La coopération internationale en matière de cybersécurité devrait progresser en 2019

La France, qui préside le G7 cette année, a fait de la cybersécurité une des priorités de sa présidence. Des avancées sont à attendre dans ce cadre en matière de coordination internationale de la cybersécurité du système financier, comme cela a été évoqué lors de la conférence 2019 du G7 à la Banque de France, en mai dernier. « La cybersécurité est désormais reconnue partout comme un risque majeur pour le secteur financier, un risque systémique, du fait de l’interconnectivité. […] L’approche doit être coordonnée pour être efficiente », assurait François Villeroy de Galhau lors de cette conférence. Un exercice de simulation de crise cyber dans le secteur financier a été mené en juin, impliquant les sept pays concernés (Allemagne, Canada, États-Unis, France, Italie, Japon, Royaume-Uni, États-Unis), ce qui constitue une première à cette échelle.

Étape suivante, les ministres des finances et les gouverneurs de banques centrales du G7 devaient se réunir à Chantilly les 17 et 18 juillet et la présidence française pourrait proposer d’avancer sur trois sujets, comme l’a indiqué le gouverneur de la Banque de France lors de la conférence du 10 mai : dresser le bilan de ce premier exercice de gestion de crise à l’échelle du G7, mandater le conseil de stabilité financière (FSB) pour gérer la stabilité des textes réglementaires, et définir avec le G7 Cyber Expert Group (CEG) une classification des cyber-incidents.

Ce groupe d’experts constitué en novembre 2015, présidé par le Royaume-Uni et les États-Unis, a déjà publié plusieurs fois des « éléments fondamentaux » et devrait produire de nouvelles études cette année sur la coordination sectorielle et l’évaluation des vulnérabilités, travaux que la présidence française du G7 entend promouvoir.

La réunion des pays du G7 du 24 au 26 août à Biarritz pourrait en être l’occasion et devrait acter d’autres avancées en matière de coordination de la cyberdéfense des acteurs financiers.

Cybersecurity Act

Au niveau européen, la réglementation progresse vers davantage de convergence entre les pays. Le règlement nommé Cybersecurity Act, paru le 7 juin 2019, comporte deux volets distincts. Il acte l’adoption d’un mandat permanent pour l’ENISA, l’agence européenne pour la cybersécurité créée en 2004, consacrée comme point de référence pour les institutions de l’Union européenne. Cette agence doit apporter son soutien à la coopération opérationnelle entre les États membres. Le règlement définit par ailleurs un cadre européen de certification de cybersécurité. Le recours à la certification en matière de cybersécurité devrait être encouragé, et les certificats délivrés par un État membre seront désormais reconnus dans toute l’Union. Ce règlement est issu du « paquet » cyber présenté par la Commission européenne le 13 septembre 2017, qui vise à faire avancer l’autonomie stratégique européenne en matière de cybersécurité.

Le dossier de septembre de Revue Banque sera consacré au thème du cyber-risque.