Règle de déclaration des incidents cybernétiques pour les infrastructures critiques reportée à 2026

L'Agence de cybersécurité et de sécurité des infrastructures (CISA) élabore de nouvelles réglementations pour le reporting des incidents cybernétiques et des paiements de rançon dans le cadre de la loi sur la déclaration des incidents cybernétiques pour les infrastructures critiques (CIRCIA), promulguée en mars 2022. Les règles proposées visent à renforcer le partage d'informations entre les secteurs d'infrastructure critique.

La CISA a publié un avis de proposition de réglementation (NPRM) le 4 avril 2024, décrivant les exigences pour certaines entités de signaler des incidents cybernétiques substantiels dans les 72 heures et des paiements de rançon dans les 24 heures. Le NPRM définit un incident cybernétique substantiel comme un incident impliquant une perte majeure de confidentialité, d'intégrité ou de disponibilité, des effets opérationnels graves, une perturbation des affaires ou un accès non autorisé par le biais de tiers ou de chaînes d'approvisionnement.

Selon le NPRM, les entités concernées devront soumettre des rapports d'incidents via un formulaire en ligne de la CISA. La règle exige que les organisations effectuent une analyse préliminaire dans les heures suivant un incident pour déterminer si un incident reportable a eu lieu, plutôt que d'attendre plusieurs jours.

Les entités doivent également fournir des rapports complémentaires dans les 24 heures lorsque de nouvelles informations substantielles deviennent disponibles, y compris des détails sur tout paiement de rançon effectué après le rapport initial d'incident. Ces exigences sont conçues pour garantir des mises à jour en temps opportun à mesure que les situations évoluent.

Ce que montrent les chiffres

• La règle proposée couvre plus de 300 000 entités dans 16 secteurs
• La CISA estime les coûts de mise en œuvre à 2,6 milliards de dollars sur 11 ans
• Les pertes dues à la cybercriminalité aux États-Unis sont estimées à plus de 450 milliards de dollars en 2024

La CISA avait initialement prévu de finaliser la règle d'ici octobre 2025, mais la publication a été reportée à mai 2026. Ce retard repousse la date d'entrée en vigueur de la règle au-delà du nouveau calendrier de publication.

Des analyses juridiques ont confirmé l'extension, notant que la date limite a été déplacée de six mois par rapport au calendrier initial. Le retard affecte le moment où les entités concernées devront se conformer aux nouvelles obligations de déclaration.

Jusqu'à ce que la règle finale entre en vigueur, la CISA encourage les organisations à signaler volontairement les incidents cybernétiques. Cette approche vise à améliorer la sensibilisation à la situation et la préparation avant la conformité obligatoire.

Les exigences proposées s'appliqueraient aux organisations répondant aux normes de taille de l'Administration des petites entreprises dans 16 secteurs d'infrastructure critique désignés. Ces secteurs comprennent l'énergie, la santé, les services financiers et d'autres considérés comme vitaux pour la sécurité nationale et la sécurité publique.

* Cet article est basé sur des informations publiquement disponibles au moment de la rédaction.