Cyberscore : Vers une Nouvelle Norme de Sécurité pour les Plateformes Numériques

Le principe du Cyberscore

La loi n° 2022-309 du 3 mars 2022 a introduit le Cyberscore, un système de certification de cybersécurité obligatoire pour les plateformes numériques destinées au grand public, telles que les réseaux sociaux, les services de visioconférence et les applications de messagerie instantanée. Ce dispositif, qui sera audité par l’Anssi, vise à garantir un niveau de sécurité adéquat pour les utilisateurs.

Seules les plateformes répondant à des critères spécifiques, qui seront définis par un arrêté ministériel, seront concernées par cette obligation. Le Cyberscore est prévu pour entrer en application le 1er octobre 2023, marquant ainsi une étape importante dans la régulation de la cybersécurité en France.

Notion de cybersécurité

La cybersécurité est définie comme l’état recherché pour un système d’information, permettant de résister à des événements du cyberespace qui pourraient compromettre la disponibilité, l’intégrité ou la confidentialité des données. Cela inclut la protection des données professionnelles et personnelles, ainsi que des services associés.

Par exemple, une entreprise qui utilise des outils de visioconférence doit s’assurer que les données échangées lors des réunions sont protégées contre les accès non autorisés. Cela peut impliquer l’utilisation de protocoles de sécurité avancés et de pratiques de gestion des accès.

Définition des seuils

L’une des principales difficultés réside dans la définition des seuils qui détermineront quels opérateurs de plateformes en ligne et entreprises seront soumis à cette obligation. L’objectif est de cibler principalement les acteurs numériques les plus importants, afin de ne pas freiner l’innovation des petites entreprises.

Par exemple, une start-up proposant une application de messagerie pourrait ne pas être soumise aux mêmes exigences qu’une grande plateforme de réseaux sociaux, ce qui permettrait à l’innovation de prospérer tout en garantissant un niveau de sécurité approprié pour les utilisateurs.

Audit de cybersécurité

Le contenu de l’audit de cybersécurité sera également défini par arrêté ministériel. Ce processus d’audit pourrait inclure divers critères techniques, tels que le chiffrement de bout en bout pour les communications, mais aussi des indicateurs moins techniques, comme le nombre de condamnations par des autorités de protection des données.

Par exemple, une plateforme qui a été condamnée plusieurs fois pour des violations de la protection des données pourrait être considérée comme moins fiable, ce qui influencerait son Cyberscore. De même, la prise en compte de lois extraterritoriales pourrait également jouer un rôle dans l’évaluation de la sécurité d’une plateforme.

Modalités d’information des consommateurs

Les modalités d’information des consommateurs sur le Cyberscore doivent être claires et compréhensibles. Un système coloriel, similaire à celui du Nutriscore, pourrait être utilisé pour indiquer le niveau de sécurité d’une plateforme. Cela permettrait aux utilisateurs de faire des choix éclairés concernant les services numériques qu’ils utilisent.

Par exemple, un utilisateur pourrait choisir d’utiliser une application de messagerie avec un Cyberscore élevé, indiquant une meilleure protection des données, plutôt qu’une autre avec un score plus faible.

Questions fréquentes

Qu’est-ce que le Cyberscore ?
Le Cyberscore est un système de certification de cybersécurité pour les plateformes numériques, visant à informer les utilisateurs sur le niveau de sécurité des services qu’ils utilisent.

Qui sera concerné par le Cyberscore ?
Seules les plateformes numériques répondant à des critères spécifiques, définis par un arrêté ministériel, seront soumises à cette obligation.

Comment sera réalisé l’audit de cybersécurité ?
L’audit sera réalisé par l’Anssi et inclura des critères techniques et non techniques pour évaluer la sécurité des plateformes.

Comment les consommateurs seront-ils informés du Cyberscore ?
Les consommateurs seront informés à l’aide d’un système coloriel, similaire à celui du Nutriscore, pour indiquer le niveau de sécurité des plateformes.

Les sanctions prévues

Tout manquement aux dispositions relatives au Cyberscore pourrait entraîner des sanctions, notamment des amendes administratives. Ces amendes peuvent atteindre 75 000 euros pour une personne physique et 375 000 euros pour une personne morale, prononcées par la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF).