Voir la table des matières Ne plus voir la table des matières
- Une catégorie inédite insérée dans une loi de 2015
- Les cinq profils d’acteurs que le texte veut couvrir
- Un préavis annuel déposé auprès de deux agences fédérales
- Trente-six heures pour alerter en cas de menace immédiate
- Plus de deux milliards de dollars envolés en six mois
- L’angle mort du partage entre entreprises
Le 28 septembre 2022, la sénatrice du Tennessee Marsha Blackburn a déposé devant le Sénat américain, en son nom et en celui de sa collègue du Wyoming Cynthia Lummis, un texte au titre austère : le Cryptocurrency Cybersecurity Information Sharing Act. Enregistré sous la référence S. 4985 et renvoyé à la commission des affaires bancaires, il ne crée aucune loi nouvelle. Il vient greffer un chapitre sur une loi fédérale de 2015, celle qui organise déjà l’échange d’informations sur les cybermenaces entre entreprises américaines et agences de l’État.
Le mécanisme de cette loi de 2015 tient en une phrase : une société qui repère un indicateur de menace peut le transmettre à ses pairs et aux autorités sans craindre d’être poursuivie pour cette divulgation. Ce bouclier juridique, que le droit américain appelle safe harbor, n’a jamais couvert explicitement les acteurs des actifs numériques. Deux élues républicaines proposent de les faire entrer dans le périmètre par une catégorie taillée sur mesure.
Une question demeure, et le texte ne l’expédie pas en une ligne : à quelles conditions exactes une plateforme obtiendrait-elle cette immunité ?
Une catégorie inédite insérée dans une loi de 2015
La mécanique législative est chirurgicale. Le texte insère une nouvelle section 110 dans le Cybersecurity Information Sharing Act de 2015, décale les sections 110 et 111 existantes en 111 et 112, et ajoute la notion de covered company à la liste des entités déjà reconnues par la section 102. Rien n’est réécrit : tout l’édifice de 2015 reste en place et absorbe un nouveau type d’acteur.
Ce que gagne une entreprise ainsi qualifiée, c’est l’accès aux protections de responsabilité de la section 106. Elle peut alors transmettre, recevoir ou partager avec une autre entreprise couverte des informations concernant des individus, des entités, des organisations et des pays, dès lors qu’elle soupçonne des indicateurs de cybermenace. Le bouclier n’est cependant pas inconditionnel : il tombe dès que l’entreprise cesse de respecter trois séries d’obligations précisées dans le texte.
Une clause d’usage encadre au passage ce qui circule. Les informations reçues à ce titre ne peuvent servir qu’à identifier et signaler des indicateurs de menace, ou à se conformer aux exigences du titre. Cette borne tranche avec la montée en puissance de la surveillance fédérale observée depuis un an : ici, l’État se contente d’ouvrir un canal entre acteurs privés.
Les cinq profils d’acteurs que le texte veut couvrir
La définition de la covered company est ce qui rend le texte lisible pour l’industrie. Elle ne parle ni de plateforme d’échange ni de portefeuille, mais décrit des fonctions techniques et financières. Cinq profils entrent dans le champ :
- les entreprises dont l’activité consiste à valider des transactions sur une technologie de registre distribué ;
- celles qui développent des actifs numériques, ou les protocoles permettant à des tiers de les utiliser ;
- les associations d’entités qui gèrent des actifs numériques ou des technologies de registre distribué ;
- les assureurs en responsabilité civile générale ou en dommages aux biens qui commercialisent des produits contre les pertes cyber, des violations de données aux attaques par rançongiciel ;
- les money services businesses et les établissements financiers au sens du titre 31 du code américain, pour leur seule activité en actifs numériques.
Le quatrième profil est le plus inattendu. En faisant entrer les assureurs dans le dispositif, le texte reconnaît que l’industrie de la couverture du risque cyber détient une part de la cartographie des attaques, au même titre que les entreprises attaquées. Les sinistres qu’elle indemnise dessinent une vue d’ensemble que peu d’acteurs possèdent.
Le cinquième profil, lui, envoie un signal réglementaire clair. Une plateforme déjà soumise aux obligations anti-blanchiment américaines n’entre dans le nouveau dispositif que pour son activité numérique, ce qui évite d’ouvrir une brèche dans les régimes existants.
Un préavis annuel déposé auprès de deux agences fédérales
Le volontariat affiché s’accompagne d’une procédure. Une entreprise qui souhaite partager doit d’abord adresser une déclaration d’intention au Financial Crimes Enforcement Network et à la Cybersecurity and Infrastructure Security Agency, en y listant chacune des sociétés avec lesquelles elle compte échanger. Cette déclaration vaut pour une durée de un an et doit être renouvelée au début de chaque année suivante.
Le FinCEN publierait périodiquement la liste des entreprises ayant déposé une telle déclaration, et chaque société devrait vérifier, avant de partager quoi que ce soit, que son interlocuteur y figure bien. Les deux agences disposeraient de 60 jours après promulgation pour publier leurs lignes directrices, et de 180 jours pour arrêter les politiques encadrant la réception de ces informations par l’État fédéral. Un calendrier serré, qui place l’administration sous contrainte de temps autant que les entreprises.
Trente-six heures pour alerter en cas de menace immédiate
La seule obligation ferme du texte concerne l’urgence. Une entreprise couverte qui identifie une information de menace exigeant une attention immédiate, l’exemple cité étant une activité terroriste présumée, dispose de 36 heures au plus pour avertir une autorité de police compétente et le système de signalement d’incidents de la CISA. Ce délai est le point de bascule entre un régime purement volontaire et une véritable obligation de signalement.
Le reste demeure facultatif. Une entreprise peut signaler des activités suspectes au FinCEN et à la CISA, sans que cela crée de nouvelle obligation pour celles qui n’y sont pas déjà soumises, ni ne modifie les règles applicables à celles qui le sont. La sénatrice à l’origine du dépôt insiste sur ce point.
Certains acteurs malveillants se sont servis des crypto-monnaies pour dissimuler leurs pratiques illégales et échapper à toute responsabilité. Le texte offrira aux entreprises crypto un mécanisme volontaire de signalement des acteurs malveillants.
Marsha Blackburn, sénatrice du Tennessee, déclaration transmise à TechCrunch le 28 septembre 2022
Le texte prévoit enfin qu’une entreprise déjà conforme à la section 501 du Gramm-Leach-Bliley Act et à la norme PCI DSS soit réputée satisfaire aux exigences de protection des données partagées. Une façon d’éviter d’empiler une couche de conformité sur celles qui existent.
Plus de deux milliards de dollars envolés en six mois
Le contexte de 2022 explique l’empressement. D’après un rapport de la société d’audit CertiK relayé par TechCrunch, plus de 2 milliards de dollars ont été perdus dans des piratages et des exploits sur le seul premier semestre, un montant supérieur à celui de l’année 2021 entière, atteint en deux fois moins de temps. Les campagnes d’hameçonnage visant les détenteurs de crypto-actifs ont progressé dans les mêmes proportions.
Cynthia Lummis n’en est pas à sa première initiative. En juin 2022, elle avait déposé avec la démocrate new-yorkaise Kirsten Gillibrand un texte bipartisan de 69 pages couvrant l’ensemble du secteur, de la fiscalité des transactions aux règles de réserve des stablecoins. La proposition sur la cybersécurité est beaucoup plus étroite, donc beaucoup plus facile à faire adopter, ce qui n’est probablement pas un hasard de calendrier.
L’angle mort du partage entre entreprises
Un détail du texte mérite l’attention de ceux qui confient leurs actifs à des plateformes. Les informations partagées seraient exemptées des lois d’accès aux documents administratifs, qu’elles relèvent des États, des tribus ou des collectivités locales. Une entreprise qui partage volontairement ne serait pas tenue d’en informer les clients concernés, par dérogation aux règles de notification du Gramm-Leach-Bliley Act.
Le dispositif organise donc une circulation d’informations nominatives hors du regard public, au nom de la sécurité collective. C’est le compromis classique du renseignement partagé, et il se discute d’autant plus que le périmètre annoncé couvre des individus, des organisations et des pays, sans que le texte ne détaille ce qui distingue un indicateur de menace d’un simple soupçon.
Pour un investisseur qui raisonne en années plutôt qu’en séances, la question se déplace ailleurs. La solidité d’une plateforme ne se mesure plus seulement à ses réserves ou à ses audits, mais à sa capacité à voir venir une attaque avant qu’elle ne la frappe. Un secteur où les acteurs se préviennent mutuellement perd un peu de son opacité, et c’est peut-être là, plus que dans les 36 heures réglementaires, que se joue l’intérêt du texte.
