Il s’agit là d’une histoire internationale vraiment importante, que la plupart des gens vont manquer, parce qu’elle ne semble pas passionnante à première vue. Le règlement européen sur la résilience cybernétique est officiellement entré en vigueur cette semaine, et au cœur de celui-ci se trouve une règle qui va changer la manière dont chaque fournisseur de portefeuilles crypto fonctionne en Europe. Si une vulnérabilité est découverte dans votre logiciel de portefeuille, l’entreprise dispose désormais de seulement 24 heures pour la signaler. Pas une semaine, pas « quand ce sera pratique », 24 heures.
Voici pourquoi cela est tombé au pire moment possible pour prouver le point. Dans la même fenêtre, pendant laquelle cette loi est entrée en vigueur, Bitcoin Pay en Suisse et Revolut ont tous deux été touchés par des cyberattaques distinctes qui ont entraîné la fuite de données utilisateur. On dirait presque que l’univers a minuté l’événement pour montrer exactement pourquoi cette réglementation existe. Les portefeuilles et les applications de paiement gèrent de l’argent réel et des informations personnelles réelles, et jusqu’ici, les entreprises pouvaient corriger les problèmes en toute discrétion, sans jamais vraiment dire à quel point la situation était réellement grave.
Ce que je trouve intéressant, c’est que ce n’est ni les États-Unis ni une île nation particulièrement favorable à la crypto qui fait ce mouvement : c’est l’UE, qui d’ordinaire avance plus lentement que tout le monde en matière de réglementation technologique. Quand Bruxelles agit aussi vite et de façon aussi spécifique sur la sécurité des portefeuilles, d’autres régions finissent généralement par suivre, comme la façon dont le RGPD est devenu le modèle que tout le monde a copié pour la protection des données.
Pour les utilisateurs réguliers, franchement, c’est une bonne chose, même si ça ressemble à davantage de paperasse. Une fenêtre de divulgation de 24 heures signifie moins de temps pour qu’un pirate exploite discrètement un bug connu avant que quiconque n’en entende parler. Pour les entreprises, en revanche, cela veut dire que leurs équipes de sécurité doivent être beaucoup plus rapides et beaucoup plus transparentes que ce à quoi elles sont habituées. Plus question de garder un bug pendant deux semaines pendant que des responsables juridiques trouvent comment communiquer.
La crypto a passé des années à soutenir qu’elle n’a besoin de l’autorisation de personne. Des semaines comme celle-ci sont un rappel : avec ou sans permission, les règles sont en train d’être rédigées, que l’industrie le veuille ou non.
