Loi type NAIC sur la sécurité des données des assureurs
Modèle législatif adopté en 2017 par les commissaires aux assurances américains, repris par de nombreux États, qui impose aux assureurs et intermédiaires un programme de sécurité de l'information et la notification des incidents au régulateur.
La loi type sur la sécurité des données de l'assurance a été adoptée en octobre 2017 par l'association nationale des commissaires aux assurances des États-Unis, largement inspirée du règlement de New York. Comme toute loi type, elle ne s'applique pas d'elle-même : chaque État décide de l'adopter, éventuellement avec des adaptations, et plus d'une vingtaine l'ont fait. Elle impose aux titulaires d'une licence d'assurance, assureurs, courtiers, agents, de mettre en place un programme écrit de sécurité de l'information proportionné à leur taille et à la sensibilité des données, fondé sur une évaluation des risques, sous la surveillance du conseil d'administration, avec une supervision des prestataires tiers. Elle impose de notifier au commissaire aux assurances tout événement de cybersécurité significatif dans un délai de 72 heures, et d'informer les assurés concernés selon les règles de l'État. Elle illustre la manière dont le système américain, fondé sur la compétence des États, obtient une harmonisation par l'adoption volontaire d'un modèle commun. Pour un assureur européen opérant aux États-Unis, elle ajoute une couche d'obligations variant d'un État à l'autre, qu'il faut cartographier.
Cas d'école : un courtier en assurance opérant dans trois États américains subit une compromission de sa messagerie exposant les données de 4 000 clients. Il doit notifier le commissaire aux assurances de chaque État ayant adopté la loi type dans les 72 heures, puis informer les clients selon les règles de notification propres à chacun de ces États.
NAIC Model Law 668, Insurance Data Security Model Law, loi type sur la sécurité des données en assurance
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.