Résumé#
La Loi sur la sécurité de la chaîne d'approvisionnement du réseau électrique créerait une nouvelle loi fédérale. Elle exigerait que le secrétaire à la Défense prépare un plan pour certains équipements et installations informatiques dans le réseau électrique américain qui sont détenus ou contrôlés par un adversaire étranger. Son objectif déclaré est d'identifier, de prioriser et de planifier des moyens de traiter ces éléments ; le projet de loi ne requiert pas lui-même leur retrait ou leur remplacement.
- Dans les 180 jours suivant l'adoption, le secrétaire doit soumettre le plan aux comités de défense du Congrès, en coordination avec le commandant du Commandement nord-américain et les secrétaires des départements militaires, et en consultant le secrétaire à l'Énergie.
- Le plan doit évaluer les risques pour la défense et la sécurité nationale, établir des priorités en fonction des risques pour les opérations militaires, et décrire une stratégie—coordonnée avec les États concernés—pour retirer, remplacer ou atténuer les éléments couverts tout en minimisant les perturbations des opérations du réseau.
- Le plan doit inclure des moyens d'utiliser des alternatives sécurisées, y compris la protection des armes, des composants manufacturés standard et des logiciels. Il doit respecter les normes citées dans le projet de loi, que celui-ci n'explique pas.
- Le secrétaire doit émettre des directives dans les 90 jours pour définir plus précisément « installation informatique couverte » et, le cas échéant, mettre à jour ces directives au moins une fois par an.
- À partir du cycle budgétaire de l'exercice 2028, le commandant du Commandement nord-américain doit envoyer au secrétaire et aux comités de défense du Congrès un budget annuel estimant le financement nécessaire pour mettre en œuvre le plan.
Ce que cela signifie pour vous#
- Département de la Défense et dirigeants militaires : Le projet de loi leur conférerait des responsabilités pour développer le plan, émettre et mettre à jour des directives, et fournir des estimations de financement annuelles.
- Gouvernements des États : La stratégie de remédiation doit être coordonnée avec les États concernés. Le projet de loi ne précise pas comment cette coordination fonctionnerait.
- Fournisseurs d'électricité, entreprises et public : Le projet de loi n'exige pas directement des entreprises privées ou d'autres propriétaires qu'ils retirent des équipements, changent leurs opérations ou paient des frais. Tout effet sur eux dépendrait du plan et de toute action ultérieure.
- Grand public : Il s'agit d'un projet de loi du Sénat qui n'est pas devenu loi. Il crée une exigence de planification, pas un programme immédiat de retrait du réseau, d'interdiction ou de nouveau service de première ligne.
Finances#
Aucune estimation de coût n'est dans le matériel disponible.
- Le projet de loi exige une estimation annuelle du financement nécessaire pour mettre en œuvre le plan, à partir du cycle budgétaire de l'exercice 2028.
- Il n'approprie pas d'argent ni ne précise combien coûteraient le plan, sa préparation ou toute remédiation ultérieure.
Ce qui n'est pas clair#
- Le projet de loi n'explique pas les normes qu'il cite pour identifier ou traiter les éléments couverts.
- Le secrétaire doit définir plus précisément « installation informatique couverte » dans les directives ; le projet de loi ne fixe pas les limites de cette définition.
- Le projet de loi décrit les équipements couverts en utilisant plusieurs critères, y compris la connexion au réseau, la capacité d'accès ou de mise à jour à distance, et l'accès possible au réseau ou physique. Il n'explique pas comment ces critères seront appliqués dans des cas particuliers.
- Le projet de loi ne précise pas comment les propriétaires ou les opérateurs seraient identifiés, notifiés ou impliqués, ni s'ils pourraient contester une décision.
- Il ne précise pas qui réaliserait ou paierait pour la remédiation, ni ne fixe un délai pour son achèvement.
- Le projet de loi fait référence à des définitions juridiques existantes pour « adversaire étranger » et « contrôle » ; leur formulation complète n'est pas incluse dans le matériel fourni.
Arguments en faveur#
- Un argument possible en faveur du projet de loi est que les équipements ou installations informatiques liés à un adversaire étranger pourraient poser des risques pour les installations militaires, les opérations de défense ou la fiabilité du réseau. Le plan est censé évaluer ces risques.
- Établir des priorités en fonction des risques pour les opérations militaires pourrait concentrer l'attention sur les infrastructures les plus critiques en premier.
- Exiger une coordination avec les États et une stratégie pour minimiser les perturbations pourrait aider à tenir compte des opérations du réseau tout en planifiant des changements.
- Exiger des estimations de financement annuelles pourrait fournir au Congrès des informations pour décider s'il faut et comment financer des travaux ultérieurs.
Arguments contre#
- Le projet de loi exige un plan, mais ne requiert pas que l'équipement soit retiré, remplacé ou atténué. Un plan seul peut ne pas traiter les risques qu'il identifie.
- Il ne fournit pas de financement ni ne précise qui paierait pour tout travail ultérieur, laissant l'échelle et l'accessibilité de la remédiation incertaines.
- Des détails clés dépendent de futures directives et normes que le projet de loi n'explique pas, donc la portée des installations couvertes et les règles pratiques ne sont pas encore claires.
- Le projet de loi ne précise pas comment les propriétaires ou opérateurs concernés participeraient aux décisions, ni quel processus s'appliquerait s'ils contestent une constatation.