Publié le 26 septembre 2025 18:45. Un programme fédéral clé favorisant le partage d’informations sur les cybermenaces entre les entreprises et le gouvernement américain a pris fin mercredi, suscitant des inquiétudes quant à une diminution de la collaboration dans un domaine crucial pour la sécurité nationale.
- L’expiration de la loi CISA 2015 (Cybersecurity Information Sharing Act) prive les entreprises de protections juridiques essentielles lors du partage d’informations sur les menaces.
- Cette fin de programme pourrait entraîner une réduction du partage d’informations, laissant les réseaux informatiques américains plus vulnérables aux cyberattaques.
- Un désaccord politique au Congrès, notamment concernant les efforts de lutte contre la désinformation en ligne, a bloqué le renouvellement de la loi.
La loi de 2015, connue sous le nom de CISA, offrait aux entreprises une protection contre les poursuites antitrust, les sanctions réglementaires et les divulgations publiques liées au partage d’indicateurs de menace avec les agences gouvernementales ou d’autres acteurs du secteur privé. Cette protection, répondant à des préoccupations de longue date des juristes d’entreprises, a encouragé une décennie de collaboration fructueuse, permettant à des agences comme la CISA (Cybersecurity and Infrastructure Security Agency) d’identifier, de suivre et de contrer les campagnes de cyberattaques à grande échelle.
L’expiration de la loi est due à l’incapacité du Congrès à la réautoriser, malgré plusieurs auditions, des discours et des lettres soulignant son soutien quasi-unanime de la part des législateurs, des dirigeants de l’industrie et des experts en cybersécurité. Le principal obstacle à la réautorisation était le sénateur Rand Paul, président du comité sénatorial de la sécurité intérieure, qui souhaitait imposer de nouvelles restrictions aux efforts de la CISA en matière de lutte contre la désinformation en ligne. Il avait même rédigé un projet de loi pour répondre à ses préoccupations, mais n’a jamais soumis le texte à la discussion du comité.
Le sénateur Gary Peters, démocrate du Michigan et membre de premier plan du comité de la sécurité intérieure, a averti que le non-renouvellement de la CISA 2015 laisserait les réseaux informatiques américains «exposés, vulnérables et sans défense». Heather Hogsett, vice-présidente exécutive chargée des politiques technologiques au Bank Policy Institute, a renchéri, affirmant que «l’Amérique est plus vulnérable aux cybermenaces aujourd’hui qu’elle ne l’était hier».
Les conséquences de cette expiration restent incertaines. Certaines entreprises pourraient limiter les informations qu’elles partagent avec le gouvernement, tandis que d’autres pourraient cesser complètement de le faire. Michael Daniel, président de la Cyber Threat Alliance, un groupe de partage d’informations, prévoit que certaines entreprises «suspendront certaines activités de partage avec le gouvernement», mais souligne que cela dépendra de la «tolérance au risque de chaque entreprise».
Ari Schwartz, directeur général des services de cybersécurité du cabinet d’avocats Venable, estime que «il y aura beaucoup plus d’avocats impliqués et tout ira plus lentement, en particulier pour les nouveaux accords de partage». Venable a conseillé ses clients sur les considérations à prendre en compte lors de l’établissement de tels accords.
L’expiration de la CISA 2015 pourrait également avoir un impact sur les opérations de la CISA elle-même. L’agence a récemment indiqué à l’inspecteur général du ministère de la Sécurité intérieure qu’elle envisagerait d’arrêter sa plateforme d’échange de menaces en temps réel, qui coûte environ 1 million de dollars par mois, si elle recevait beaucoup moins d’indicateurs de menace. Rapport de l’inspecteur général.
Les dirigeants de l’industrie technologique ont exprimé leur inquiétude face à cette situation. John Miller, vice-président directeur de la politique pour la confiance, les données et la technologie du Conseil de l’industrie des technologies de l’information, a déclaré que la fin de la loi «créera une incertitude juridique importante pour la communauté de la cybersécurité, affaiblira la posture de cybersécurité américaine et sape une décennie de progrès dans la construction de la confiance entre le gouvernement et les parties prenantes de l’industrie». Il a ajouté que la seule certitude est que «les attaquants sont dans une meilleure position pour capitaliser sur toute confusion ou hésitation du secteur privé à partager des informations» sans les protections offertes par la loi.
Dans une lettre au Congrès la semaine dernière, une large coalition d’associations professionnelles a averti que l’expiration de la CISA 2015 exposerait les États-Unis à «un environnement de sécurité plus complexe et plus dangereux».