisamment préparées aux cyberattaques mettent en péril leur propre pérennité. Une étude récente de KPMG estime que le coût total des cyberattaques majeures a atteint 14,7 milliards de livres sterling (environ 16,9 milliards d’euros) pour l’ensemble de l’économie britannique.
Le projet de loi sur la cybersécurité et la résilience, qui sera présenté au Parlement mercredi, vise à moderniser et à étendre le cadre réglementaire existant. Il s’appuiera sur les Règlements NIS 2018, qui permettent déjà d’imposer des amendes maximales de 17 millions de livres sterling, et complétera les règles existantes en matière de protection des données.
Les entreprises couvertes par cette nouvelle législation devront non seulement signaler rapidement les incidents, mais également se conformer aux mesures de sécurité recommandées par le Centre national de cybersécurité (NCSC), notamment en matière de protection des données et de formation du personnel. Les régulateurs auront le pouvoir d’imposer des amendes aux organisations qui ne respectent pas ces exigences, en jugeant les sanctions « équitables » en dernier recours.
Toutefois, la législation ne visera pas les détaillants ou les entreprises non considérées comme des infrastructures critiques. Des groupes tels que Jaguar Land Rover, M&S et Co-op, qui ont récemment été victimes de cyberattaques médiatisées, ne seront donc pas concernés par ces nouvelles mesures.
« Nous ne cherchons pas à réguler l’ensemble de l’économie à ce point »,
Baronne Liz Lloyd, ministre de l’économie numérique
La baronne Lloyd a également souligné l’importance pour toutes les entreprises de renforcer leur cyber-résilience et d’intégrer cette question au niveau de leurs conseils d’administration. « Nous encourageons également toutes les entreprises à faire davantage ou à réfléchir à ce qu’elles doivent faire en termes de cyber-résilience, et à ce que leurs conseils d’administration discutent de ce qui leur convient », a-t-elle ajouté.
Le projet de loi élargit le champ des entreprises soumises à la réglementation, qui couvrait initialement les secteurs des transports, de l’énergie, de l’eau potable, de la santé et des infrastructures numériques.