CIRCIA
Loi fédérale américaine de 2022 qui impose aux opérateurs d'infrastructures critiques de déclarer à l'agence de cybersécurité les incidents importants sous 72 heures et les paiements de rançon sous 24 heures.
Le Cyber Incident Reporting for Critical Infrastructure Act, signé le 15 mars 2022, charge l'agence américaine de cybersécurité et de sécurité des infrastructures d'organiser un régime obligatoire de déclaration pour les entités des secteurs d'infrastructures critiques. Deux obligations en forment le coeur : déclarer un incident cyber important dans les 72 heures suivant le moment où l'entité peut raisonnablement penser qu'il s'est produit, et déclarer un paiement de rançon dans les 24 heures qui suivent le paiement. La loi ne s'applique pas d'elle-même : elle renvoie à une règle d'application, dont le projet a été publié en avril 2024 et qui doit définir les entités couvertes et le contenu des déclarations. Elle protège les informations transmises contre certains usages réglementaires et contentieux, pour encourager les déclarations. Pour l'assurance, CIRCIA ajoute un délai impératif à la chronologie d'un sinistre, dans lequel l'assureur, le cabinet de réponse et le conseil juridique doivent coordonner leurs interventions. Il fait aussi de l'agence fédérale le détenteur d'une base de sinistralité que le marché n'a jamais eue, ce qui pourrait à terme éclairer la modélisation du cumul.
Le projet de règle publié en avril 2024 estimait qu'environ 316 000 entités relèveraient du régime et que plus de 200 000 déclarations seraient déposées au cours des onze premières années, un volume qui dépasserait de loin toute base de sinistres cyber constituée par le marché de l'assurance.
Cyber Incident Reporting for Critical Infrastructure Act, loi américaine de déclaration des incidents cyber, CISA incident reporting
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.