Qui est concerné par la loi SOCI Act ?

Le SOCI s’applique aux propriétaires et aux exploitants d’actifs d’infrastructure critique australiens, appelés Entités responsables, et aux entreprises ayant un intérêt direct dans ces actifs, appelés Détenteurs d’intérêts directs.

Les exigences de la loi varient légèrement entre les deux catégories, qui couvrent 22 classes d’actifs dans 11 secteurs : communications, stockage et traitement des données, énergie, services financiers, alimentation, soins de santé, enseignement supérieur et recherche, transport, eau et égouts.

Quelles sont les exigences de SOCI ?

Les exigences énoncées par SOCI sont appelées obligations de sécurité positive (Positive Security Obligations, PSO) et visent à améliorer la gestion des risques, la résilience et les activités habituelles pour les actifs les plus critiques d’Australie.

Ces PSO sont : 1) Registre des actifs d’infrastructure critique ; 2) Notification des incidents de cybersécurité ; et 3) Programme de gestion des risques d’infrastructure critique (CIRMP). Notamment, le PSO du CIRMP ne s’applique qu’aux Entités responsables dans 13 des 22 classes d’actifs.

Quand le SOCI sera-t-il appliqué ?

Deux des trois PSO de SOCI — en particulier, 1) Registre des actifs d’infrastructure critiques et 2) Notification des incidents de cybersécurité — sont actuellement appliqués pour les entités responsables et les détenteurs d’intérêts directs.

Les entités responsables ont jusqu’au 18 August 2024 pour démontrer leur conformité au troisième PSO : Programme de gestion des risques d’infrastructure critique (CIRMP). Ces entités doivent également soumettre un rapport annuel sur leur CIRMP avant le 28 September 2024.