Royaume-Uni : lancement d'une offre en cybersécurité — le secteur est-il régulé, auprès de qui s'enregistrer ?

Sur le plan juridique, le point le plus critique reste le Computer Misuse Act de 1990. Pénétrer dans le système d'un client sans autorisation explicite constitue une infraction pénale, même s'il s'agit d'un test. C'est pourquoi vous devez impérativement faire signer avant chaque intervention un mandat écrit définissant clairement le périmètre, les cibles, les plages horaires de test et les limites de l'audit.

On s'est lancés il y a deux ans avec une structure similaire. L'immatriculation de la société a coûté environ 50 sterlin. La redevance auprès du Commissariat à l'information tournait autour de 40 sterlin par an pour une PME. Pour notre assurance RC pro et cyber-risques avec une couverture de 2.000.000 sterlin, on a payé 850 sterlin de prime pour la première année. On était 100 % opérationnels en deux semaines.

Conformément à la législation sur la protection des données, vous devez impérativement signer un contrat de traitement des données avec vos clients. Étant donné que des tests d'intrusion peuvent impliquer l'accès à des données personnelles de tiers, formaliser par écrit vos protocoles de sécurité et vos procédures de notification en cas de fuite constituera votre garantie juridique.

Pour démarrer, suivez ces étapes : 1) Créez la société. 2) Enregistrez-vous auprès du Commissariat à l'information et réglez la taxe. 3) Prenez une bonne assurance RC pro chez un courtier réputé. 4) Faites rédiger un contrat de prestation et une autorisation de test conformes au droit britannique. Vous serez immédiatement prêts à faire des devis.

Votre clientèle cible se limitera-t-elle aux petites entreprises du secteur privé, ou comptez-vous aussi répondre à des marchés publics ou auprès de collectivités locales ? Parce que dans le public, les règles changent et l'obtention de certifications de cybersécurité reconnues par l'État devient quasiment obligatoire dans les faits.

Il ne faut pas confondre licence et accréditation. L'État ne vous dira jamais : « Vous n'avez pas de licence, vous ne pouvez pas faire d'audits ». En revanche les acteurs du marché et les auditeurs peuvent très bien vous dire : « Sans accréditation je n'accorde aucune valeur à votre rapport ». Pour ne pas exploser votre budget au lancement, le plus judicieux est de démarrer l'activité puis de viser les accréditations sectorielles volontaires dès les premières rentrées d'argent.

bienvenue à Londres, le marché est super dynamique mais le niveau d'exigence sur la confiance est élevé... même sans contrainte réglementaire les PME britanniques regardent vos attestations d'assurance de très près... dès lors que votre police est en règle et vos contrats bien blindés, vous n'aurez aucun blocage administratif au démarrage bon courage pour la suite.

Pas besoin de licence officielle : payez votre taxe de protection des données et prenez une solide assurance responsabilité civile professionnelle, cela suffit largement.

Merci de partager le résultat.

Je vous conseille de ne pas vous presser. Le temps que vous mettez à détecter un problème détermine directement son coût.

C'est confirmé par l'expérience.

Nous avons aussi bloqué au même endroit à une époque. Quand on décide sans mesurer, on revient toujours au même point.

Merci beaucoup, cela m'a été très utile.

j'aimerais poser une question et du coup si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

corrigez-moi si je me trompe.

C'est noté merci. franchement si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Bien sûr, cela change si votre situation est différente.

Nous avons aussi bloqué au même endroit à une époque. L'erreur commise du côté de réglementation des services de cybersécurité est généralement réversible, mais coûteuse.

C'est confirmé par l'expérience.

Pourriez-vous préciser un peu ? Les gens défendent l'habitude, pas le processus. La résistance vient de là.

L'erreur commise du côté de réglementation des services de cybersécurité est généralement réversible, mais coûteuse. Bon courage.

Je vais essayer. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Chez nous, ça s'est passé comme ça. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

J'espère que cela vous sera utile.