Cyberscore : pour quand et quels critères pour l’audit de sécurité ?

Qu’est-ce que le Cyberscore ?

Le Cyberscore est un dispositif de certification de cybersécurité, instauré par la loi n° 2022-309 du 3 mars 2022. Il s’inspire du Nutriscore et vise à évaluer la sécurité des plateformes numériques destinées au grand public, telles que les réseaux sociaux, les services de visioconférence et les messageries instantanées. Cette certification est obligatoire et est réalisée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Seules les plateformes qui répondent à des critères spécifiques, qui seront définis par un arrêté ministériel, seront concernées par ce dispositif. Le Cyberscore doit entrer en application le 1er octobre 2023, marquant ainsi une étape importante dans la régulation de la cybersécurité pour les services numériques.

Comment la cybersécurité est-elle définie ?

L’ANSSI définit la cybersécurité comme un état recherché pour un système d’information, permettant de résister à des événements du cyberespace qui pourraient compromettre la disponibilité, l’intégrité ou la confidentialité des données. Cela inclut les données stockées, traitées ou transmises, ainsi que les services associés. La cybersécurité implique l’utilisation de techniques de sécurité des systèmes d’information et repose sur la lutte contre la cybercriminalité. Elle nécessite également la mise en place d’une cyberdéfense efficace pour protéger les données professionnelles et personnelles contre diverses menaces techniques. Ainsi, la cybersécurité est essentielle pour garantir la protection des informations sensibles et des services numériques, en assurant un environnement sûr pour les utilisateurs.

Quels sont les défis liés à la définition des seuils ?

L’un des principaux défis du Cyberscore réside dans la définition des seuils réglementaires qui détermineront quels opérateurs de plateformes en ligne et entreprises seront concernés. Il est déterminant de cibler principalement les acteurs numériques les plus importants afin de ne pas freiner l’innovation des petites entreprises qui offrent des services en ligne. Cela nécessite un équilibre délicat entre la nécessité de réglementer pour assurer la sécurité et la volonté de favoriser l’innovation. La définition de ces seuils sera déterminée par voie réglementaire, et il est essentiel que cette démarche soit réfléchie pour ne pas nuire à l’écosystème numérique.

Quel est le contenu de l’audit de cybersécurité ?

Le contenu de l’audit de cybersécurité est un autre défi majeur, car il sera également défini par un arrêté ministériel. Un des critères importants à considérer est la localisation des données, qui influence le régime juridique applicable en matière de protection des données. Cependant, ce critère ne doit pas être le seul pris en compte pour évaluer la sécurité de l’hébergement des données. D’autres indicateurs pertinents devront être définis pour réaliser cet audit. Par exemple, des critères techniques comme le chiffrement de bout en bout pour les services de communication pourraient être envisagés. De plus, des critères moins techniques, tels que le nombre de condamnations par une autorité de protection des données ou le nombre de failles de sécurité mises à jour, pourraient également être pris en compte.

Comment les consommateurs seront-ils informés ?

Les modalités d’information des consommateurs représentent un défi important pour le Cyberscore. Il est essentiel que le dispositif soit présenté de manière lisible, claire et compréhensible. Pour cela, un système coloriel similaire à celui du Nutriscore pourrait être utilisé, permettant aux utilisateurs de comprendre rapidement le niveau de cybersécurité des plateformes. Cette approche vise à garantir que les consommateurs puissent faire des choix éclairés concernant les services numériques qu’ils utilisent, en tenant compte de leur sécurité.

Quelles sanctions sont prévues en cas de non-conformité ?

En cas de manquement aux dispositions relatives au Cyberscore, des sanctions sont prévues. Selon l’article L. 131-4 du code de la consommation, les infractions peuvent entraîner une amende administrative. Cette amende peut atteindre 75 000 euros pour une personne physique et 375 000 euros pour une personne morale. Les sanctions seront prononcées par la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF). Ces mesures visent à assurer la conformité des plateformes numériques aux exigences de cybersécurité et à protéger les consommateurs.