Le 1er octobre 2026, la CISA a transmis à l'Office of Management and Budget de la Maison-Blanche, pour examen, la règle finale prise en vertu du Cyber Incident Reporting for Critical Infrastructure Act, dernière étape procédurale avant sa publication. La règle obligerait les entités visées de seize secteurs d'infrastructures essentielles, soit environ 300 000 entités ou plus, à déclarer les cyberincidents importants dans un délai de 72 heures et les paiements de rançon dans un délai de 24 heures. Sa portée pourrait s'étendre aux fournisseurs de services technologiques, infonuagiques, logistiques, d'ingénierie et de communications qui servent des clients d'infrastructures essentielles. Sa publication est attendue d'ici la fin de l'année.
Les entités visées déclareraient les cyberincidents importants en 72 heures et les paiements de rançon en 24 heures.
Environ 300 000 entités ou plus de seize secteurs d'infrastructures essentielles pourraient être visées.
Les fournisseurs technologiques, infonuagiques, logistiques, d'ingénierie et de communications qui servent ces secteurs pourraient être inclus.
Notre commentaire
La règle n'est pas encore en vigueur, mais sa portée pourrait atteindre des fournisseurs qui ne se considèrent pas comme des entités visées. Pour les fournisseurs technologiques qui servent des clients d'infrastructures essentielles, la question est de savoir s'ils répondraient aux définitions et comment les délais de déclaration s'articuleraient avec leurs obligations contractuelles et réglementaires de notification existantes.
Des questions sur cette alerte?
Sara Derbel
Parajuriste
Notre équipe peut vous expliquer ce que ce développement signifie pour votre organisation.
Veille réglementaire et législative en IA, vie privée et cybersécurité au Canada, aux États-Unis, dans l’UE, au Royaume-Uni et en Australie, filtrée et priorisée par des juristes.
Coach en cas de brèche et avocats en réponse aux incidents au Canada : coordination sous privilège, avis aux autorités, communication de crise, menaces internes et enquêtes.
Services de responsable de la sécurité des systèmes d’information virtuel (vCISO) : leadership fractionné, gouvernance des risques et accompagnement stratégique et juridique de Ceiba Law.
Reliez la gouvernance de la cybersécurité, les engagements contractuels et les obligations juridiques à la gestion des risques de sécurité de votre organisation.
Coordonnez les conseillers juridiques, spécialistes techniques et partenaires de réponse pour enquêter sur un incident et soutenir son confinement, la reprise et le suivi.
Le Bundestag a adopté la loi de mise en œuvre du Cyber Resilience Act, qui désigne le BSI comme autorité de surveillance du marché, autorité de notification et CSIRT coordinateur de l'Allemagne en vertu du CRA. À titre d'autorité de surveillance du marché, le BSI pourra ordonner le retrait du marché des produits comportant des éléments numériques non conformes. Il agira aussi comme bureau des plaintes pour les signalements des consommateurs. La loi doit encore être approuvée par le Bundesrat. Une fois en vigueur, les dispositions correspondant aux obligations du CRA déjà applicables prendront effet le lendemain de la promulgation, et les autres obligations suivront la date d'application générale du CRA, le 11 décembre 2027.
