Les entreprises tech israéliennes face aux lois cyber européennes et américaines

Les entreprises technologiques israéliennes doivent s'adapter à des exigences réglementaires internationales de plus en plus complexes, allant de mandats stricts de cybersécurité européenne à des litiges de protection de la vie privée aux États-Unis. Alors que les entreprises locales s'approprient les pouvoirs d'application et les lourdes amendes introduits par l'amendement 13 de la loi israélienne sur la protection de la vie privée, la scène internationale présente des défis de conformité tout aussi exigeants.

L'application au sein de l'Union européenne des obligations de reporting étendues est régie par la loi sur la résilience cybernétique (Cyber Resilience Act). Selon cette législation, tout fabricant de produits dotés d'éléments numériques commercialisés dans l'UE doit signaler les incidents de sécurité aux autorités compétentes dans un délai initial de 24 heures après la découverte d'une vulnérabilité, indépendamment du lieu d'implantation de l'entreprise.

Cela signifie que les entreprises israéliennes entrant dans cette catégorie sont légalement tenues de respecter ces délais stricts. Dans les 72 heures, l'entreprise doit soumettre une notification plus détaillée aux autorités, suivie d'un rapport final dans un délai de deux semaines pour les vulnérabilités activement exploitées ou d'un mois pour les incidents graves. Ces obligations s'appliquent aux fabricants de produits commercialisés sur le marché unique de l'UE, incluant les applications mobiles, les services internet, les composants matériels et les produits mixtes.

"Une couche supplémentaire de législation"

Me Dotan Hammer, associé et responsable de la pratique internationale de la confidentialité au sein du cabinet Pearl Cohen, explique que l'objectif est de renforcer la cybersécurité des produits numériques commercialisés dans l'UE. "Contrairement aux obligations de notification concernant les violations de données personnelles, les obligations de la loi sur la résilience cybernétique ne dépendent pas de la présence de données personnelles, mais de la simple existence d'une vulnérabilité exploitée ou d'un incident de sécurité grave", note-t-il.

Me Idan Zur, responsable de l'IA internationale et des données chez Dan Chai & Co., souligne qu'il s'agit d'une tendance législative globale émanant de Bruxelles, dotée d'une portée extraterritoriale particulièrement large.

Soulagement en Californie

De l'autre côté de l'Atlantique, la Californie demeure une destination de choix pour la tech israélienne. Néanmoins, des centaines d'entreprises fondées par des Israéliens ont récemment fait l'objet d'attaques juridiques massives en vertu de la loi californienne sur la protection de la vie privée (CIPA), exploitée par des plaignants privés visant l'utilisation d'outils d'analyse standards.

Cependant, les législateurs californiens ont récemment approuvé un amendement législatif supprimant le droit d'action privé et réservant l'autorité d'application au seul procureur général de l'État. Le gouverneur Gavin Newsom a signé cette législation qui entrera en vigueur le 1er janvier 2027, apportant un répit bienvenu aux entreprises technologiques.