La NDAA américaine entre dans la dernière ligne droite avec d’importants amendements à la cybersécurité en attente

Fin juin, le House Armed Services Committee a approuvé sa version de la loi sur l’autorisation de la défense nationale (NDAA) pour l’exercice 2023 avec une augmentation de financement de 37 milliards de dollars par rapport à ce que le président Joe Biden avait demandé. Cette semaine, toute la Chambre débattra de l’incontournable projet de loi sur le financement.

La NDAA, promulguée chaque année pour financer l’armée américaine, a été au cours des années précédentes un véhicule par lequel une large bande de législation sur la cybersécurité a été adoptée, compte tenu des difficultés rencontrées par les projets de loi autonomes sur la cybersécurité. Selon l’organisation de recherche à but non lucratif Third Way, de 2017 à 2021, les membres du Congrès ont inclus 290 dispositions liées à la cybersécurité dans les NDAA, les deux dernières NDAA représentant 60 % de ces dispositions.

Les 179 cyberdispositions des NDAA 2020 et 2021 ont largement dépassé les 14 projets de loi sur la cybersécurité adoptés par le 116e Congrès (dont deux étaient ces NDAA). En outre, à partir de 2020 environ, le nombre de cyberdispositions non liées au ministère de la Défense (DoD) a commencé à augmenter, portant sur la sécurité de la chaîne d’approvisionnement et la politique industrielle, la protection des infrastructures critiques et la sécurité des élections. Bien qu’aucune analyse comparable ne soit disponible pour l’exercice 2022 NDAA, une analyse du texte final de ce projet de loi révèle bien plus de 30 sections distinctes consacrées à la cybersécurité.

L’exercice 2023 NDAA s’annonce également comme un véhicule législatif important en matière de cybersécurité, bien que, comme l’a voté le Comité des services armés, légèrement moins axé sur la cybersécurité que les années précédentes, avec 29 sections axées sur la cybersécurité, la plupart mais pas toutes liées à forces armées. La tâche consiste maintenant pour la Chambre à passer au crible 1 200 amendements, dont 38 concernent la cybersécurité.

Voici les principales dispositions non militaires en matière de cybersécurité dans la version du projet de loi dirigée vers le parquet de la Chambre et les amendements les plus importants en matière de cybersécurité à surveiller une fois que la poussière sera retombée après le vote du parquet.

Dispositions clés en matière de cybersécurité non militaire votées par la commission

• Rapport sur les rôles et responsabilités en matière de cybersécurité du Département de la sécurité intérieure, qui exigerait qu’un rapport soit remis au plus tard un an après la date de promulgation de la loi par le secrétaire à la Sécurité intérieure, en coordination avec le directeur de la Cybersecurity and Infrastructure Security Agency (CISA), sur les rôles et responsabilités du Department of Homeland Security (DHS) et ses composantes relatives à la réponse aux incidents cybernétiques.
• Examen des questions liées à la cybersécurité au Département du Trésor, qui obligerait le secrétaire au Trésor à effectuer un examen complet des efforts du Département du Trésor consacrés à l’amélioration de la capacité, de la préparation et de la résilience en matière de cybersécurité du secteur des services financiers. L’examen serait dû au plus tard 270 jours après la date de promulgation de la loi.

Amendements soutenus par Langevin

De nombreux amendements sur la cybersécurité en attente d’un vote à la Chambre proviennent d’un leader du Congrès sur la cybersécurité, le représentant Jim Langevin (D-RI), qui a aidé à diriger le sous-comité cyber des services armés de la Chambre pendant 11 ans et a été l’un des principaux membres de la très influente Cyberspace Solarium Commission. Langevin, qui prend sa retraite à la fin de l’année, a introduit les modifications suivantes :