Résumé

  • En Irlande, l’obligation de signaler un incident de sécurité réseau grave incombe à la Commission for Communications Regulation, et la loi de 2023 telle qu’adoptée ne nomme jamais le National Cyber Security Centre.
  • Le texte dit « without undue delay » sans indiquer d’heures ; les paliers de 24 heures, 72 heures et 30 jours sont arrivés 297 jours plus tard dans un instrument de décision du régulateur, et le maximum pénal du silence est une amende de classe A de 5 000 euros, face à un plafond administratif de 5 millions d’euros.

Le 9 juin 2023, une obligation a commencé à produire ses effets qu’on ne peut pas ignorer deux fois. Les fournisseurs de réseaux publics de communications électroniques, et de services de communications électroniques accessibles au public, doivent notifier à la Commission for Communications Regulation les incidents de sécurité ayant un impact significatif sur l’exploitation de ces réseaux ou services, et doivent le faire « without undue delay », avec des mises à jour sur la résolution et la remédiation (Communications Regulation and Digital Hub Development Agency (Amendment) Act 2023, sections 11(1) et 11(4)). Lorsqu’une menace particulière est suffisamment grave, ces mêmes fournisseurs doivent informer les utilisateurs potentiellement concernés des mesures de protection ou des remèdes disponibles et, le cas échéant, de la menace elle-même (section 12(1)).

La loi porte le numéro 4 de 2023 et a été promulguée le 2 mars 2023 ; elle n’a pas produit d’effet le jour de la signature. Le décret de mise en œuvre, S.I. No. 299 of 2023, a été pris le 6 juin 2023 et a fixé au 9 juin 2023 l’entrée en vigueur des parties 2 à 9, la publication de l’avis étant datée du 13 juin 2023. Cela fait 99 jours entre la promulgation et l’entrée en vigueur : c’est mon calcul sur la date de couverture de la loi et sur l’article 2 du décret. Le dossier parlementaire ajoute sa propre bizarrerie : la version finale imprimée est le n° 86c de 2022, un projet de loi dont l’intitulé a changé par rapport à Communications Regulation Bill 2022, adopté par les deux chambres le 22 février 2023 — neuf jours avant le texte qu’il est devenu.

Voici l’écart qui compte pour une entreprise qui doit décider quoi faire à trois heures du matin. La loi dit « without undue delay » et s’arrête là. Elle ne fixe ni heure, ni jour, ni format, ni analyse des causes profondes. L’Irlande a confié l’horloge au régulateur, et celui-ci l’a publiée le 2 avril 2024 dans la décision D08/24 : un premier signalement dès que possible et dans les 24 premières heures de l’incident, une mise à jour sous 72 heures si le problème persiste, une notification à la résolution, et une mise à jour complète incluant l’analyse des causes profondes dans les 30 jours calendaires suivant le signalement de l’incident grave. Le commentaire explicatif du paragraphe 140 rattache cette première fenêtre de 24 heures à la détection par le fournisseur, seule lecture qui donne à celui-ci un chronomètre qu’il peut réellement déclencher.

La distance entre les deux instruments est l’histoire. De l’entrée en vigueur le 9 juin 2023 à la date de publication portée sur la page de garde de D08/24, il y a 297 jours — là encore ma soustraction de deux dates d’éditeur. Pendant la majeure partie d’une année, un opérateur irlandais a donc été tenu de notifier un régulateur « without undue delay » selon une norme qu’aucun document de ce dossier ne chiffrait. La page Network Incidents de ComReg oriente désormais les fournisseurs vers le portail de signalement sur Data.ComReg et identifie D08/24 comme l’instrument qui précise comment les incidents de sécurité graves doivent être déclarés. La page rappelle aussi l’obligation de la section 11(9) : un résumé annuel des notifications reçues et des mesures prises est transmis au ministre, à la Commission européenne et à l’ENISA.

Vient le prix, et c’est ici que la rédaction irlandaise récompense une lecture attentive. La section 11(8)(a) érige en infraction le non-respect de l’obligation de notification, punissable sur condamnation sommaire d’une amende de classe A. La loi ne dit pas ce que vaut une amende de classe A ; la Fines Act 2010 le fait, à sa section 3, en la définissant comme une amende n’excédant pas 5 000 euros. C’est un maximum pour condamnation sommaire, pas un tarif et certainement pas une sanction observée dans une affaire — mais c’est le chiffre attaché au silence dans la colonne pénale.

La colonne administrative relève d’un tout autre instrument. La partie 7 porte des injonctions correctives et des sanctions pécuniaires (sections 90(2) et 91(1)(a)–(b)), et la section 94(5)(a) fixe le plafond pour une personne autre qu’un individu au montant le plus élevé entre 5 millions d’euros et 10 pour cent du chiffre d’affaires irlandais de l’exercice clos l’année précédant immédiatement l’exercice de la dernière infraction. La voie n’est pas automatique : la section 92(1) exige la confirmation de la High Court au titre de la section 109 avant qu’une sanction administrative prenne effet, et la section 90(3) interdit de poursuivre une infraction déjà constatée comme manquement jugé. La section 63(3) permet une procédure administrative lorsque ComReg renonce à la poursuite sommaire, ou après un renvoi sans poursuite pénale. Les Guidelines for Adjudication Proceedings de ComReg décrivent le renvoi par un agent habilité avec l’accord de la Commission, une liste de sanctions allant de la cessation ou de la remédiation aux sanctions pécuniaires, remboursements et indemnisations jusqu’à la suspension ou au retrait de l’autorisation, et confirment qu’une sanction administrative ne prend effet que si la High Court la confirme, les décisions confirmées étant publiées sous réserve d’exceptions et de caviardages.

Ainsi un même manquement porte deux prix séparés par un facteur mille, et le moins cher est le prix pénal. Cette inversion n’est pas tant un accident de rédaction qu’une déclaration de préférence réglementaire : l’infraction sommaire à 5 000 euros est une formalité qu’un tribunal de district peut liquider, tandis que le plafond de 5 millions d’euros existe pour être négocié lors d’une audience de confirmation devant la High Court dont l’issue est publiée. Le moyen de dissuasion qui atteint un conseil d’administration n’est pas la section 11(8)(a).

C’est le risque d’être entraîné sur la voie de la partie 7, où le chiffre se calcule sur le chiffre d’affaires et où la conclusion devient un document public.

Le National Cyber Security Centre s’insère curieusement dans cette architecture, et la bizarrerie n’apparaît qu’à la lecture du texte plutôt que de la couverture de presse. La loi définit un CSIRT — une équipe de réponse aux incidents de sécurité informatique — comme une unité ministérielle de réponse aux incidents à la section 5, et permet à ComReg de le consulter, de coopérer avec lui, d’échanger des informations et d’obtenir son assistance à la section 16(1)(a). Ce que les pages adoptées examinées pour cet article ne font pas, c’est nommer le National Cyber Security Centre, et aucune section attribuant expressément des fonctions générales à cette entité nommée n’a été identifiée dans le texte lu. Sur l’ensemble du PDF de promulgation consulté, page de garde et pages de sections comprises, le Centre est absent. C’est une conclusion bornée portant sur un seul document, non une affirmation sur la carte institutionnelle de l’État irlandais : le Centre se décrit lui-même, sur sa page CSIRT-IE, comme l’organe au sein du NCSC qui aide les constituants à répondre aux incidents de cybersécurité au niveau national pour l’Irlande, servant principalement les organismes publics et les fournisseurs d’infrastructures nationales critiques, et cite parmi ses responsabilités la surveillance des incidents, les avertissements, la réponse, l’analyse des risques et la participation au réseau des CSIRT. Cette page n’est pas datée et n’identifie pas la loi de 2023 comme source de l’une quelconque de ces missions.

Ce qu’un tiers peut réellement vérifier est mince, et mesurable. Le Network Operations Annual Report 2024 de ComReg, à sa section 2.5, recense 15 incidents signalés à ComReg en 2024, contre 16 en 2023, et 32 574 831 heures-utilisateurs perdues en 2024 contre 22 818 885 en 2023. Le rapport 2023 fournit le comparateur antérieur et la méthode : 16 incidents notifiés en 2023 contre 12 en 2022, les incidents transmis ensuite à l’ENISA étant issus des notifications passées par le portail de signalement qui porte aussi les mises à jour. Mettez les deux années côte à côte : le compteur agrégé baisse d’un incident tandis que les heures de préjudice enregistrées augmentent de 9 755 946 — environ 43 pour cent de plus, mon calcul sur les deux chiffres publiés.

Ne divisez pas l’un par l’autre. Les rapports n’indiquent pas que le total d’heures-utilisateurs provient uniquement des incidents signalés à ComReg, si bien qu’une moyenne d’heures par incident serait une invention déguisée en rigueur. L’observation défendable est plus étroite et plus inquiétante : le seul chiffre qui bouge en public, et qu’un journaliste, un assureur ou une contrepartie peut citer, est un compte qui baisse pendant que le préjudice qu’il est censé résumer augmente de près de moitié.

Savoir si cela traduit moins d’incidents, un meilleur signalement, un changement de périmètre ou une autre manière de comptabiliser les heures de panne n’est établi par aucun de ces deux documents.

Le cadre n’est d’ailleurs pas figé. La consultation 25/84, datée du 5 décembre 2025, propose des modifications des modèles de signalement liés à la météo, de la fréquence et des horaires de signalement, ainsi que de l’appréciation géographique de la gravité des incidents, après l’expérience de la tempête Éowyn. Ce sont des propositions ; leur issue finale n’a pas été établie ici, et la même page de garde qualifie le document de version FINAL, petite leçon supplémentaire sur l’art de lire les instruments plutôt que leurs noms de fichier.

C’est ici que l’article se sépare de ce que BTW a déjà publié sur la même fiche d’annuaire du National Cyber Security Centre. Les deux briefings existants sur cet objet portent sur un commentaire unique capable d’exécuter du code dans un flux de travail gouvernemental britannique, et sur le projet suisse d’une loi cyber autonome. Aucun ne teste une chaîne irlandaise de signalement d’incident. Ce qui est nouveau ici, c’est la chaîne elle-même : une obligation qui va à un régulateur plutôt qu’à l’agence sous le nom de laquelle on la classe habituellement, une horloge logée dans un instrument de décision publié 297 jours après l’entrée en vigueur de l’obligation, un maximum pénal de 5 000 euros sous un plafond administratif de 5 millions d’euros conditionné par la High Court, et un agrégat annuel qui évolue dans le mauvais sens par rapport à sa propre mesure du préjudice.

Où cela laisse-t-il l’opérateur, l’assureur et la contrepartie ? Avec trois éléments qu’un juriste peut utiliser et un que personne ne peut exploiter. L’obligation, le destinataire et la voie d’escalade sont lisibles, datés et citables. L’horloge est lisible mais réside dans un instrument du régulateur, ce qui en fait une décision révisable — la consultation 25/84 le montre — plutôt qu’une constante législative autour de laquelle un conseil peut planifier une décennie. Le plafond est lisible et énorme.

Ce qui n’est pas lisible, c’est un quelconque dossier par fournisseur : dans la loi, D08/24, les lignes directrices d’adjudication et les deux rapports annuels examinés pour cet article, aucune poursuite, sanction ou décision confirmée par la High Court au titre de la section 11 visant un fournisseur nommé n’a été établie. C’est une absence dans le matériel lu, non la preuve d’un casier vierge, et c’est la phrase qui devrait amener un comité de conformité à demander qui le saurait.

L’Irlande a construit l’instrument de signalement. Il est en vigueur, il est tarifé, et il est vérifiable au niveau d’un total national. La redevabilité qu’il laisse à un observateur extérieur est un compteur — qui a baissé d’un seul incident l’année où le préjudice enregistré a augmenté de près de 43 pour cent.