Résumé#
Le projet de loi sur la cybersécurité et la résilience (réseaux et systèmes d'information) créerait une nouvelle loi et modifierait le Règlement sur les réseaux et systèmes d'information de 2018. Son objectif déclaré est d'améliorer la sécurité et la résilience des systèmes utilisés pour des activités essentielles ; c'est un objectif, pas un résultat garanti. Le projet de loi est à la troisième lecture des Lords et n'est pas encore une loi.
- Il inclurait certains services de centres de données et contrôleurs de charge lourde dans le système NIS en tant que services essentiels, sous réserve de conditions et de définitions.
- Il étendrait les exigences aux fournisseurs de services numériques pertinents et aux fournisseurs de services gérés, y compris les mesures de gestion des risques de sécurité et le reporting d'incidents.
- Il donnerait aux autorités de régulation le pouvoir de demander des informations, d'inspecter et d'enquêter, et d'imposer des sanctions. Il permet également aux autorités de fixer des frais pour récupérer les coûts réglementaires.
- Il permettrait au Secrétaire d'État de diriger certaines organisations pour qu'elles prennent des mesures concernant des biens, services ou installations liés à un fournisseur, lorsque les conditions de risque et de nécessité sont remplies. De futurs règlements pourraient également créer un système de référence obligatoire pour certaines transactions.
- Il donnerait au Secrétaire d'État des fonctions liées aux compromis liés à l'IA, y compris l'obtention, la préservation et l'analyse d'informations et l'atténuation de leur impact.
Ce que cela signifie pour vous#
- Gouvernement et régulateurs : Le Secrétaire d'État doit préparer des priorités stratégiques pour le régime. Les autorités réglementaires doivent tenir compte de ces priorités et s'efforcer d'atteindre les objectifs pertinents. Les autorités auraient des fonctions élargies de collecte d'informations et d'application.
- Fournisseurs de centres de données, numériques et de services gérés : Certains pourraient devenir réglementés ou faire face à de nouveaux devoirs s'ils sont inclus dans le champ d'application. Le projet de loi fait référence au reporting d'incidents et aux mesures de sécurité, mais ne précise pas tous les seuils ou détails opérationnels dans le matériel fourni.
- Organisations traitant avec des fournisseurs : Une directive pourrait exiger qu'une organisation couverte par le projet de loi agisse en relation avec les biens, services ou installations d'un fournisseur. Le projet de loi permet également aux règlements ultérieurs de mettre en place un système de référence obligatoire ; il ne précise pas lui-même quelles transactions doivent être référées.
- Clients et public : Le projet de loi comprend des dispositions pour notifier les clients concernant les incidents, mais le texte fourni ne montre pas les règles complètes. Il ne crée pas directement un bénéfice public général ni ne garantit que les incidents seront évités.
- Contribuables et organisations réglementées : Les autorités réglementaires peuvent facturer pour leurs coûts dans le cadre de systèmes de tarification. Le projet de loi ne précise pas les montants.
Le matériel fourni n'inclut pas l'intégralité des règlements NIS actuels, donc les changements n'ont pas pu être vérifiés en détail par rapport à toutes les règles existantes.
Finances#
Aucune estimation des coûts n'est disponible dans le matériel fourni.
- Le projet de loi permet aux autorités réglementaires de fixer des frais pour récupérer les coûts. Il ne donne pas de montants ou d'estimations de ce que les organisations pourraient payer.
- Le projet de loi permet des sanctions d'application, mais l'extrait fourni est incomplet sur la manière dont toutes les limites de sanctions sont calculées.
- Aucune estimation n'est donnée pour les dépenses publiques, les besoins en personnel ou les revenus provenant des frais ou des sanctions.
Ce qui n'est pas clair#
- Quels services de centres de données et contrôleurs de charge lourde seront éligibles, et les conditions exactes pour être réglementés.
- Quelles organisations comptent comme fournisseurs de services numériques ou gérés pertinents, et les devoirs précis en matière de sécurité et de reporting d'incidents qu'elles doivent respecter.
- Comment une directive à un fournisseur serait évaluée, contestée ou examinée en pratique, et quelles transactions pourraient être couvertes par un futur système de référence.
- Comment les fonctions liées à l'IA du projet de loi seraient utilisées et comment elles interagiraient avec d'autres pouvoirs.
- Le coût des nouveaux devoirs et pouvoirs, et comment les frais seraient fixés. Le projet de loi permet des règlements et des orientations ultérieurs, mais le texte fourni ne donne pas leurs règles détaillées.
Arguments en faveur#
- Le projet de loi semble destiné à traiter les risques cybernétiques pour les systèmes et les fournisseurs qui soutiennent des activités essentielles. Inclure davantage de types de fournisseurs dans le régime pourrait donner aux autorités une portée plus large.
- Donner aux régulateurs le pouvoir d'enquêter sur des défaillances suspectées et d'exiger la conformité pourrait les aider à répondre à des risques que les mesures volontaires ne traitent pas.
- Le pouvoir de direction aux fournisseurs pourrait permettre au gouvernement d'agir lorsqu'il considère qu'un risque lié à un fournisseur pour des activités essentielles est suffisamment grave pour nécessiter une action.
- Les frais pour récupérer les coûts réglementaires pourraient faire peser une partie du coût sur les organisations réglementées plutôt que de laisser tout cela aux fonds publics.
Arguments contre#
- Le projet de loi donne au Secrétaire d'État et aux régulateurs des pouvoirs significatifs, y compris des directives affectant les biens et services liés aux fournisseurs. Le texte fourni laisse de nombreux détails aux règlements ultérieurs.
- Il n'est pas clair comment les organisations concernées pourraient contester une directive ou à quelle vitesse une décision devrait être prise.
- De nouveaux devoirs et frais pourraient imposer des coûts aux organisations réglementées, mais le projet de loi ne donne aucune estimation de leur ampleur.
- La portée large du projet de loi, y compris ses fonctions liées à l'IA, pourrait être difficile à évaluer jusqu'à ce que des définitions, seuils et procédures clés soient établis.