Nouvelles exigences de cybersécurité dans les infrastructures essentielles : évaluation de l’impact du projet de loi C-26, Loi concernant la cybersécurité

Le 14 juin 2022, le gouvernement canadien a déposé le projet de loi C-26, Loi concernant la cybersécurité (le «projet de loi C-26») [1], qui introduit d’importantes nouvelles exigences de cybersécurité applicables aux industries sous réglementation fédérale et de nouvelles exigences de sécurité nationale applicables au secteur des télécommunications. Dans sa mouture actuelle, le projet de loi C-26 prévoit la création d’un cadre complet visant à réglementer la sécurité des infrastructures essentielles du Canada et à renforcer la surveillance de la sécurité des télécommunications :

• La première partie du projet de loi C-26 modifierait la Loi sur les télécommunications en vue de sécuriser le système canadien de télécommunication et d’interdire l’utilisation de produits et de services de fournisseurs à haut risque.
• La deuxième partie du projet de loi C-26 édicterait la Loi sur la protection des cybersystèmes essentiels et imposerait de nouvelles exigences à certaines entreprises sous réglementation fédérale afin qu’elles se préparent à des incidents de cybersécurité, les préviennent et y réagissent.

Comme il est indiqué dans le Document d’information, le projet de loi C-26 vise à accorder au gouvernement canadien le pouvoir d’intervenir en cas de cybermenaces émergentes et de « renforcer la cybersécurité » des services et systèmes critiques. Dans le contexte des cyberrisques actuel, les exploitants d’infrastructures essentielles sont exposés à un risque accru de cyberattaques de la part d’acteurs malveillants en raison des graves perturbations auxquelles ils pourraient être confrontés. [2] Le projet de loi C-26 indique clairement que le gouvernement canadien a l’intention de prendre ces risques au sérieux en renforçant sa surveillance et ses interventions réglementaires, notamment auprès des entreprises des secteurs des télécommunications, de l’énergie, des finances et des transports.

Loi sur la protection des cybersystèmes essentiels

À qui s’applique la Loi sur la protection des cybersystèmes essentiels?

La Loi sur la protection des cybersystèmes essentiels s’appliquerait aux exploitants des secteurs des télécommunications, de l’énergie, des finances et des transports. Plus précisément, en vertu de cette loi, le gouvernement canadien peut désigner :

• certains systèmes et services sous réglementation fédérale comme étant essentiels à la sécurité nationale ou à la sécurité publique (les « systèmes et services critiques »); et
• une catégorie d’exploitants (p. ex. des personnes, des sociétés de personnes ou des organismes non constitués en personnes morales) à l’égard d’un système ou d’un service critique (les « exploitants désignés »), et l’organisme réglementaire correspondant à cette catégorie.

Les exigences de la Loi sur la protection des cybersystèmes essentiels s’appliquent aux exploitants désignés qui possèdent, contrôlent ou exploitent un « système de technologies, d’actifs, d’installations ou de services numériques interdépendants qui forment l’infrastructure servant à la réception, à la transmission ou au traitement ou au stockage de données [...] dont la compromission, en ce qui touche la confidentialité, l’intégrité ou la disponibilité, pourraient menacer la continuité ou la sécurité d’un service critique ou d’un système critique » (un « cybersystème essentiel »).

Bien que la version actuelle de la Loi sur la protection des cybersystèmes essentiels ne répertorie aucun exploitant désigné dans son annexe 2, elle énumère six systèmes et services critiques dans son annexe 1, auxquels correspond un organisme réglementaire :

Principales obligations

Les exploitants désignés sont tenus de se conformer à quatre principales exigences en vertu de la Loi sur la protection des cybersystèmes essentiels qui consistent à :

1. établir un programme de cybersécurité, le mettre en œuvre, en assurer la mise à jour et procéder à son examen;
2. déclarer tout incident de cybersécurité;
3. se conformer aux directives de cybersécurité; et
4. tenir des documents sur la conformité et les incidents.

Programme de cybersécurité

Les exploitants désignés sont tenus d’établir un programme de cybersécurité relativement à leurs cybersystèmes essentiels, de le mettre en œuvre et d’en assurer la mise à jour. En plus de respecter les exigences prescrites par règlement, ces programmes de cybersécurité doivent prévoir des mesures raisonnables en vue :

1. d’identifier et de gérer les risques liés à la cybersécurité, notamment les risques associés aux chaînes d’approvisionnement et à l’utilisation de produits et services de tiers;
2. de protéger les cybersystèmes essentiels contre toute compromission;
3. de détecter les incidents de cybersécurité qui touchent ou pourraient toucher les cybersystèmes essentiels; et
4. de réduire au minimum les conséquences des incidents de cybersécurité qui touchent les cybersystèmes essentiels.

Dans les 90 jours suivant leur désignation (ou une période plus longue à la discrétion de l’organisme réglementaire), les exploitants désignés sont tenus d’établir leur programme de cybersécurité, en aviser l’organisme réglementaire compétent par écrit et lui en fournir un exemplaire. Les exploitants désignés doivent également :

• prendre des mesures raisonnables afin d’atténuer tout risque de cybersécurité qui a été identifié et qui est associé à leur chaîne d’approvisionnement ou à l’utilisation par ceux-ci de produits et services de tiers;
• effectuer un examen de leur programme de cybersécurité dans les 60 jours suivant chaque anniversaire de l’établissement du programme ou dans un autre délai prescrit;
• aviser l’organisme réglementaire des modifications apportées au programme dans les 30 jours suivant l’examen; et
• aviser sans délai l’organisme réglementaire de tout changement important survenu quant à leur propriété ou à leur contrôle, à leur chaîne d’approvisionnement, à l’utilisation par ceux-ci de produits et services de tiers ou toutes autres circonstances prévues par règlement et, dans les 90 jours suivant cet avis, l’aviser des changements apportés à leur programme de cybersécurité qui découlent de ces circonstances ou d’un autre changement important.

Incidents de cybersécurité

Il incombe aux exploitants désignés de déclarer sans délai les incidents de cybersécurité touchant leurs cybersystèmes essentiels au Centre de la sécurité des télécommunications (le « CST ») [3], puis en aviser l’organisme réglementaire compétent, qui a le droit d’obtenir une copie du rapport de l’exploitant désigné et du CST sur demande.

La Loi sur la protection des cybersystèmes essentiels définit un incident de cybersécurité comme étant un acte, une omission ou une situation qui nuit ou peut nuire a) à la continuité ou à la sécurité d’un service critique ou d’un système critique ou b) à la confidentialité, à l’intégrité ou à la disponibilité du cybersystème essentiel.

Ces obligations de signalement s’ajoutent aux obligations existantes. Exemples :

• Le Bureau du surintendant des institutions financières exige que tout incident lié à la technologie ou à la cybersécurité qui touche les institutions financières sous réglementation fédérale soit signalé dans les 24 heures, comme nous l’avons expliqué dans l’un de nos bulletins précédents (en anglais seulement).
• Le Commissariat à la protection de la vie privée du Canada exige que les entreprises réglementées lui fassent parvenir un avis dès que possible lorsqu’une atteinte aux mesures de protection concernant les renseignements personnels entraîne un risque réel de préjudice grave, comme nous l’avons expliqué dans l’un de nos bulletins précédents.

Directives de cybersécurité

Les exploitants désignés doivent se conformer aux directives de cybersécurité du gouvernement du Canada, qui peuvent comprendre des mesures et des modalités d’exécution précises aux fins de la protection d’un cybersystème essentiel, ainsi que les délais à respecter.

L’exploitant désigné est tenu de préserver la confidentialité des directives de cybersécurité et ne peut communiquer leur existence ni leur contenu, sauf dans la mesure requise aux fins de conformité. Toutefois, la Loi sur la protection des cybersystèmes essentiels permet expressément la collecte et l’échange de renseignements entre des entités et des fonctionnaires du gouvernement canadien désignés à l’égard des directives de cybersécurité.

Tenue de documents

Il incombe aux exploitants désignés de tenir des documents quant à chacune de leurs obligations en vertu de la Loi sur la protection des cybersystèmes essentiels, qui diffèrent des exigences de tenue de documents dans les lois sur la protection de la vie privée. Les documents doivent consigner les incidents de cybersécurité signalés et les mesures prises afin de mettre en œuvre le programme de cybersécurité, d’atténuer les risques liés à la chaîne d’approvisionnement ou à des tiers et de mettre en œuvre les directives de cybersécurité.

De plus, les exploitants désignés sont tenus de conserver au Canada tous les documents selon les modalités – de temps et autres – fixées par règlement, dans tout lieu désigné par règlement ou autrement dans leur établissement. En l’absence de preuve contraire, les inscriptions dans les documents serviront de preuve contre la personne qui a fait l’inscription ou contre l’exploitant désigné qui doit tenir le document.

Exécution et sanctions

Pouvoirs d’exécution

Les organismes réglementaires disposent de vastes pouvoirs aux fins de la vérification du respect ou de la prévention du non-respect de la Loi sur la protection des cybersystèmes essentiels. Ils peuvent entrer dans un lieu s’ils ont des motifs raisonnables de croire qu’une activité régie par la Loi sur la protection des cybersystèmes essentiels y est exercée ou que s’y trouve un document, un renseignement ou un objet utile à cette fin. Les organismes réglementaires sont habilités à examiner tout ce qui se trouve dans ce lieu, à prendre ou à reproduire tout document ou toute donnée, et à utiliser tout « cybersystème » (ou faire en sorte qu’il soit utilisé) afin d’examiner les renseignements qui y sont accessibles. De plus, les organismes réglementaires sont en droit d’obtenir toute forme d’assistance raisonnable de la part du propriétaire ou de l’exploitant du lieu, et de toute personne qui s’y trouve.

Afin de prévenir la non-conformité ou d’en atténuer les risques, les organismes réglementaires peuvent également effectuer une vérification d’un exploitant et émettre un ordre de conformité.

Échange de renseignements

La Loi sur la protection des cybersystèmes essentiels établit également un équilibre entre ses exigences générales en matière de communication de l’information et certaines protections des « renseignements confidentiels », qui sont définies comme étant des renseignements (1) qui portent sur les vulnérabilités ou les mesures de protection des cybersystèmes essentiels d’un exploitant désigné qui sont traités de façon confidentielle; (2) dont on pourrait raisonnablement s’attendre à ce qu’ils aient une incidence financière importante pour l’exploitant ou qu’ils nuisent à sa compétitivité; ou (3) dont on pourrait raisonnablement s’attendre à ce qu’ils entravent ses négociations.

Par conséquent, les renseignements confidentiels ne peuvent être divulgués que dans des circonstances précises, notamment aux fins de respecter les exigences juridiques, avec le consentement de l’exploitant désigné ou en vue de protéger les services critiques, les systèmes critiques ou les cybersystèmes essentiels. De plus, des renseignements confidentiels peuvent être communiqués aux termes d’accords ou d’arrangements conclus entre certaines entités gouvernementales et des organismes réglementaires.

Sanctions administratives pécuniaires

Pour encourager la conformié, la Loi sur la protection des cybersystèmes essentiels s’appuie à la fois sur un régime de sanctions administratives pécuniaires et sur un régime pénal, à l’instar de ce qui est prévu dans la Loi sur les télécommunications. L’un ou l’autre de ces régimes peut entraîner la responsabilité personnelle des administrateurs et des dirigeants qui ont ordonné ou autorisé une violation de la Loi sur la protection des cybersystèmes essentiels, ou qui y ont consenti ou participé, ce qui peut donner lieu à des amendes importantes ou à des peines d’emprisonnement.

Les règlements éventuels peuvent qualifier les violations de mineures, de graves ou de très graves et déterminer le montant maximal de pénalité applicable à chaque type de violation. Toutefois, le montant des pénalités pour chaque violation est plafonné à 1 000 000 $ dans les cas de personnes physiques et à 15 000 000 $ dans les autres cas.

Les exploitants désignés ont le droit de présenter des observations ou d’invoquer en défense qu’ils ont pris les précautions voulues. Les organismes réglementaires ont le pouvoir discrétionnaire de corriger les erreurs dans un procès-verbal, de l’annuler ou de conclure une transaction selon des modalités qu’ils jugent appropriées, y compris la réduction du montant de la pénalité en tout ou en partie.

La violation de certaines dispositions de la Loi sur la protection des cybersystèmes essentiels constitue une infraction pénale. Les particuliers et les personnes morales sont passibles d’amendes à la discrétion du tribunal. De plus, les particuliers peuvent être condamnés à une peine d’emprisonnement maximale de deux (2) ans sur déclaration de culpabilité par procédure sommaire ou de cinq (5) ans sur déclaration de culpabilité par mise en accusation.

Modifications apportées à la Loi sur les télécommunications

Le projet de loi C-26 établit des règles spéciales visant à sécuriser le secteur des télécommunications, soulignant son importance pour la sécurité nationale. La partie 1 du projet de loi C-26 modifierait la Loi sur les télécommunications afin de conférer au gouvernement canadien et au ministre de l’Industrie de nouveaux pouvoirs réglementaires accrus afin de sécuriser le système canadien de télécommunications.

Les modifications ajouteraient également la promotion de la sécurité du système canadien de télécommunications aux objectifs de la politique canadienne de télécommunications. Il s’agirait d’un changement important à la Loi sur les télécommunications, puisque le Conseil de la radiodiffusion et des télécommunications canadiennes (ou le « CRTC ») disposerait d’un fondement juridique propre pour tenir compte des enjeux de sécurité dans l’élaboration de politiques réglementaires touchant l’industrie.

Décrets et arrêtés de sécurité

Le projet de loi C-26 modifierait la Loi sur les télécommunications afin de permettre au gouvernement canadien et au ministre de prendre des décrets et des arrêtés concernant (i) l’utilisation par un fournisseur de services de télécommunication (un « FST ») des produits et services de fournisseurs précis et par d’autres FST dans les réseaux de télécommunications; et (ii) la fourniture de services de télécommunication précis au Canada (chacun étant une forme de « décret ou arrêté de sécurité »).

Il importe de faire la distinction entre les deux types de décret ou d’arrêté de sécurité : l’un concerne les entrées (produits physiques et services) dans les réseaux de télécommunication et l’autre concerne le type de services de télécommunication qu’un FST peut offrir en utilisant les réseaux de télécommunication. Toutefois, les deux doivent être fondés sur l’avis selon lequel le décret ou l’arrêté de sécurité est nécessaire afin de sécuriser le système canadien de télécommunication, notamment face aux « menaces d’ingérence, de manipulation ou de perturbation ».

Plus précisément, le gouvernement canadien peut prendre un décret relatif à la sécurité qui :

• interdit à un FST d’utiliser dans son réseau de télécommunication ou ses installations de télécommunication, ou en lien avec ceux-ci, tous les produits et services fournis par une personne précise; ou
• ordonne à un FST de retirer de ses réseaux de télécommunication ou de ses installations de télécommunication tous les produits fournis par une personne précise.

Par ailleurs, le ministre de l’Industrie sera habilité à :

• interdire à un FST de fournir des services à toute personne précise, dont un autre FST; et
• ordonner à un FST de suspendre, pendant une période précise, la fourniture de services à une personne précise, dont un autre FST.

Le ministre de l’Industrie aura également le pouvoir d’ordonner des mesures précises, comme imposer des conditions quant à l’utilisation par un FST d’un produit ou d’un service précis, interdire à un FST de conclure une entente de service (ou exiger la résiliation d’une entente existante), exiger que les FST élaborent un plan de sécurité, exiger qu’un FST effectue des évaluations de vulnérabilité et prenne des mesures visant à atténuer toute vulnérabilité identifiée, ou exiger qu’un FST mette en œuvre des normes précises relativement à ses produits et services. Les pouvoirs énumérés ne sont pas exhaustifs, ce qui implique que le ministre a le pouvoir de prendre un arrêté de sécurité prévoyant pratiquement n’importe quelle exigence et comportant tous les niveaux de détail précisés.

Fait important, le gouvernement canadien et le ministre ont le pouvoir d’interdire la divulgation ou la publication d’un décret ou d’un arrêté de sécurité, ce qui signifie que ces décideurs seront habilités à émettre un décret ou arrêté de sécurité sans que les autres acteurs du secteur des télécommunications — ou, en fait, le public — ne soient au courant.

Pouvoir du ministre d’obtenir des renseignements

À l’instar de la Loi sur la protection des cybersystèmes essentiels, le projet de loi C-26 confère au ministre de l’Industrie le pouvoir d’obliger la production de renseignements, sous réserve de certaines exceptions. Plus précisément, le ministre peut exiger de toute personne qu’elle lui fournisse « les renseignements à l’égard desquels il a des motifs raisonnables de croire qu’ils sont pertinents dans le cadre de la prise, de la modification ou de la révocation » d’un décret ou d’un arrêté de sécurité. Les renseignements fournis peuvent être désignés comme confidentiels s’ils comprennent des secrets industriels, des renseignements commerciaux, scientifiques ou techniques qui sont constamment traités comme confidentiels et des renseignements dont la communication pourrait entraîner un préjudice sur le plan financier.

Inspection et exécution

Le ministre peut désigner toute personne qualifiée à titre d’inspecteur aux fins de la vérification du respect ou de la prévention du non-respect d’un décret ou d’un arrêté de sécurité.

Le projet de loi C-26 prolonge le régime existant de sanctions administratives pécuniaires de la Loi sur les télécommunications au respect des dispositions sur les décrets et les arrêtés de sécurité et des nouvelles obligations. Plus précisément, la violation de ces nouvelles obligations expose les particuliers et les personnes morales à des pénalités pouvant atteindre 25 000 $ et 10 000 000 $, respectivement, pour une première violation et 50 000 $ et 15 000 000 $, respectivement, pour chaque violation subséquente. Ces sanctions prennent une ampleur accrue, puisqu’une violation continue des dispositions en cause est comptée comme une infraction distincte pour chaque jour où elle est commise.

Ce qu’il faut retenir

De nombreux détails devront être précisés dans les règlements du projet de loi C-26, mais son adoption représenterait une évolution importante de la législation canadienne en matière de cybersécurité et du paysage de la sécurité des télécommunications.

Les exploitants qui ont recours à des cybersystèmes essentiels dans des secteurs de compétence fédérale, notamment à des cybersystèmes essentiels liés à des systèmes ou services critiques, devraient examiner attentivement les dispositions du projet de loi C-26 et évaluer les enjeux de conformité éventuels en fonction de leurs pratiques actuelles en matière de cybersécurité. Les exploitants qui pourraient être assujettis à ces exigences devraient notamment prendre des mesures afin de s’y préparer, dont les suivantes :

• examiner leur programme de cybersécurité existant et s’assurer qu’il est à jour, complet et bien documenté;
• examiner leurs ententes avec les fournisseurs de services afin de tenir compte des directives ou des décrets et arrêtés de sécurité éventuels en matière de cybersécurité et de se préparer à ces directives; et
• élaborer un processus de signalement des incidents, qui est habituellement documenté dans un plan d’intervention en cas d’incident, et le mettre à jour.

Compte tenu des exigences imposées aux exploitants désignés pour gérer les risques de tiers, les prestataires de services et les fournisseurs qui font affaire avec eux devraient se préparer à un examen plus approfondi de leurs normes de cybersécurité et envisager de prendre des mesures préparatoires semblables.

Les FST devraient se préparer stratégiquement au fait que les décideurs politiques fédéraux disposent de nouveaux outils juridiques et politiques pour façonner le secteur des télécommunications en interdisant l’accès aux acteurs commerciaux susceptibles de présenter un risque pour le système canadien de télécommunication. Restreindre l’accès à des marchés lucratifs comme le Canada pour des raisons de sécurité aura sans aucun doute une incidence sur la concurrence féroce pour des parts de marché globales à laquelle se livrent les plus grands fournisseurs d’équipements de radiocommunication et d’autres installations de télécommunications.

Sur le plan de la sécurité nationale, l’adoption éventuelle du projet de loi C-26 et la Loi sur la protection des cybersystèmes essentiels constituent l’aboutissement d’une initiative nationale de protection des infrastructures essentielles qui a débuté en 2009 avec la première Stratégie nationale sur les infrastructures essentielles [4]. À l’heure de l’Internet des objets, les cybermenaces contre les intérêts essentiels en matière de sécurité du Canada risquent de plus en plus de donner lieu à des conséquences dans le « monde réel ». L’interconnectivité numérique croissante de ces systèmes liés aux infrastructures essentielles représente une vulnérabilité que le projet de loi C-26 vise à atténuer en imposant un seuil minimal de résilience et de récupération en matière cyber.

Prochaines étapes

Fasken propose un éventail de services afin de soutenir les entreprises dans leur démarche en matière de cybersécurité, dont les suivants :

• planification et gestion des interventions en cas d’incident;
• gestion des risques juridiques relatifs à la prestation de services de cybersécurité
• élaboration et négociations d’ententes en matière de technologies;
• conseils et services de représentation en matière de relations gouvernementales;
• conformité réglementaire et représentation dans les enquêtes réglementaires; et
• conseils en matière de sécurité nationale.

Pour obtenir de plus amples renseignements, veuillez communiquer avec notre groupe Protection de la vie privée et cybersécurité, notre groupe Sécurité nationale ou notre groupe Technologie, médias et télécommunications.

Pour en savoir plus sur les répercussions possibles du nouveau projet de loi C-27, Loi de 2022 sur la mise en œuvre de la Charte numérique, veuillez consulter notre bulletin à ce sujet.

[1] Titre abrégé du projet de loi C-26, Loi concernant la cybersécurité, modifiant la Loi sur les télécommunications et apportant des modifications corrélatives à d’autres lois, 1ʳᵉ sess., 44ᵉ lég., 2022, 70-71 (première lecture, juin 2022)

[2] Consulter le Centre canadien pour la cybersécurité, « Évaluation des cybermenaces nationales 2018 » (2018), en ligne : https://cyber.gc.ca/fr/orientation/evaluation-des-cybermenaces-nationales-2018

[3] Sous réserve de ce qui est prévu par la Loi sur la protection des cybersystèmes essentiels ou ses règlements, les échanges avec le CST pourraient se faire par l’intermédiaire du Centre canadien pour la cybersécurité, qui est la branche du CST chargée de la sécurité des infrastructures essentielles du pays.

[4] Pour consulter la version la plus récente, voir : https://www.securitepublique.gc.ca/cnt/rsrcs/pblctns/srtg-crtcl-nfrstrctr/index-fr.aspx.