L'extension de la publication obligatoire sur la sécurité de l'information, annoncée pour « le premier semestre de l'an prochain », repoussée à 2027 ; 40 contrôles sur 773 sociétés
SÉOUL
L'obligation de publication sur la sécurité de l'information pour toutes les sociétés cotées, que le gouvernement avait déclaré en octobre dernier « prévoir de mettre en œuvre à partir du premier semestre de l'an prochain » après une série de piratages ayant touché les opérateurs télécoms, les sociétés financières et jusqu'au réseau de travail du gouvernement, n'entrera en vigueur que le 1er janvier 2027. Le ministère de la Science et des TIC a annoncé que le projet de révision du décret d'application de la « loi sur la promotion de l'industrie de la sécurité de l'information » (loi sur l'industrie de la sécurité de l'information) en ce sens avait été adopté en Conseil des ministres le 20 octobre. Le décret révisé supprime la condition d'un « chiffre d'affaires d'au moins 300 milliards de wons » pour les sociétés cotées, imposant l'obligation de publication à toutes les sociétés cotées au KOSPI et au KOSDAQ, et supprime aussi les exceptions pour les organismes publics, les sociétés financières et les opérateurs de finance électronique. Toutefois, pour les petites entreprises parmi les sociétés cotées, il ne s'appliquera qu'à partir du 1er janvier 2029. Le champ de la publication s'élargit, mais sur les 773 sociétés ayant publié l'an dernier, le gouvernement n'en a contrôlé a posteriori que 40, et l'amende administrative pouvant être infligée aux entreprises qui refusent le contrôle ou ne publient pas de correctif est de 10 millions de wons au maximum.
L'extension de la publication, annoncée pour « le premier semestre de l'an prochain », n'entre en vigueur qu'en janvier 2027
L'extension de la publication était un chantier clé du « plan global interministériel de protection de l'information » présenté conjointement par les ministères concernés le 22 octobre dernier. Le document de Korea Policy Briefing indiquait alors qu'« en étendant à toutes les sociétés cotées l'obligation de publication sur la sécurité de l'information », le gouvernement « introduit un dispositif de notation et de publication du niveau des capacités de sécurité » sur la base des résultats de cette publication. Le même document présentait le plan comme « axé sur des mesures de court terme applicables immédiatement ». Il indiquait qu'une « stratégie nationale de cybersécurité », contenant les mesures de moyen et long terme, serait établie séparément d'ici la fin de l'année, et lors de la séance de questions-réponses du point presse, il a été répondu qu'elle serait établie et présentée « d'ici décembre ».
La date de mise en œuvre a été donnée directement lors de la séance de questions-réponses. Un journaliste ayant demandé : « Je voudrais vous demander encore une fois seulement le calendrier : l'extension à toutes les sociétés cotées de l'obligation de publication sur la sécurité de l'information sera-t-elle mise en œuvre dès l'an prochain ? », la partie gouvernementale a répondu : « Nous prévoyons de mettre en œuvre l'obligation de publication sur la sécurité de l'information à partir du premier semestre de l'an prochain. » La transcription n'indique pas qui a fait cette réponse. Se tenaient alors sur l'estrade le vice-Premier ministre et ministre de la Science et des TIC Bae Kyung-hoon, le deuxième vice-ministre de la Science et des TIC Ryu Je-myung, Shin Jin-chang, qui dirige le secrétariat général de la Commission des services financiers, Lee Jeong-ryeol, chef du secrétariat de la Commission de protection des informations personnelles, Kim Chang-seop, qui occupe le poste de troisième directeur adjoint du Service national de renseignement, et Lee Yong-seok, chef du bureau de l'innovation du gouvernement numérique du ministère de l'Intérieur et de la Sécurité.
La mise en œuvre effective a été plus tardive. En publiant le projet de révision du décret pour consultation le 9 janvier de cette année, le ministère de la Science et des TIC avait indiqué qu'il « prévoit de procéder de manière à ce qu'il puisse s'appliquer à partir des assujettis à la publication sur la sécurité de l'information de 2027 ». À ce stade, la date d'application était déjà fixée à 2027. Lors de la nouvelle consultation législative du 11 mai (avis n° 2026-569 du ministère de la Science et des TIC), les dispositions transitoires ont changé. Une disposition nouvelle accordait aux petites entreprises au sens de la loi-cadre sur les PME un report de deux ans de la date d'entrée en vigueur, compte tenu de leurs effectifs et de leurs conditions de gestion. Lors de la consultation de janvier, le document de Korea Policy Briefing indiquait que l'exception pour les petites entreprises serait supprimée. La période de dépôt d'avis de la nouvelle consultation courait jusqu'au 22 juin, et une analyse d'impact réglementaire ainsi qu'un exposé des motifs article par article étaient joints au projet. Au bout du compte, l'extension de la publication, présentée en octobre dernier comme une « mesure de court terme », commencera en 2027, et les petites entreprises cotées ne commenceront à publier que deux ans plus tard.
La présentation du plan global elle-même avait pris du retard. Lors de la séance de questions-réponses, le représentant du gouvernement qui répondait a commencé par « s'agissant des raisons du retard par rapport à fin septembre, en fait, nous avons continué, autour de cinq ministères » avant d'ajouter : « Il est vrai que cela a pris un peu plus de temps. »
Le ministère de la Science et des TIC met en avant la suppression des angles morts et le droit du public à l'information
Le ministère de la Science et des TIC a expliqué que cette révision supprimerait les angles morts du dispositif de publication et garantirait le droit du public à l'information, tout en incitant les entreprises à considérer la sécurité de l'information comme un investissement plutôt que comme un coût. Le vice-Premier ministre Bae Kyung-hoon a déclaré le 20 que « la publication sur la sécurité de l'information est un dispositif important qui garantit le droit du public à l'information et incite les entreprises à investir volontairement dans la sécurité de l'information ». « J'espère que s'installera un cercle vertueux dans lequel l'investissement dans la sécurité de l'information sera plus actif et le niveau de sécurité de l'information du pays tout entier s'élèvera », a déclaré le vice-Premier ministre Bae.
Le contenu de la révision porte sur l'élargissement des assujettis. Selon l'avis de nouvelle consultation, l'article 8, paragraphe 1, du décret supprime à la fois la condition de désignation et de déclaration d'un responsable de la sécurité de l'information (CISO) et la condition d'un chiffre d'affaires d'au moins 300 milliards de wons, et inclut parmi les assujettis les sociétés cotées sur le marché des valeurs mobilières et au KOSDAQ. Selon le document du ministère du 20, les sociétés d'acquisition à vocation spécifique (SPAC) en sont exclues. Les entités tenues, à la fin de l'année précédente, d'obtenir la certification du système de gestion de la sécurité de l'information (ISMS) au titre de la loi sur les réseaux d'information et de communication sont ajoutées au point 4 du même paragraphe. L'article 8, paragraphe 2, est supprimé, ce qui fait disparaître les conditions d'exclusion qui s'appliquaient aux organismes publics, aux petites entreprises, aux opérateurs financiers et aux opérateurs de finance électronique. Le critère de calcul du nombre d'utilisateurs passe aussi de la moyenne quotidienne des trois derniers mois de l'année précédente à la moyenne quotidienne de toute l'année précédente.
Le ministère a indiqué qu'il publierait, pour les entreprises nouvellement assujetties, des « lignes directrices sur la publication sur la sécurité de l'information » tenant compte de la révision et qu'il proposerait un accompagnement par du conseil. Des consultations en ligne permanentes, des formations et des formations itinérantes dans les régions seront aussi organisées. L'exposé des motifs de l'avis de nouvelle consultation explique que la révision vise à surmonter l'inquiétude du public accrue par les récents piratages et à renforcer les capacités nationales de sécurité de l'information. Dans son communiqué du 9 janvier, le ministère avait résumé l'essentiel de la révision comme « la suppression du critère de chiffre d'affaires pour les sociétés cotées, l'inclusion des entreprises certifiées ISMS et l'abolition des exceptions », et son objectif comme « l'incitation des entreprises à investir volontairement dans la sécurité et le renforcement de la garantie du droit du public à l'information ». Le même jour, Choi Woo-hyuk, chef du bureau de la politique des réseaux du ministère, avait déclaré : « Grâce à cette amélioration du dispositif, il est désormais possible de connaître la situation en matière de sécurité de l'information d'un plus grand nombre d'entreprises qu'auparavant. »
KT, pour qui l'inspection d'urgence n'avait « rien révélé de particulier », a été évoqué deux mois plus tard au point presse sur le plan
Les discussions sur l'extension de la publication ont pris de la vitesse après de graves incidents. Un responsable du ministère de la Science et des TIC avait indiqué dans un document de Korea Policy Briefing du 11 août dernier qu'« à la suite de l'incident d'intrusion chez SKT, des inspections d'urgence sur place ont été menées jusqu'à cette semaine auprès des autres opérateurs télécoms, comme KT et LG U+, et des principales plateformes, comme Naver, Kakao, Coupang et Woowa Brothers, et rien de particulier n'a été révélé ».
Au point presse sur le plan global, tenu un peu plus de deux mois plus tard, l'incident de KT, qui faisait partie des entités inspectées, a fait l'objet de questions. Un journaliste a demandé : « Pour la femtocellule de KT qui a récemment posé problème, je crois savoir que le problème est survenu parce que KT n'a finalement pas pu en éliminer la totalité. » Le vice-ministre Ryu Je-myung a répondu, à propos des femtocellules : « Une chose, la récupération, la question de la récupération n'est pas facile. » Le vice-ministre Ryu a aussi déclaré : « En lien avec l'incident de KT, nous voulons supprimer, pour les micropaiements, l'authentification uniquement par SMS ou par ARS. » L'incident de Lotte Card a aussi été évoqué lors de la même séance de questions-réponses.
Les remèdes présentés par le gouvernement étaient l'élargissement des inspections et celui de la publication. Le document de Korea Policy Briefing indiquait que « pour dissiper l'inquiétude généralisée face au piratage, un vaste contrôle des vulnérabilités de sécurité est immédiatement lancé sur quelque 1 600 systèmes informatiques utilisés par la grande majorité de la population, dans les secteurs public, financier, des télécommunications, etc. ». Shin Jin-chang a indiqué que, parmi eux, le contrôle de 260 systèmes du secteur financier serait achevé d'ici la fin du mois. L'extension de l'obligation de publication faisait partie de ce train de mesures, mais le décret d'application qui lui sert de base juridique n'a été adopté en Conseil des ministres que le 20 de ce mois, près d'un an après le point presse.
Le même plan comprenait plusieurs mesures visant les entreprises victimes d'incidents. Le gouvernement a déclaré qu'il allait « élargir les pouvoirs d'enquête du gouvernement afin qu'il puisse enquêter rapidement sur place, même sans déclaration, dès qu'il dispose d'indices de piratage ». Les audits de certification ISMS et ISMS-P seront recentrés sur les contrôles sur place, et la certification sera retirée en cas de défaillance grave dans une entreprise certifiée. Le plan prévoyait aussi d'alléger la charge de la preuve pesant sur les consommateurs lorsqu'un piratage résulte d'une négligence de l'entreprise en matière de sécurité, et d'examiner la création d'un fonds utilisant le produit des sanctions pécuniaires pour fuite de données personnelles, notamment pour soutenir les victimes. Le renforcement de la responsabilité du PDG et du rôle du CISO figurait aussi parmi les mesures. Lors du point presse, 900 grandes entreprises et 260 institutions financières ont été mentionnées parmi les quelque 1 600 entités à contrôler, et un journaliste a posé une question en citant le chiffre de 228 infrastructures d'organismes publics.