Résumé

  • Le droit britannique en vigueur impose au ministre de désigner et publier une stratégie nationale NIS, à laquelle les régulateurs doivent se référer. Le Cyber Security and Resilience Bill supprimerait ces dispositions et permettrait au ministre d’adopter une nouvelle déclaration de priorités.
  • Le projet rend le rapport annuel obligatoire, mais fait commencer la première période de douze mois à la publication de cette déclaration. Il ne fixe aucune échéance à cette première publication ; l’examen plus large prévu tous les cinq ans aurait, lui, pour point de départ la date d’adoption de la loi.

Un rapport annuel sans premier jour

Pour savoir quand le premier rapport annuel sera dû, il faut d’abord trouver la date à laquelle son année commence. Le projet britannique de loi sur la cybersécurité et la résilience des réseaux et systèmes d’information donne une réponse conditionnelle : la période initiale de douze mois débute le jour où est publiée la première déclaration de priorités désignée au titre de l’article 25. À l’issue de cette période, le ministre doit déposer un rapport devant le Parlement et le publier.

Ce rapport décrirait, en termes généraux, la façon dont les autorités de régulation ont respecté leurs obligations au cours de l’année écoulée et ce qu’elles prévoient pour la suivante. La périodicité annuelle existe donc bien dans le texte. Mais son premier point d’ancrage dépend d’une publication distincte.

Or l’article 25 ne commande pas au ministre de publier cette déclaration : il prévoit qu’il peut la désigner, sous réserve de la procédure de l’article 26. Le projet ne dit pas à quelle date la première déclaration doit paraître. En lisant les deux articles ensemble, on peut conclure que le rapport annuel est obligatoire une fois la première déclaration publiée, mais qu’aucune échéance légale ne lance le premier cycle. Ce constat porte sur la rédaction proposée ; il ne permet pas de prédire qu’un ministre tardera à agir.

Une obligation disparaît, une habilitation la remplace

Le contraste est plus net lorsqu’on regarde le droit actuel. L’article 2 des Network and Information Systems Regulations 2018 impose à un ministre de désigner et de publier une stratégie nationale NIS. L’article 3(6) impose aux autorités compétentes et à l’Information Commission de tenir compte de cette stratégie dans l’exercice de leurs fonctions. La version du projet HL Bill 49 supprimerait ces deux dispositions.

La déclaration de remplacement ne serait pas un simple nouveau nom pour le même document. L’article 25 permettrait au ministre de fixer des priorités gouvernementales, de répartir les rôles et responsabilités et d’énoncer des objectifs pour les régulateurs. L’article 27 leur imposerait ensuite de tenir compte de la déclaration et de chercher à atteindre les objectifs pertinents, tant qu’elle est désignée.

Le gouvernement défend une logique de coordination. Il indique que douze régulateurs sectoriels appliquent aujourd’hui le régime NIS. Leur connaissance propre de l’énergie, de la santé, des communications, de l’eau ou des services numériques est utile, mais elle peut aussi produire des pratiques divergentes. Une déclaration commune pourrait orienter les priorités sans imposer des règles identiques à tous les secteurs. Lors des débats en commission aux Communes, le ministre a présenté la déclaration comme le remplacement de la stratégie nationale et expliqué que la règle de stabilité de trois ans devait aider les régulateurs à planifier.

Cette justification n’efface pas le changement de forme juridique. Le régime en vigueur comprend une obligation permanente de produire une stratégie. Le projet fait dépendre les nouvelles obligations des régulateurs d’un choix exécutif : la désignation d’une déclaration. Le texte ne demande pas au ministre de publier un calendrier, de justifier l’absence de déclaration ou de fixer une date limite. Le premier rapport annuel repose donc sur une décision préalable dont l’échéance reste ouverte.

Des garanties après le choix, pas avant

Lorsqu’un ministre décide d’avancer, l’article 26 prévoit plusieurs étapes. Les autorités de régulation doivent être consultées sur un projet pendant au moins quarante jours. Le ministre doit ensuite examiner les réponses, déposer la déclaration devant le Parlement, puis attendre la fin d’un autre délai de quarante jours. Si l’une des deux chambres vote contre pendant cette période, la déclaration ne peut pas être désignée.

Cette procédure donne aux régulateurs un temps de réponse et au Parlement une possibilité de désapprobation. Elle ne précise toutefois pas quand le processus doit démarrer. Après sa désignation, la déclaration ne peut en principe être modifiée ni retirée pendant trois ans. Une élection générale ou un changement important de politique gouvernementale ou de menace, selon l’appréciation du ministre, autoriserait une modification plus rapide. Le dispositif cherche ainsi à concilier stabilité pour la planification et adaptation à des circonstances précises ; il ne garantit pas que la première déclaration paraîtra rapidement.

Le contenu du rapport annuel compte aussi. L’obligation porte sur l’activité des régulateurs et leurs projets, décrits en termes généraux. Un tel rapport peut permettre au Parlement de poser des questions et de comparer des pratiques. À lui seul, il n’est pas un audit indépendant de la résilience obtenue. Le projet n’exige pas par cette clause de démontrer que les incidents ont diminué, que les services publics se rétablissent plus vite ou que les objectifs ont produit des résultats mesurables.

L’examen quinquennal suit un autre calendrier

L’article 40 prévoit un examen plus large : le ministre doit faire rapport au moins tous les cinq ans à compter du jour où la loi est adoptée. Il doit notamment examiner le fonctionnement de la législation NIS visée, la réalisation et la pertinence des objectifs, la possibilité d’obtenir les mêmes résultats par des moyens moins contraignants et l’exercice des pouvoirs ministériels prévus par le projet.

Le comité des Affaires constitutionnelles de la Chambre des lords a estimé qu’un intervalle de cinq ans était trop long dans un domaine qui évolue rapidement, alors que le texte confie des pouvoirs importants au ministre. Le 13 octobre, Lord Clement-Jones a déposé un amendement qui remplacerait le chiffre « 5 » par « 2 ». À la date de cette recherche, il s’agissait d’une proposition pour l’examen en séance, et non d’une modification adoptée. Elle raccourcirait le cycle de l’article 40, mais ne fixerait pas la date de publication de la première déclaration ni le début de la première période de l’article 28.

Lors du débat antérieur aux Communes, le gouvernement a soutenu que l’évaluation complète d’un régime multisectoriel exige du temps et que les rapports annuels offriraient une surveillance plus fréquente. Les deux mécanismes répondent pourtant à des questions différentes. Un bilan annuel des activités de régulateurs n’équivaut pas à l’analyse de l’efficacité de la loi, des solutions moins contraignantes et de l’usage des pouvoirs ministériels. Et ce canal annuel ne peut servir de repère calendaire tant que sa première période n’a pas commencé.

Au 14 octobre 2026, le projet reste devant la Chambre des lords. Le HL Bill 49, amendé en commission le 7 septembre, est la dernière version réimprimée ; l’examen en séance est prévu le 26 octobre. Le texte n’est pas une loi. La liste du 13 octobre recense des amendements proposés, pas des décisions déjà prises. Son éventuelle entrée en vigueur dépendrait encore de son adoption et de ses dispositions de commencement.

La question à trancher n’est donc pas de savoir si le projet promet des rapports : il en prévoit. Il s’agit de décider si le premier cycle annuel doit débuter à une date que le pouvoir exécutif fixera plus tard, ou si le Parlement doit rendre son activation vérifiable. Un délai légal pour publier la première déclaration pourrait préserver la consultation et le contrôle parlementaire tout en donnant une date au démarrage. Un rapport de repli pourrait rendre visible une attente prolongée, mais devrait préciser ce que les régulateurs peuvent rapporter avant l’existence de priorités communes.

Dans les deux cas, le calendrier de la première mise en œuvre serait distingué du choix de fond sur les priorités.

Le passage d’une stratégie nationale obligatoire à une déclaration facultative peut offrir de la souplesse et une direction plus cohérente. Il place aussi le premier cycle annuel derrière une condition de publication. Une fois la déclaration en place, le rapport est bien une obligation. Avant cette étape, le projet ne fournit aucune date fixe permettant au Parlement ou au public de mesurer l’attente.

Sources