Le Royaume-Uni lance un engagement volontaire pour la cyber-résilience avec 60 premiers signataires

Le gouvernement britannique a dévoilé un nouvel engagement volontaire pour la cyber-résilience, auquel 60 organisations ont adhéré dès son lancement, dont Marks & Spencer, Microsoft, Aviva, Fujitsu, London Stock Exchange Group, Mastercard, Morrisons, Pearson, QinetiQ, SSE, United Utilities et Vodafone.

La secrétaire d’État à la Technologie, Liz Kendall, a présenté l’initiative mardi, expliquant que son objectif était d’inciter les entreprises à considérer la cybersécurité comme un enjeu relevant de la direction, et non comme une question purement technique. Les entreprises qui y adhèrent s’engagent à prendre plusieurs mesures générales : faire de la cyber-risque une responsabilité de la direction, s’inscrire au service Early Warning du National Cyber Security Centre et encourager leurs fournisseurs à respecter le socle Cyber Essentials ou une norme équivalente.

Un dispositif volontaire dépourvu de pouvoir coercitif

L’engagement est conçu comme une déclaration publique plutôt que comme une exigence réglementaire. Aucune sanction n’est prévue pour les entreprises qui choisissent de ne pas y adhérer, et le gouvernement n’a assorti le dispositif d’aucune mesure coercitive. Cela rend la liste des signataires intéressante non seulement par les organisations qui y figurent, mais aussi par celles qui n’y figurent pas.

Plusieurs entreprises récemment confrontées à des cyberincidents très médiatisés étaient absentes de la liste publiée au lancement, notamment Co-op, Harrods et Jaguar Land Rover. Leur absence ne permet pas nécessairement de tirer des conclusions sur leur niveau de sécurité, mais elle souligne que la participation est facultative.

La présence de Marks & Spencer est moins surprenante. Le distributeur a été l’une des victimes de cyberincident les plus visibles au Royaume-Uni l’an dernier ; la signature de cet engagement lui offre donc l’occasion de démontrer qu’il accorde une attention renouvelée à la résilience.

La présence de Capita a attiré l’attention pour une autre raison. L’entreprise d’externalisation a été confrontée à une série de problèmes de cybersécurité ces dernières années, notamment à une amende de l’ICO liée à son incident de rançongiciel de 2023, qui a exposé plus de 6 millions d’enregistrements. Plus tôt cette année, elle a également révélé une exposition concernant un portail de retraite, qui a divulgué des informations personnelles appartenant à des fonctionnaires.

Microsoft figure également parmi les partenaires du lancement, son directeur général au Royaume-Uni, Darren Hardman, ayant apporté son soutien à l’initiative. Au-delà des noms les plus connus, la liste des signataires comprend un large éventail de grandes entreprises, de cabinets de conseil et de sociétés de sécurité, ce qui témoigne d’un intérêt marqué du secteur, même si l’engagement reste pour l’essentiel symbolique.

Pour l’instant, le gouvernement présente ce dispositif comme un signal de bonnes pratiques et de responsabilité partagée. La question de savoir s’il entraînera des améliorations mesurables de l’hygiène informatique des entreprises dépendra du sérieux avec lequel les signataires mettront leurs engagements en œuvre.