Le projet de loi C-8, Loi concernant la cybersécurité, modifiant la Loi sur les télécommunications et apportant des modifications connexes à d'autres lois, propose des modifications à la Loi sur les télécommunications et créerait la Loi sur la protection des systèmes cybernétiques critiques. Son objectif déclaré est de protéger les télécommunications et les systèmes cybernétiques critiques et de soutenir la continuité et la sécurité des services vitaux ; c'est un objectif, pas un résultat garanti. S'il est adopté, les dispositions fonctionneraient comme suit :
Le gouverneur en conseil et le ministre pourraient émettre des ordres de sécurité pour les fournisseurs de télécommunications, y compris des ordres concernant des produits, des services, des réseaux, des plans de sécurité et d'autres actions spécifiées. Les ordres doivent répondre à des critères de nécessité et de raisonnabilité en relation avec une menace.
Le projet de loi donnerait au ministre le pouvoir d'exiger des informations et permettrait à des fonctionnaires et organismes spécifiés de collecter et de partager des informations à des fins de sécurité et de conformité, sous réserve de limites et de règles de confidentialité.
Le gouverneur en conseil pourrait ajouter des services vitaux et des classes d'opérateurs aux annexes de la Loi sur la protection des systèmes cybernétiques critiques proposée. Les opérateurs d'une classe répertoriée qui possèdent, contrôlent ou exploitent un système cybernétique critique devraient se conformer à la Loi et aux règlements.
Ces opérateurs devraient établir et maintenir des programmes de cybersécurité, traiter les risques de la chaîne d'approvisionnement et des tiers, signaler les incidents dans un délai fixé par règlement (pas plus de 72 heures) et se conformer aux directives de sécurité.
Le projet de loi créerait des inspections, des audits, des ordres de conformité, des pénalités administratives et des infractions. Il exige également un examen de la Loi dans les cinq ans suivant la sanction royale.
Fournisseurs de télécommunications : Le gouverneur en conseil pourrait interdire l'utilisation de produits ou de services fournis par une personne spécifiée, ou exiger leur retrait d'un réseau ou d'une installation en tout ou en partie. Le ministre pourrait également restreindre ou suspendre des services à des personnes spécifiées ; la suspension de service à un individu n'est autorisée que pour traiter une menace technique spécifiée. D'autres ordres possibles incluent l'exigence d'examens de réseau ou d'approvisionnement, de plans de sécurité, d'évaluations de vulnérabilité ou d'atténuation, de normes ou de systèmes de sauvegarde, et d'actions sur des accords de service ou des mises à niveau. Les fournisseurs n'auraient pas droit à une compensation pour les pertes financières résultant de ces ordres.
Opérateurs dans des classes désignées : Si le gouverneur en conseil ajoute une classe à l'annexe 2, un opérateur de cette classe qui possède, contrôle ou exploite un système cybernétique critique devrait établir un programme dans les 90 jours suivant son adhésion à la classe, sauf si une prolongation est accordée. Il doit maintenir le programme, atténuer les risques identifiés de la chaîne d'approvisionnement et des tiers, signaler les incidents au Centre de la sécurité des communications et à l'organisme de réglementation, et tenir des dossiers.
Entreprises et individus soumis à ces règles : Le projet de loi prévoit des pénalités administratives et, pour certaines contraventions spécifiées, des infractions criminelles. Toutes les violations ne portent pas les mêmes conséquences : les règlements identifieraient certaines violations administratives. Pour la loi proposée sur les systèmes cybernétiques, les pénalités administratives pourraient atteindre 500 000 $ pour un individu et 15 millions $ pour une autre personne ou organisation. Certaines infractions pourraient entraîner une peine d'emprisonnement pour les individus.
Grand public : Le projet de loi ne crée pas directement un nouveau service public de cybersécurité ni un droit général à compensation. Il fixe des limites sur le partage de certaines informations et préserve les protections de la loi sur la vie privée, mais permet également un certain partage d'informations confidentielles ou personnelles lorsque des conditions de sécurité spécifiées sont remplies.
Aucune information publique disponible sur le coût total public du projet de loi, les économies attendues ou les coûts globaux de conformité des entreprises.
Le projet de loi exigerait des opérateurs qu'ils créent et maintiennent des programmes, signalent des incidents, tiennent des dossiers et se conforment aux directives. Ces obligations peuvent entraîner des coûts, mais aucune estimation n'est fournie.
Il donne aux régulateurs et aux fonctionnaires des pouvoirs d'inspection, d'audit et d'application ; aucune estimation des coûts de personnel ou d'application n'est fournie.
Les ordres de télécommunications décrits dans le projet de loi n'ouvriraient pas droit à compensation pour les pertes financières résultantes pour les fournisseurs concernés.
Le projet de loi permet à la Commission canadienne de sûreté nucléaire de facturer des frais prescrits pour certaines informations, produits ou services en vertu d'une autre loi fédérale. Les montants des frais ne sont pas précisés.
Le matériel fourni ne liste pas les services vitaux proposés à l'annexe 1 ou les classes d'opérateurs à l'annexe 2. Le gouverneur en conseil pourrait également modifier ces listes ultérieurement.
Les règlements fixeraient des détails importants, y compris les exigences des programmes cybernétiques, les périodes de signalement des incidents, les règles de tenue de dossiers et les violations qui entraînent des pénalités administratives.
Le matériel fourni ne précise pas quand les principales dispositions de sécurité commenceraient. Il indique que les modifications connexes commenceraient à des dates fixées par ordre du gouverneur en conseil.
Le projet de loi permet certains ordres de restreindre la divulgation de leur existence ou de leur contenu. Le matériel fourni n'explique pas à quelle fréquence ce pouvoir serait utilisé ou quelles informations seraient retenues en pratique.
Le projet de loi exige un examen dans cinq ans, mais son efficacité ne peut être connue à partir du texte du projet de loi.
Un argument possible en faveur du projet de loi est qu'il crée des obligations d'identifier et de traiter les risques cybernétiques, y compris les risques provenant des fournisseurs et des tiers, avant que des incidents ne perturbent les services vitaux.
Exiger des rapports d'incidents dans un délai fixé, plafonné à 72 heures, pourrait aider les fonctionnaires et les régulateurs à réagir plus rapidement.
Les pouvoirs d'ordres sont liés à des critères de motifs raisonnables, de nécessité et de raisonnabilité. Le projet de loi exige également de prendre en compte les impacts opérationnels, financiers, de confidentialité et de sécurité publique dans des cas spécifiés.
Le projet de loi inclut des rapports au Parlement, des limites liées à la vie privée et des restrictions sur les ordres exigeant le décodage ou l'interception de communications privées spécifiées.
Le gouverneur en conseil et le ministre recevraient de larges pouvoirs pour diriger les fournisseurs de télécommunications, tandis que certains ordres pourraient rester secrets et que les fournisseurs concernés ne recevraient pas de compensation pour les pertes financières résultantes.
Les nouvelles obligations des opérateurs peuvent être coûteuses et exigeantes. Le projet de loi ne précise pas toutes les exigences des programmes ni ne fournit d'estimation des coûts ; les règlements compléteraient les détails clés.
Certains ordres d'application doivent être suivis pendant qu'un examen est en cours, et certains peuvent être émis en dehors de la Loi sur les textes réglementaires. Cela pourrait laisser aux opérateurs un temps limité pour contester un ordre avant de s'y conformer.
Le projet de loi permet le partage d'informations, y compris certaines informations confidentielles et personnelles, à des fins de sécurité. Ses garanties peuvent ne pas répondre pleinement à la question de la quantité d'informations qui seraient partagées en pratique.