Le Royaume-Uni, Singapour et le Vietnam réécrivent les règles de protection des infrastructures critiques

Les exploitants de centres de données, de plateformes cloud et de systèmes de câbles font face à de nouvelles obligations de licence et de déclaration, ainsi qu'à de nouvelles sanctions. Les seuils déterminent quelles entreprises sont concernées. La loi singapourienne devrait entrer en vigueur par étapes en 2027. Le texte vietnamien reste à l'état de projet, si bien que le coût de la mise en conformité n'est pas encore connu.

Royaume-Uni : 14 ans de prison et des amendes illimitées pour les dommages aux câbles

Le livre blanc, publié le 28 octobre, remplacerait le Submarine Telegraph Act 1885. Il actualiserait aussi le Telecommunications (Security) Act 2021 et le Communications Act 2003.

Endommager volontairement une infrastructure sous-marine pourrait valoir jusqu'à 14 ans de prison. La conduite imprudente serait passible de 10 ans, la négligence grave de deux ans. Le gouvernement propose également des amendes illimitées. Les opérateurs qui refusent de se conformer aux injonctions gouvernementales risquent des amendes allant jusqu'à 17 000 000 GBP ou 10 % du chiffre d'affaires mondial. Les ministres obtiendraient le pouvoir d'ordonner aux opérateurs de retirer ou de désactiver des services pendant les urgences de sécurité nationale, et les fonctionnaires pourraient accéder aux stations d'atterrissage des câbles.

Le gouvernement indique qu'il publierait généralement ces injonctions. Il pourrait les garder secrètes pour des raisons de sécurité nationale.

Le Royaume-Uni compte plus de 64 câbles sous-marins actifs aboutissant sur ses côtes, dont 45 systèmes internationaux et 19 systèmes domestiques reliant les îles autour du continent. Le gouvernement estime que ces câbles transportent 99 % du trafic de données international du Royaume-Uni.

En avril 2026, le gouvernement a accusé des sous-marins russes d'une opération clandestine autour de câbles et de pipelines dans les eaux au nord du Royaume-Uni. Un rapport parlementaire publié en 2025 examinait la sécurité des infrastructures sous-marines. Le livre blanc propose aussi d'obliger les opérateurs de télécommunications sous-marines à identifier et à gérer les risques pesant sur leurs infrastructures.

Singapour soumet les centres de données et les fournisseurs cloud à licence

Singapour a suivi une autre voie. Le Parlement a adopté le Digital Infrastructure Bill le 7 octobre 2026. Le Ministry of Digital Development and Information et l'Infocomm Media Development Authority (IMDA) avaient ouvert une consultation publique. Elle a débuté le 1er juillet 2026.

Une licence majeure d'infrastructure numérique couvre les services commerciaux de centres de données dont la charge informatique critique atteint au moins 10 mégawatts. Cela concerne les installations servant des parties sans lien avec l'opérateur. La même licence vise les fournisseurs cloud réalisant au moins 100 000 000 SG$ de chiffre d'affaires annuel moyen auprès d'utilisateurs singapouriens sur les trois années précédentes. Ce chiffre d'affaires doit provenir de l'infrastructure as a service. Il doit aussi provenir du platform as a service.

Une licence distincte pour les centres de données commence à une charge informatique critique d'au moins 3 mégawatts et ajoute des exigences de durabilité environnementale. Les deux régimes fonctionnent indépendamment. Un opérateur qui dépasse les deux seuils a besoin des deux licences.

L'économie numérique de Singapour représentait 18,6 % du PIB en 2024. La panne CrowdStrike de juillet 2024 est citée comme exemple de la vitesse à laquelle une perturbation peut se propager d'un secteur à l'autre. Le texte vise à compléter le Cybersecurity Act 2018. Il ne vise pas à le dupliquer. Il couvre les risques opérationnels et physiques, pas seulement les menaces cyber.

Le Vietnam réécrit une ordonnance de 2007

La réécriture vietnamienne remonte plus loin. Le pays fonctionne depuis près de deux décennies sous l'ordonnance n° 32/2007/PL-UBTVQH11. L'ordonnance est datée du 20 avril 2007. Un projet de loi sur la protection des structures importantes liées à la sécurité nationale fixerait des critères de classement des structures. Il désignerait aussi l'autorité compétente. Cette autorité décide quels sites figurent sur la liste de protection.

Le projet définit les responsabilités des agences, des organisations et des entreprises, ainsi que la coordination entre les forces de protection. Son objectif affiché est une base juridique unifiée. Cette base réduit les chevauchements entre agences. Le projet prend l'aéroport international de Lien Khuong, dans la province de Lam Dong, comme cas de gestion de la sécurité lors des travaux et de la réouverture. Des réparations de piste et de voie de circulation y sont prévues en 2026.

Et maintenant

L'IMDA a déjà publié des lignes directrices indicatives pour la résilience et la sécurité des services cloud et des centres de données. Ces lignes directrices indiquent les contrôles qui devraient sous-tendre le régime de licences.