Cette réglementation en matière de protection de la vie privée est en train de transformer la manière dont les entreprises sont censées fonctionner. Il n’y a plus aucun doute sur les conséquences lorsqu’une entreprise n’investit pas dans un programme de cybersécurité, ni sur la question de savoir qui en est responsable. Voyons rapidement ce qui marquera cette année.
Réglementations américaines en matière de protection de la vie privée : mise à jour des exigences du CCPA, du NYDFS et de la SEC
La CCPA pourrait faire l’objet de modifications. Actuellement, la CCPA fait l’objet d’une consultation publique visant à recueillir des commentaires sur la manière dont les audits s’inscrivent dans le cadre de cette loi. De plus, nous commencerons à voir apparaître des décisions judiciaires relatives à la CCPA, qui nous donneront une idée concrète des pertes auxquelles nous pouvons nous attendre en cas de non-respect de la loi. Pour ceux qui souhaitent suivre l’actualité avec nous, le cabinet Perkins Coie propose un excellent outil de suivi.
Le règlement du NYDFS fera probablement l’objet d’une modification. Les commentaires des acteurs du secteur sont en cours d’examen. Une fois que le DFS aura formulé ses recommandations, celles-ci suivront le processus législatif. Points à retenir :
- « Le RSSI et le plus haut responsable des entités concernées sont tous deux tenus de signer une attestation de conformité, et une notification de conformité doit être transmise chaque année au NYDFS. » – Morgan Lewis.
- Il ne s’agit pas seulement d’une loi sur la protection de la vie privée, mais également de la résilience des entreprises et de la sécurité des opérations.
La SEC souhaite que ses nouvelles règles entrent en vigueur dès que possible. Celles-ci comprennent des dispositions relatives aux obligations de déclaration en matière de cybersécurité, ainsi que des règles visant à imposer l’adoption de pratiques standardisées. Comme pour toutes les réglementations fédérales, celle-ci pourrait prendre un certain temps à se mettre en place. D’autres dispositions, notamment celles concernant la déclaration de l’empreinte carbone, semblent susciter des tensions. Nous verrons si la SEC respectera son calendrier.
Une amende de 100 millions de dollars pour des infractions à la loi BIPA. En 2022, plusieurs affaires liées à la loi BIPA de Louisiane ont donné lieu à des sanctions importantes. Les choses s’accélèrent, et les responsabilités sont désormais une réalité. Pour en savoir plus, consultez le Data Protection Report.
Pourquoi les dirigeants doivent accorder la priorité à l’expertise en cybersécurité
Face à cette forte pression législative, les responsabilités concrètes sont désormais bien réelles. Les dirigeants ne peuvent plus ignorer les conseils des équipes de sécurité. La réalité est que la plupart des entreprises ne sont pas prêtes. Un bref extrait de Forbes illustre parfaitement cette situation :
« Notre analyse a montré que seules 51 % des entreprises du classement Fortune 100 comptent parmi leurs administrateurs une personne possédant une expérience pertinente en matière de cybersécurité. La situation est plus préoccupante dans les classements Fortune 200 et 500 : seules 9 % d’entre elles comptent des administrateurs compétents en cybersécurité. La situation est encore pire pour les entreprises du Russell 3000, plus petites que celles du Fortune 500 : seules 8 % d’entre elles disposent d’administrateurs spécialisés en cybersécurité. On constate un déficit total de 2 724 administrateurs possédant une expertise en cybersécurité dans l’ensemble des entreprises du Russell 3000. » – Forbes
Pour réussir à pourvoir ces postes, les responsables de la sécurité devront se forger une opinion sur les évolutions d’un point de vue juridique, sur leur impact sur la stratégie d’entreprise et sur la manière dont l’entreprise peut tirer parti des opportunités offertes par des marchés soumis à des réglementations en constante évolution.
En résumé, les RSSI doivent prendre part à toutes les discussions stratégiques au sein du conseil d’administration. Un RSSI proactif peut en effet constituer un avantage concurrentiel. Ces dirigeants proactifs sauront analyser les données de l’entreprise, les exploiter pour en tirer des avantages sur le marché et relever les nouveaux défis réglementaires. Les entreprises capables de garder une longueur d’avance sur l’évolution du cadre réglementaire obtiendront un meilleur retour sur investissement. Celles qui considèrent la conformité comme une simple formalité prendront du retard.
Le respect des réglementations en matière de conformité est essentiel au bon fonctionnement de votre entreprise, mais cela ne doit pas pour autant mobiliser une part disproportionnée de vos ressources. Laissez Clumio vous aider à automatiser la conformité et à simplifier la gestion, tout en réduisant vos coûts liés à la protection des données. Contactez-nous pour bénéficier d’un conseil sur mesure.
