Si votre entreprise se fait pirater l'an prochain, vous pourriez n'avoir que 72 heures exactement pour en informer le gouvernement fédéral — que vous soyez prêt ou non.
C'est le cœur d'une nouvelle règle fédérale en cours d'élaboration à Washington : le Cyber Incident Reporting for Critical Infrastructure Act, ou CIRCIA. Cela ressemble à une règle qui ne concernerait que les centrales électriques et les oléoducs. Ce n'est pas le cas. La CISA estime que la règle finira par couvrir plus de 300 000 organisations, et une part significative d'entre elles sont des petites et moyennes entreprises qui n'ont jamais eu à déposer un signalement d'incident auprès de qui que ce soit de toute leur existence.
La règle n'est pas encore définitive — sa date de publication a été repoussée à plusieurs reprises, et elle est désormais attendue quelque part à l'automne 2026. Mais les deux délais qui en constituent le cœur, une fenêtre de 72 heures pour signaler un incident cyber grave et une fenêtre de 24 heures pour signaler un paiement de rançon, sont inscrits directement dans la loi votée par le Congrès. Aucun report supplémentaire du processus réglementaire ne pourra assouplir ces délais une fois la règle en vigueur. Si vous dirigez une entreprise qui pourrait plausiblement être concernée, c'est cette année qu'il faut prendre les devants plutôt que de le découvrir à ses dépens.
Ce que la CIRCIA exige réellement
En dépit de la soupe d'acronymes, la CIRCIA se résume à deux obligations pour une « entité couverte » :
- Signaler un cyberincident important à la CISA dans les 72 heures suivant le moment où l'entreprise a des motifs raisonnables de croire qu'un incident s'est produit.
- Signaler un paiement de rançongiciel dans les 24 heures suivant son versement, même si l'incident lui-même n'a pas atteint le seuil d'« importance ».
Il ne s'agit pas de notifications internes à un responsable ni d'un dépôt vague à faire « rapidement ». C'est un compte à rebours strict qui démarre dès l'instant où vous avez des motifs raisonnables de croire qu'un incident s'est produit — pas au moment où vous avez terminé l'enquête, confirmé l'étendue complète des dégâts, ou consulté un avocat. Cette distinction compte énormément pour une petite entreprise, car 72 heures ne laissent pas beaucoup de marge pour à la fois contenir une brèche, comprendre ce qui s'est passé, et produire un rapport suffisamment précis pour être soumis à une agence fédérale.
Qui est réellement « couvert »
C'est là que la CIRCIA va plus loin que ce que la plupart des propriétaires de petites entreprises imaginent. La couverture passe par deux voies distinctes, et il suffit d'entrer dans l'une des deux.
Couverture fondée sur la taille. Si votre entreprise opère dans l'un des 16 secteurs d'infrastructures critiques désignés au niveau fédéral et dépasse les seuils de taille de la Small Business Administration (généralement entre 100 et 1 500 employés, ou environ 2,25 millions à 47 millions de dollars de chiffre d'affaires annuel, selon le code sectoriel précis), vous êtes probablement couvert, aussi peu prestigieuse que puisse paraître votre activité.
Couverture fondée sur le secteur. Certains types d'entités sont couverts d'office, sans test de taille — notamment les hôpitaux, les banques et coopératives de crédit, les opérateurs télécoms, les services publics et les sous-traitants fédéraux.
Les 16 secteurs sont plus larges que ce que « infrastructures critiques » évoque dans une conversation informelle :
- Produits chimiques
- Installations commerciales
- Communications
- Fabrication critique
- Barrages
- Base industrielle de défense
- Services d'urgence
- Énergie
- Services financiers
- Alimentation et agriculture
- Services et installations gouvernementales
- Santé et santé publique
- Technologies de l'information
- Réacteurs, matières et déchets nucléaires
- Systèmes de transport
- Eau et eaux usées
Un prestataire régional de services informatiques gérés, une boulangerie industrielle de taille moyenne fournissant des chaînes d'épicerie, une société de financement spécialisée, un prestataire de facturation médicale, une entreprise de logistique transportant du fret réglementé — toutes ces entreprises peuvent plausiblement se retrouver dans l'un de ces secteurs bien avant de se décrire elles-mêmes comme des « infrastructures critiques ». Si votre entreprise touche aux services financiers, à l'informatique, à la santé, aux chaînes d'approvisionnement alimentaire ou aux marchés publics, et qu'elle a dépassé le stade de l'équipe squelette, cela vaut la peine de faire réellement le calcul du seuil de taille de la SBA plutôt que de supposer que la règle concerne quelqu'un d'autre.
Ce qui constitue un incident à signaler
Le déclencheur de la CIRCIA est un « cyberincident important », une notion plus large qu'un simple arrêt lié à un rançongiciel massif. Elle inclut :
- Une perte significative de confidentialité, d'intégrité ou de disponibilité d'un système d'information ou de données
- Un impact sérieux sur la sécurité et la résilience des systèmes opérationnels
- Une perturbation de votre capacité à livrer des biens ou des services
- Un accès non autorisé résultant d'une compromission de la chaîne d'approvisionnement — y compris une brèche chez un fournisseur, un prestataire de services gérés, ou une plateforme cloud dont vous dépendez
C'est cette dernière catégorie qui prend le plus de gens au dépourvu. Selon la CIRCIA, un incident n'a pas besoin de prendre naissance sur votre propre réseau pour déclencher votre obligation de signalement. Si votre fournisseur cloud ou un éditeur logiciel dont vous dépendez est compromis et que cela affecte matériellement vos systèmes ou vos données, cela peut devenir votre incident à signaler, pas seulement le leur.
Pourquoi la règle continue de glisser — et pourquoi cela ne vous aide pas
Le Congrès avait initialement fixé une échéance d'octobre 2025 pour que la CISA publie la règle finale de la CIRCIA. La CISA l'a manquée, a repoussé l'objectif à mai 2026, l'a de nouveau manquée, et vise désormais l'automne 2026, invoquant des interruptions de financement répétées qui ont bloqué le travail réglementaire. La CISA a également organisé une série de réunions publiques tout au long de l'été pour recueillir les avis des parties prenantes des infrastructures critiques avant que la règle ne soit verrouillée.
Il est tentant de voir dans une échéance qui glisse une raison de dépriorité ce sujet. Ce serait une erreur. Les retards se produisent dans le processus réglementaire — la partie qui finalise les formats de soumission exacts, les seuils précis et les détails procéduraux. Les délais de 72 heures et de 24 heures eux-mêmes sont d'origine légale, fixés par le Congrès dans la loi sous-jacente, et non par les règlements de la CISA. Lorsque la règle finale entrera en vigueur, ces compteurs démarreront immédiatement ; il n'y a pas de période de transition où les délais seraient de 72 heures en théorie mais quelque chose de plus souple en pratique. Une date de publication qui glisse signifie simplement que vous avez plus de temps pour vous préparer, pas moins d'obligation une fois la règle en place.
Le compteur du paiement de rançon est distinct — et plus court
Il vaut la peine de mentionner à part l'obligation de signalement du paiement d'un rançongiciel, car il est facile de passer à côté en se concentrant sur le délai de 72 heures pour l'incident. Si votre entreprise paie une rançon, vous devez signaler ce paiement dans les 24 heures — un délai 48 heures plus court que celui du signalement de l'incident, et qui s'applique même si l'incident sous-jacent n'a pas atteint à lui seul le seuil d'« importance ». Beaucoup de petites entreprises touchées par un rançongiciel sont encore en négociation avec leurs assureurs, en train de peser le pour et le contre d'un paiement, ou en train de travailler avec un conseil externe au moment même où le paiement part effectivement. Quiconque, dans votre organisation, serait habilité à autoriser un paiement de rançon doit savoir, à l'avance, que le compteur de signalement sur cette décision est encore moins clément que celui de l'incident lui-même.
Les sanctions ne sont pas le seul enjeu
La voie d'application de la CISA s'intensifie, passant d'une demande d'informations à une assignation pour les entités qui ne se conforment pas, et le fait de ne pas répondre à une assignation peut déclencher un renvoi au ministère de la Justice. Au-delà des sanctions directes, les sous-traitants fédéraux s'exposent à un risque d'exclusion des marchés publics en cas de non-conformité — une menace bien plus lourde pour de nombreuses petites entreprises qu'une amende, puisqu'elle peut mettre fin purement et simplement à une source de revenus publics.
Mais l'exposition financière la plus importante pour la plupart des petites entreprises n'est pas la sanction réglementaire. C'est l'incident lui-même. Des données sectorielles récentes situent les coûts moyens de réponse à incident et de récupération pour une petite entreprise attaquée à plusieurs dizaines de milliers de dollars rien que pour l'enquête et la récupération, les coûts totaux de résolution d'une brèche grave dépassant souvent les six chiffres. Les demandes de rançon visant les PME atteignent désormais en moyenne plusieurs dizaines de milliers de dollars à elles seules, avant même d'ajouter les coûts de récupération. Et une estimation largement citée avance qu'une majorité des petites entreprises victimes d'une attaque significative ne survivent pas plus de six mois après les faits. Le délai de signalement est un problème de conformité. La brèche elle-même est un problème de survie — et les deux atterrissent sur votre bureau en même temps.
Comment se préparer avant que la règle ne soit finalisée
La règle n'est pas encore en vigueur, mais les entreprises qui la géreront sans heurts sont celles qui traitent ce délai comme une fenêtre de préparation, et non comme une raison d'attendre.
1. Déterminez si vous êtes réellement concerné. Ne devinez pas au feeling. Vérifiez si votre entreprise entre dans l'un des 16 secteurs, puis faites le véritable calcul du seuil de taille de la SBA pour votre code NAICS précis. Beaucoup d'entreprises qui ne se sentent pas comme des « infrastructures critiques » le sont pourtant.
2. Rédigez un plan de réponse aux incidents dès maintenant, tant qu'aucun compteur ne tourne. Un plan de réponse aux incidents testé est systématiquement l'un des plus gros facteurs de réduction des coûts lorsqu'une brèche survient, car les décisions qui consomment le plus de temps sous pression — qui appeler, quoi préserver, qui a l'autorité de trancher — sont déjà prises à l'avance plutôt que débattues en direct pendant la première heure d'une crise.
3. Sachez ce que signifiera « motif raisonnable de croire » pour votre entreprise. Vous n'avez pas le droit d'attendre une conclusion médico-légale complète avant que le compteur ne démarre. Décidez à l'avance qui, au sein de votre organisation, est habilité à statuer qu'un incident à signaler s'est produit, afin que ce jugement ne soit pas rendu pour la première fois en plein milieu d'un événement réel.
4. Cartographiez vos dépendances aux fournisseurs et au cloud. Puisqu'une compromission chez un fournisseur ou un prestataire cloud peut devenir votre incident à signaler, sachez lesquels de vos systèmes critiques résident sur l'infrastructure de quelqu'un d'autre, et vérifiez que ces fournisseurs ont pris envers vous leurs propres engagements de notification de brèche, suffisamment rapides pour alimenter votre compteur de 72 heures.
5. Gardez des registres suffisamment propres pour agir vite sous pression. Lorsqu'un incident survient, les enquêteurs et les assureurs voudront une image claire de quels systèmes touchent quelles données, de ce à quoi ressemble une transaction normale, et de ce qui a changé. Une entreprise dont les registres financiers et opérationnels sont déjà bien organisés peut répondre à ces questions en quelques heures. Une entreprise qui doit démêler une comptabilité informelle et désordonnée en même temps qu'elle combat une brèche perd de précieuses heures de sa fenêtre de 72 heures rien qu'à reconstituer à quoi ressemblait la « normale ».
Ce dernier point mérite qu'on s'y arrête, car il est facile de considérer une échéance de conformité comme celle-ci comme un problème purement juridique ou informatique. En pratique, une enquête sur une brèche s'appuie sur les mêmes registres que votre comptable : qui a accès à quoi, quand les transactions ont eu lieu, à quoi ressemble votre schéma de fonctionnement normal afin que les enquêteurs puissent repérer ce qui est anormal. Les entreprises qui tiennent déjà des registres financiers transparents et bien organisés ne sont pas seulement plus faciles à auditer — elles sont plus rapides à faire enquêter lorsque quelque chose tourne mal, ce qui compte énormément quand le compteur se mesure en heures, pas en semaines.
Gardez vos registres financiers prêts pour tout ce qui vient ensuite
Une enquête sur un cyberincident avance vite, et les entreprises qui la gèrent bien sont généralement celles dont les registres étaient déjà en ordre avant que quoi que ce soit ne se produise. Beancount.io propose une comptabilité en texte brut qui vous donne un historique transparent, versionné et auditable de vos finances — pas de boîte noire, pas de dépendance à un fournisseur, et rien à démêler sous pression. Commencez gratuitement et gardez vos livres aussi prêts pour un examen minutieux que le reste de votre entreprise doit l'être.