Résumé#
S-10724 modifierait la Loi sur les autorités publiques et la Loi sur les services publics de New York ; elle ne crée pas une agence ou une société distincte. Son objectif déclaré est d'améliorer la cybersécurité des services d'eau ruraux. Le projet de loi est à l'étape de l'introduction et n'est pas encore une loi.
- Il exigerait un plan d'action en matière de cybersécurité pour les services d'eau ruraux, élaboré par "la société" en consultation avec la Division de la sécurité intérieure et des services d'urgence de l'État (DHSES). Le plan doit être soumis d'ici le 31 décembre 2027 et doit inclure des étapes telles que la déconnexion des dispositifs de contrôle de l'exposition directe à Internet, l'utilisation de pare-feu et de VPN, la mise à jour des mots de passe et la formation du personnel aux opérations de sauvegarde manuelle.
- Les services d'eau ruraux devraient mettre en œuvre le plan et réaliser un audit de cybersécurité indépendant par un tiers chaque année. Les résultats de l'audit seraient déposés de manière confidentielle auprès de la DHSES.
- Après avoir découvert une violation de cybersécurité, une extorsion de données ou un accès non autorisé au système, un service devrait notifier la DHSES et l'unité de cybercriminalité de la police de l'État dans les 24 heures.
- La DHSES devrait établir un groupe de travail sur la cyberdéfense de l'eau fournissant une aide technique gratuite, des outils de surveillance et une remédiation d'urgence.
- Le programme de subventions SECURE devrait prioriser les services d'eau ruraux. Cela ne garantirait pas à un service une subvention.
Ce que cela signifie pour vous#
- Services d'eau ruraux : Le projet de loi les définit généralement comme des systèmes desservant 10 000 personnes ou moins dans des maisons, des écoles et/ou des hôpitaux. Les services couverts devraient suivre le plan d'action, obtenir des audits indépendants annuels et signaler les incidents cybernétiques spécifiés dans les 24 heures suivant leur découverte.
- Personnel des services : Le plan d'action doit inclure une formation sur le fonctionnement des installations en utilisant des opérations de sauvegarde manuelle. La formation vidéo est autorisée uniquement si elle est suivie d'une inspection en personne.
- Services cherchant des subventions SECURE : Ils recevraient la priorité dans la distribution des subventions, mais le projet de loi ne garantit pas de financement ni ne fixe de montants de subvention.
- Clients de l'eau : Le projet de loi ne modifie pas directement les tarifs de l'eau, l'éligibilité au service ou les droits légaux des clients. Il n'est pas précisé si les coûts des services affecteraient les tarifs.
- Loi actuelle : Le matériel fourni n'inclut pas la Loi sur les autorités publiques existante ou la Loi sur les services publics, donc je n'ai pas pu vérifier quelles exigences ou règles du programme SECURE existent déjà.
Finances#
Aucune information publique disponible sur le coût total du projet de loi pour le public ou les services.
- Le projet de loi exige que la DHSES établisse un groupe de travail et fournisse des services gratuits, mais ne donne aucune estimation de personnel ou de coût.
- Les services devraient payer pour les audits annuels à moins qu'une autre source ne les couvre ; le projet de loi ne précise pas qui paie ni ne fournit d'estimation.
- Le projet de loi donne la priorité aux services ruraux pour les subventions SECURE, mais ne précise aucun montant de subvention ni nouvelle appropriation.
Ce qui n'est pas clair#
- La section du plan d'action utilise "la société" sans la nommer dans cette section. Le projet de loi n'explique pas non plus comment le plan sera appliqué ou quand chaque service doit compléter ses étapes.
- Les définitions de "service d'eau rural" diffèrent : la disposition du plan d'action inclut une "installation de gestion de l'eau", tandis que les dispositions d'audit et de subvention ne le font pas. Le projet de loi n'explique pas la différence.
- Il ne fixe pas de normes d'audit, de qualifications d'auditeur ou de règles sur la manière dont les résultats d'audit confidentiels peuvent être utilisés.
- Il ne définit pas les termes "violation de cybersécurité", "extorsion de données" ou "accès non autorisé au système", ni ne prévoit de pénalité pour le non-respect des obligations.
- Il ne précise pas comment les services se qualifient pour les subventions SECURE, combien de financement est disponible, ou comment la nouvelle priorité interagit avec les règles de subvention existantes.
Arguments pour#
- Le projet de loi semble destiné à traiter les risques de cybersécurité dans les petits systèmes d'eau en exigeant des étapes de sécurité spécifiques, des audits annuels et une notification rapide des incidents.
- Un plan d'action partagé pourrait donner aux services un point de départ commun, tandis que l'assistance gratuite du groupe de travail pourrait les aider à mettre le plan en pratique.
- Prioriser les services ruraux pour les subventions pourrait diriger le financement vers les systèmes que le projet de loi identifie comme particulièrement vulnérables.
Arguments contre#
- Les audits indépendants annuels et les mesures de sécurité requises pourraient imposer des coûts et du travail aux petits services, mais le projet de loi ne fournit aucune estimation ni financement clair pour les couvrir.
- Le projet de loi exige que les services mettent en œuvre le plan sans fixer de délais pour leurs étapes ni décrire l'application. Cela pourrait laisser des obligations importantes incertaines.
- Le projet de loi n'explique pas comment le groupe de travail sera doté en personnel ni comment ses services atteindront les services à travers l'État.
- Différentes définitions de service d'eau rural pourraient laisser certaines installations couvertes par une exigence mais pas une autre.