La Commission américaine des opérations boursières (SEC) s'attaque au secteur des services financiers.
Après avoir pris des mesures strictes à l’encontre des sociétés cotées en bourse l’année dernière en instaurant de nouvelles règles (et très controversées) relatives à la divulgation des violations de données, et après avoir semé l’inquiétude parmi les responsables de la sécurité des systèmes d’information (RSSI) avec un procès historique, la SEC s’apprête à mettre en place toute une série de réglementations en matière de cybersécurité pour le secteur des services financiers.
Cette série vertigineuse de propositions, en cours d'élaboration depuis près de deux ans, irrite au plus haut point les courtiers, les conseillers en investissement et les autres acteurs du secteur. (L'un des commissaires de la SEC lui-même a qualifié une de ces règles de « matraque ».)
Nous suivons ces propositions sur , auprès du point de contactet sur , mois après mois, et chaque fois que la SEC semble sur le point de prendre une décision, elle présente une nouvelle série de propositions, dont certaines font écho (ou recoupent entièrement) les propositions précédentes, ce qui sème la confusion et laisse des questions (du moins certaines) sans réponse.
«Cessez d’aller de l’avant avec des idées mal conçues qui ne font que renforcer le pouvoir d’une classe professionnelle d’avocats dont les tarifs horaires semblent augmenter à chaque fois qu’une nouvelle règle est adoptée. »Christopher A. Iacovella, PDG de l'American Securities Association
Une chose est sûre : la SEC ne fait pas les choses à la légère. Ces nouvelles règles de l' relatives aux fuites de données , adoptées en juillet dernier, imposent aux sociétés cotées en bourse de signaler tout incident de cybersécurité significatif ou « important » dans un délai de quatre jours, une mesure controversée qui a provoqué des remous dans les conseils d's américains.
Et la réaction de la SEC face à la cyberattaque dévastatrice de SolarWinds – une action en justice au titre de la loi « » visant cette société et son responsable de la sécurité des systèmes d’information (RSSI), Timothy Brown – marque la première fois qu’un RSSI est tenu personnellement responsable d’avoir prétendument induit les investisseurs en erreur quant au niveau de sécurité de l’entreprise et de ne pas avoir pris les mesures de sécurité élémentaires. Les responsables de la sécurité des systèmes d'information (RSSI) sont, à juste titre, sous le choc, et certains envisagent de quitter le secteur.
À l'intention des acteurs du secteur des services financiers d' qui se demandent ce que la mise en conformité impliquera concrètement pour eux dans les mois à venir, nous avons répertorié les principales préoccupations. Alors, attachez vos ceintures : dans le but de renforcer sa politique en matière de cybersécurité et de technologie, la SEC nous emmène sur une route semée d'embûches.
Présentation détaillée des projets de réglementation de la SEC en matière de cybersécurité destinés aux entreprises du secteur des services financiers
La SEC tente de mettre de l'ordre dans le secteur des services financiers depuis plus de deux ans. Tout a commencé par…
- Un projet de règlement de l' , relatif à la cybersécurité , destiné aux conseillers en investissement et aux fonds, , publié sur février 2022. Cela impliquerait la mise en place de politiques écrites visant à faire face aux risques liés à la cybersécurité, ainsi que la déclaration des incidents de cybersécurité majeurs à la Commission dans un délai de 48 heures. La SEC a invité le public à donner son avis sur cette proposition et a recueilli des commentaires pendant plusieurs mois.
Environ un an plus tard, dans le document « mars 2023 », la Commission a donné suite à cette initiative en proposant une règle similaire visant un groupe désigné collectivement sous le nom d’« entités de marché ». Il s'agit notamment des courtiers-négociants, des chambres de compensation, des associations nationales de valeurs mobilières et des bourses.
- Connue sous le nom de « règle 10 de l' » ( Rule 101), , cette réglementation imposerait la mise en place de politiques de sécurité écrites couvrant notamment le contrôle d'accès, la protection contre les logiciels malveillants, ainsi que le stockage et la surveillance des informations. Les entités devraient également faire l'objet d'examens périodiques afin de s'assurer qu'elles continuent de s'adapter à l'évolution des risques liés à la cybersécurité, et mettre en place des politiques d' , de gestion des incidents pour faire face à ces derniers. La réglementation impose également de signaler toute violation dans un délai de 48 heures à l'aide de la première partie du formulaire SCIR. Les entreprises devraient également informer le public au cours de la même année civile en utilisant la deuxième partie du formulaire.
Elle a proposé simultanément deux amendements à d'autres dispositions.
- Un amendement de l' , , concerne le règlement S-P, , qui est une règle définissant les politiques relatives à visant à protéger les dossiers des clients,. Cet amendement obligerait les courtiers-négociants, les sociétés d'investissement, les conseillers en investissement agréés et les agents de transfert à informer les personnes concernées par ces violations de données.
- Un autre amendement concernant la loi « » ( ) porte sur la conformité et l'intégrité des systèmes de réglementation (Reg SCI), , une règle 2015 que la Commission utilise pour superviser les systèmes informatiques sur les marchés des valeurs mobilières. Cet amendement étendrait son champ d'application à davantage d'entreprises et introduirait de nouvelles obligations, notamment en élargissant la définition de la « intrusion dans les systèmes », ce qui entraînerait davantage d'obligations de déclaration.
Confusion, plaintes et retards
Les règles proposées et les amendements supplémentaires ont suscité une avalanche de commentaires négatifs de la part du secteur. « Nous exhortons cette Commission à cesser de donner suite à des idées mal conçues qui ne font que renforcer le pouvoir d’une classe professionnelle d’avocats et de consultants dont les tarifs horaires semblent augmenter à chaque fois qu’une nouvelle règle est adoptée », a déclaré avec vivacité Christopher A. Iacovella, PDG de l’American Securities Association, dans une contribution publique publiée sur le site .
D'autres ont relevé des redondances.
« Le règlement SCI permet déjà d’atteindre les mêmes résultats en matière de cyber-résilience que ceux prévus par la proposition de règle 10 pour les entités qui sont ou seront soumises au règlement SCI », a déploré Nashira Spencer, directrice générale de la Depository Trust & Clearing Corporation, dans sa réponse publiée sur le site en réponse aux propositions.
Comme si cette avalanche de propositions complexes et qui se chevauchent ne suffisait pas, la Commission a également rouvert la période de consultation publique relative à la règle sur les investissements – vous vous souvenez de cette première proposition concernant les conseillers en investissement et les fonds, issue de la norme 2022 ? – dans mars 2023 afin de l’aligner sur les nouvelles propositions, explique Richard Borden. Associé au sein du groupe « Stratégie des données, protection de la vie privée et sécurité » du cabinet d'avocats Frankfurt Kurnit Klein & Selz, M. Borden suit de près la réglementation de la SEC relative au secteur des services financiers. « [Ils] publieront alors vraisemblablement un ensemble complet couvrant toutes les entreprises qu'ils réglementent. »
De nombreux commentateurs se sont dits préoccupés par les délais très courts imposés : seulement 48 heures pour signaler une cyberattaque, voire moins dans certains cas, et l’obligation de mettre à jour les rapports tout au long de l’attaque. L’Association des conseillers en investissement ( ) a qualifié cette mesure d’ , la jugeant « contraignante et inutile », soulignant qu’elle inonderait la SEC de données qu’elle ne serait pas en mesure de traiter. , d'Amazon Web Services, a averti que « le fait de fournir des informations avant qu'un incident n'ait été évalué peut être source de confusion et de malentendus ».
Les commissaires de la SEC se sont également montrés mécontents de la proposition relative à la règle 10 , qui a été adoptée par 3-2 voix. Une commissaire dissidente, Mme Hester M. Peirce, a averti que cette règle constituait un « instrument de répression de la" destiné à menacer les acteurs du marché plutôt qu’à les aider ». Elle s'inquiétait de la responsabilité juridique pouvant découler d'inexactitudes ou d'omissions dans la première partie du formulaire SCIR, que les entreprises seraient amenées à remplir dans un contexte de panique, alors que des informations précises pourraient ne pas être encore disponibles.
« Cette règle est plus facile à comprendre en tant qu'outil visant à améliorer nos statistiques de fin d'année en matière d'application de la loi qu'en tant que proposition sérieuse visant à renforcer la sécurité des marchés boursiers », a-t-elle déclaré.
La réglementation de la SEC en matière de cybersécurité transfère-t-elle le risque vers le maillon le plus faible ?
Les améliorations apportées au SCI ont également des implications préoccupantes pour les entités du secteur des valeurs mobilières qui recourent à des prestataires de services cloud . Le projet de règlement rejette explicitement le principe de responsabilité partagée. Il s'agit d'un concept bien établi dans le domaine du cloud computing, qui répartit les responsabilités en matière de sécurité et de résilience des systèmes entre le fournisseur de services cloud et l'utilisateur. Au contraire, selon cette proposition, c'est l'organisme relevant du SCI qui assume l'essentiel de ces responsabilités. Elle recommande également à une organisation de recourir simultanément à plusieurs fournisseurs de services cloud afin de renforcer sa résilience lorsque cela est jugé nécessaire.
«C'est incroyablement difficile à réaliser d'un point de vue technique et cela coûterait extrêmement cher. »Richard Borden, associé au sein du cabinet Frankfurt Kurnit Klein & Selz, s'exprime au sujet d'un projet de réglementation obligeant les organisations à recourir à plusieurs fournisseurs de services cloud dans certaines situations
« C'est incroyablement difficile à réaliser d'un point de vue technique et cela coûterait extrêmement cher », explique M. Borden. Il ajoute que cette complexité supplémentaire pourrait entraîner des problèmes opérationnels susceptibles de réduire la fiabilité des systèmes, et non de l'améliorer.
M. Borden craint que les règles proposées ne fassent peser la charge de la gestion des risques sur des établissements financiers qui pourraient ne pas disposer des moyens nécessaires pour y faire face. Par exemple, ces exigences supplémentaires pourraient contraindre les organisations concernées à renoncer complètement aux services cloud et à se tourner vers des systèmes sur site moins sécurisés.
« Je crains que cela n'encourage certains comportements inappropriés, ou certains comportements potentiellement plus néfastes », ajoute-t-il.
Ces extensions réglementaires risquent également d'entrer en chevauchement avec d'autres règles encore. Dans le document « octobre 2023 », la Commission a proposé des exigences de surveillance de l’ concernant les services externalisés par les conseillers en investissement. Les conseillers devront examiner les compétences et les ressources d'un prestataire de services, évaluer les risques éventuels qu'il présente, tout en surveillant périodiquement ses performances et en réévaluant le contrat, et en conservant des traces écrites de l'ensemble du processus.
Les exigences proposées prévoient également plusieurs mesures supplémentaires concernant les fournisseurs de services cloud, notamment la mise en place d'accords visant à maintenir le conseiller en tant que client pendant une durée minimale et à garantir la disponibilité du service.
La réglementation de la SEC en matière de cybersécurité passe l'IA au crible
Aucun régulateur digne de ce nom ne manquerait l'occasion de encadrer les risques liés à l'IA ; c'est pourquoi, dans le cadre de l'initiative « octobre 2023 », la Commission a publié un projet de règlement concernant l'utilisation de technologies telles que l'IA et l'analyse prédictive. Cette mesure découle de la crainte que les conseillers n'utilisent ces technologies pour servir leurs propres intérêts au détriment des investisseurs, et elle s'applique même aux services de robots-conseillers.
« Le problème, c’est que cela s’applique également à tout le reste », a averti le commissaire Mark T. Uyeda dans une déclaration publiée sur , dans laquelle il a refusé d’apporter son soutien à cette proposition.
« Selon le libellé de la règle, même les calculatrices non électroniques, comme un boulier, pourraient légalement entrer dans son champ d'application », a-t-il averti.
M. Uyeda a également critiqué « la tendance observée dans les récentes propositions de la Commission, qui comportaient des éléments quelque peu farfelus, ce qui a attiré l'attention et suscité les commentaires des parties prenantes ».
Parmi ces détracteurs figurait Jennifer W. Han, vice-présidente exécutive de la Managed Funds Association. Dans sa prise de position concernant cette proposition, elle a inclus une analyse d'impact de la réglementation proposée, que le ministère des Affaires étrangères avait commandée au cabinet de conseil économique NERA. Elle a averti que cette règle entraînerait « des coûts de mise en conformité considérables qui pourraient contraindre certaines entreprises à fermer ou à fusionner ».
Un manque de vision d'ensemble
L'une des principales préoccupations concernant bon nombre des réglementations de la SEC ne réside pas seulement dans le fait qu'elles se chevauchent, mais également dans leur manque de cohérence avec d'autres règles gouvernementales en matière de déclaration.
Harley L. Geiger, avocat spécialisé dans le droit et les politiques en matière de cybersécurité au sein du cabinet Venable LLP, attire l’attention sur un rapport intitulé « septembre 2023 » ( ) , publié par le Bureau de la stratégie, des politiques et de la planification du Département de la Sécurité intérieure ( ), qui examine l’harmonisation des procédures de signalement des incidents de cybersécurité au gouvernement fédéral. Son analyse de 52 obligations, en vigueur ou proposées, relatives à la déclaration des incidents cybernétiques a mis en évidence des exigences susceptibles de faire double emploi.
Selon M. Geiger, cette absence de politique cohérente en matière de déclaration pourrait amener les organisations – en particulier celles soumises à plusieurs autorités de régulation – à devoir faire face à une multitude de critères de déclenchement et de délais de déclaration différents. « Il s'agit d'un cadre réglementaire qui laisse à désirer. » « Nous estimons qu'il est important que les organisations soient prêtes à gérer cette diversité, mais aussi que la politique fédérale en matière de signalement des incidents cybernétiques fasse l'objet d'une plus grande harmonisation. »
Veuillez patienter
La SEC (qui n'a pas répondu à notre demande) ne s'est pas prononcée sur la question de savoir si les règles proposées pourraient être adoptées définitivement, ni à quelle date.
M. Borden s'attendait initialement à ce que la Commission présente des résultats peu après la publication de la première réglementation relative aux conseillers en investissement. « Puis, quand ils ont mis en place tout ce dispositif l'année dernière, je me suis dit : “Bon, on va avoir quelque chose dans 90 jours” », conclut-il. « Eh bien, cela fait 14 mois. »
