CIRCIA et CISA 2015 : la déclaration américaine en suspens

Trois nouvelles américaines de la semaine touchent la même question : quand et comment déclarer un incident. Le 9 novembre, la CISA a revu son formulaire de déclaration d'incident. La règle finale de CIRCIA, qui rendra la déclaration obligatoire pour les infrastructures essentielles, attend toujours l'approbation de la Maison-Blanche. Et la loi qui protège le partage d'information sur les menaces, CISA 2015, expire le 11 décembre. Pour une organisation qui exerce aux États-Unis ou qui y sert des clients, c'est le bon moment de revoir son plan de déclaration.

Ce qui s'est passé

Un nouveau formulaire. Selon Nextgov/FCW, la CISA a mis à jour le formulaire de son portail de déclaration pour recueillir plus de détails et relier des incidents qui paraissent sans lien. Les nouvelles questions portent sur les logiciels malveillants, les techniques d'intrusion, les menaces internes et la manipulation de personnes pour obtenir un accès. Les questions en double ont été retirées, et le formulaire intègre maintenant le référentiel MITRE ATT&CK, un catalogue des comportements d'attaquants qui aide à comparer les incidents.

La règle CIRCIA attend. Le Congrès a adopté CIRCIA en 2022. La CISA a publié sa proposition de règle le 4 avril 2024. Toujours selon Nextgov, la règle finale est arrivée en examen à la Maison-Blanche le 1er octobre 2026 et reste en attente, après une échéance légale manquée en octobre 2025. Sur sa page CIRCIA, la CISA rappelle les deux délais prévus :

La CISA précise qu'avant l'entrée en vigueur de la règle finale, ces déclarations ne sont pas obligatoires, et elle encourage la déclaration volontaire.

CISA 2015 arrive à échéance. La loi de 2015 sur le partage d'information protège les entreprises contre les poursuites et les sanctions réglementaires quand elles partagent des informations sur les menaces avec des partenaires fédéraux. Selon Nextgov, elle a été interrompue pendant la fermeture du gouvernement de 2025, puis prolongée par étapes jusqu'au 11 décembre 2026. Le 1er novembre, 35 groupes industriels, dont la Chambre de commerce des États-Unis et l'American Bankers Association, ont demandé au Congrès de la prolonger jusqu'en 2035 dans la loi de défense. Un second article de Nextgov indique que ce projet de loi est bloqué au Sénat.

Pourquoi ça compte

Les délais se resserrent partout. 72 heures pour CIRCIA, 24 heures pour le premier signalement du Cyber Resilience Act en Europe, et au Canada les obligations de la Loi sur la protection des cybersystèmes essentiels et de la LPRPDE pour les atteintes aux mesures de sécurité. Une organisation présente sur plusieurs marchés aura plusieurs horloges qui démarrent au même incident.

Le formulaire montre ce qui sera demandé. Même avant la règle finale, le nouveau formulaire indique le niveau de détail attendu : techniques utilisées, vecteur d'accès, rôle d'un initié. Une équipe qui documente ses incidents avec ATT&CK sera prête plus vite. Comparer dès maintenant vos dossiers d'incident aux questions du formulaire, pendant qu'aucun délai ne s'applique, montre quels faits vous ne recueillez pas aujourd'hui.

Le partage d'information a une base juridique fragile. Si CISA 2015 expire, les entreprises qui partagent des indicateurs avec le gouvernement américain perdent leurs protections. Les groupes industriels prévoient une baisse du partage. Pour vos équipes, cela peut vouloir dire moins d'information en provenance de partenaires américains, ou une validation juridique de plus avant de partager.

L'incertitude n'est pas une raison d'attendre. Le contenu exact de la règle finale n'est pas public. Mais les délais de 72 et 24 heures sont inscrits dans la loi, et c'est la préparation interne qui prend du temps.

Ce que nous en pensons chez Sentrix

1. Cartographiez vos obligations par marché. Pour chaque pays et secteur où vous exercez, notez l'autorité, le délai et le déclencheur. Notre module d'automatisation de la conformité tient ce registre à jour.
2. Écrivez un seul processus, plusieurs sorties. Un même constat d'incident doit alimenter toutes les déclarations. Le plus court délai fixe le rythme.
3. Documentez vos incidents avec ATT&CK. Les techniques, le vecteur et la chronologie se notent pendant la réponse, pas après. Notre service de réponse aux incidents structure ce journal.
4. Préparez la décision sur les rançons. Le délai de 24 heures suivant un paiement suppose que la décision, ses approbations et sa documentation sont déjà prévues.
5. Faites valider le partage par le service juridique. Avant le 11 décembre, clarifiez ce que vous partagez avec des partenaires américains et sur quelle base, au cas où la loi expire.
6. Répétez. Un exercice sur table qui fait courir les horloges de 24 et 72 heures montre vite où le processus bloque.

La prochaine étape

Prenez votre dernier incident réel et chronométrez combien de temps il a fallu pour réunir les faits que demande le nouveau formulaire de la CISA. Si c'est plus de 72 heures, le plan de déclaration est à revoir. Pour le faire avec nous, contactez-nous.