Cyber Security and Resilience Bill (Royaume-Uni)

Après sa sortie de l'Union européenne, le Royaume-Uni n'a pas transposé la directive NIS2 et restait régi par les règlements de 2018 issus de la première directive sur la sécurité des réseaux et des systèmes d'information. Le gouvernement a annoncé en juillet 2024 un projet de loi pour les moderniser, dont la logique rejoint celle de NIS2 sans la copier. Il vise à étendre le champ des entités régulées aux prestataires de services informatiques managés, dont les compromissions ont montré qu'elles pouvaient atteindre des centaines de clients à la fois, et à certains fournisseurs critiques, ainsi qu'aux centres de données. Il prévoit de renforcer les obligations de notification des incidents, avec des délais plus courts et un champ plus large, incluant les attaques par rançongiciel, et de donner aux régulateurs sectoriels des pouvoirs accrus. Parallèlement, le gouvernement a consulté en 2025 sur un régime propre aux rançongiciels, comprenant l'interdiction des paiements par le secteur public et les opérateurs d'infrastructures critiques et une déclaration préalable des paiements envisagés. Pour l'assurance, la réforme intéresse à la fois les assurés, qui voient s'étendre leurs obligations de sécurité et de notification, et les assureurs cyber, dont les garanties de rançon et de frais réglementaires devront s'ajuster aux nouvelles interdictions.