Résumé

  • Le 20 octobre, le gouvernement sud-coréen a approuvé l'extension de l'obligation de publier les investissements, effectifs et activités de sécurité informatique. Les organismes publics perdent leur exemption à compter du 1er janvier 2027.
  • Toutes les sociétés cotées au KOSPI ou au KOSDAQ entreront dans le dispositif quel que soit leur chiffre d'affaires, sauf les sociétés d'acquisition à vocation spécifique. Les petites entreprises disposent d'un délai jusqu'au 1er janvier 2029.

On peut demander aux autres de montrer patte blanche tout en gardant son propre registre dans un tiroir. Le gouvernement sud-coréen a décidé de fermer ce tiroir. Selon le communiqué original du ministère des Sciences et des TIC, le décret adopté en conseil des ministres le 20 octobre retire les exceptions dont bénéficiaient notamment les organismes publics, les entreprises financières et les opérateurs de finance électronique. Leurs moyens de sécurité rejoindront le champ de la publication obligatoire.

Le décret efface aussi le seuil de 300 milliards de wons de chiffre d'affaires qui s'appliquait aux sociétés cotées. Toutes celles du KOSPI et du KOSDAQ sont visées, à l'exception des sociétés d'acquisition à vocation spécifique. Les organismes soumis à la certification obligatoire du système de management de la sécurité de l'information, ou ISMS, s'ajoutent au périmètre. L'entrée en vigueur est fixée au 1er janvier 2027. Pour les petites entreprises définies par la réglementation, la date est le 1er janvier 2029.

Les déclarations portent sur les dépenses et les effectifs de sécurité, les certifications, les évaluations, les inspections et les activités menées. Ces rubriques obligent à nommer les ressources derrière les assurances générales. Pour un organisme public qui héberge des données ou fournit un service numérique, l'intérêt est immédiat : le citoyen pourra voir qui finance la protection et combien de personnes y travaillent.

Un détail technique changera également la frontière du dispositif. Le nombre moyen quotidien d'utilisateurs sera calculé sur l'ensemble de l'année précédente, au lieu des trois derniers mois. Une activité saisonnière pourrait ainsi changer de catégorie. Le ministère annonce des consignes révisées, du conseil, des permanences en ligne et des formations en région pour les nouveaux déclarants.

Le communiqué ne chiffre ni le nombre de nouveaux organismes concernés ni les dépenses de sécurité qu'ils engageront. Le premier exercice de publication donnera la mesure du périmètre réel. La décision du 20 octobre, elle, est nette : le statut public et un chiffre d'affaires inférieur à l'ancien seuil ne suffiront plus à ranger le registre de sécurité hors de la vue du public.

Sources