Nouvelle Réglementation sur la Cybersécurité en Turquie : Ce Qu’il Faut Savoir

La plupart des grandes juridictions ont mis en place des cadres complets de protection des données partageant des principes directeurs similaires, bien que les approches de mise en œuvre diffèrent. Le RGPD de l’UE a clairement influencé les normes mondiales, avec des adaptations directes observées dans le RGPD britannique et la LGPD du Brésil, ainsi que des éléments reflétés dans la CCPA de Californie. Ces réglementations se concentrent généralement sur des pratiques de collecte de données transparentes, les droits individuels sur les informations personnelles, les exigences en matière d notification de violations et les principes de minimisation des données. Des pays comme l’Inde, l’Australie et la Chine ont développé leurs propres cadres qui, tout en étant culturellement et légalement distincts, abordent des préoccupations fondamentales similaires concernant la protection des données personnelles et les transferts transfrontaliers de données.

Au-delà de la protection des données générales, de nombreux pays ont mis en place des réglementations spécialisées pour des secteurs et des infrastructures critiques. Les États-Unis illustrent le mieux cette approche avec des lois ou des normes spécifiques au secteur comme HIPAA pour les soins de santé, GLBA pour les services financiers et PCI DSS pour le traitement des paiements, en plus de réglementations axées sur l’infrastructure comme FISMA pour les systèmes gouvernementaux. Le Digital Operational Resilience Act (DORA) de l’UE cible également spécifiquement les institutions financières, tandis que l’approche multilayer de la Chine inclut des mesures spécialisées pour les transferts de données et la gestion de la sécurité des réseaux, reflétant sa structure de gouvernance unique.

Les tendances récentes montrent un intérêt croissant pour le rapport des incidents obligatoire, des exigences renforcées pour l’infrastructure critique et une attention accrue à la confidentialité des enfants en ligne par le biais de réglementations telles que COPPA. L’introduction récente de l’Australie d’un délit statutaire pour les invasions de la vie privée et les offenses de doxing criminel, ainsi que le Cyber Resilience Act de l’UE ciblant la sécurité des cycles de vie des produits, suggèrent que la réglementation en matière de cybersécurité évolue vers une couverture plus complète des interactions numériques et des remèdes accrus pour les violations de la vie privée.

La nouvelle réglementation sur la cybersécurité en Turquie

Les percées technologiques en Turquie, particulièrement au cours des 20 dernières années, ont également augmenté le nombre d’internautes dans le pays. Selon des recherches, les utilisateurs d’Internet en Turquie passent en moyenne 7,5 heures par jour en ligne, dont environ trois heures sur les réseaux sociaux. Le nombre d’abonnés mobiles a atteint 93,3 millions, celui des abonnés au haut débit mobile s’élève à environ 73 millions, et le nombre d’utilisateurs de haut débit fixe est d’environ 20 millions. Alors que la consommation de données mensuelle moyenne des utilisateurs d’Internet mobile est de 16,7 Go, l’utilisation moyenne mensuelle des abonnés au haut débit fixe est mesurée à 272 Go. Ces données illustrent clairement l’évolution rapide de l’infrastructure de communication en Turquie et l’impact de la numérisation sur la vie quotidienne.

Les guerres conventionnelles ont laissé place à des guerres hybrides et asymétriques, et principalement des cyberattaques parrainées par l’État, menées par des organisations terroristes, des groupes criminels organisés et des acteurs de cybermenaces agissant pour des motivations individuelles, ont commencé à cibler des infrastructures critiques telles que les institutions étatiques, l’énergie, la finance, la santé et les systèmes de communication, ainsi que tout type de dispositifs technologiques.

L’augmentation de l’utilisation des cyberattaques comme outil de politiques étatiques a brouillé les frontières entre la guerre et la paix, et les pays ont transformé les cyberattaques en une stratégie à faible coût et à fort impact, visant des objectifs politiques, économiques et militaires pour éviter une riposte militaire directe. De plus, les attaques sur les chaînes d’approvisionnement ont entraîné l’effondrement de systèmes critiques dans de nombreux secteurs et des perturbations.

La capacité d’un pays à se distinguer et à devenir un modèle dans le domaine de la cybersécurité est directement liée à l’existence d’une législation-cadre complète en matière de cybersécurité et au bon fonctionnement d’une autorité centrale. Une législation-cadre fournit des normes contraignantes pour les institutions publiques, le secteur privé et les individus, tout en garantissant la cohérence des politiques de cybersécurité au niveau national. Elle renforce également la position d’un pays au sein de l’écosystème mondial de la cybersécurité en établissant un cadre de base pour la coopération internationale et la reconnaissance mutuelle.

La mise en œuvre effective de la législation pertinente est rendue possible par l’existence d’une autorité centrale. En effet, une structure centrale favorise une utilisation efficace des ressources, des mécanismes de décision rapides et coordonnés et crée également une base pour une détection plus efficace des menaces, une exécution harmonieuse des processus de réponse et un focus sur des objectifs stratégiques.

Avant cette année, de nombreuses institutions publiques, notamment le Ministère des Transports et de l’Infrastructure, le Ministère de l’Industrie et de la Technologie, l’Autorité des Technologies de l’Information et des Communications et le Bureau de la Transformation Numérique de la Présidence, avaient des responsabilités dans la structure de cybersécurité en Turquie. De plus, l’absence de législation-cadre a engendré des problèmes de coordination dans de nombreux domaines tels que la sécurité des données, les collaborations écosystémiques, la réglementation législative, l’orientation des incitations et soutiens, les collaborations internationales, l’élaboration des politiques macroéconomiques, etc. L’établissement d’une législation-cadre contribuera à faire grimper la Turquie dans le classement mondial.

Dans ce contexte, en mars dernier, des législateurs ont adopté une loi complète sur la cybersécurité.

Réglementation générale

Cette nouvelle loi régule les principes pour identifier et éliminer les menaces internes et externes à tous les éléments de la République de Turquie qui constituent sa puissance nationale dans le cyberespace, détermine les principes pour réduire les effets possibles des incidents cybernétiques, établit les dispositions nécessaires pour protéger les institutions et organisations publiques, les organisations professionnelles ayant le statut d’institutions publiques, ainsi que les personnes physiques et morales et les organisations sans personnalité juridique contre les cyberattaques, détermine les stratégies et les politiques pour renforcer la cybersécurité du pays et crée un conseil de cybersécurité. Le cadre général concernant l’étendue de la loi a également été défini.

Ainsi, la réglementation concernée couvrira les institutions et organisations publiques qui ont une présence, opèrent et offrent des services dans le cyberespace, ainsi que les organisations professionnelles ayant le statut d’institutions publiques, et les personnes physiques et morales sans personnalité juridique.

Avec cette réglementation, la cybersécurité deviendra une partie intégrante de la sécurité nationale ; l’objectif principal sera de protéger les infrastructures critiques et les systèmes d’information tout en créant un cyberespace sécurisé. Des études sur la cybersécurité seront menées en se basant sur l’institutionnalisation, la continuité et la durabilité, et il sera essentiel de mettre en œuvre des mesures de cybersécurité tout au long du cycle de vie des services et des produits.

La responsabilité comme fondement des processus de cybersécurité

Dans les études visant à garantir la cybersécurité, les produits nationaux et domestiques seront privilégiés en premier. Toutes les institutions et organisations publiques, ainsi que les personnes physiques et morales, seront tenues responsables de la mise en œuvre des politiques et stratégies de cybersécurité, ainsi que des mesures nécessaires pour prévenir ou réduire les effets des cyberattaques, et la responsabilité sera la base de la conduite des processus de cybersécurité.

Les études de développement de politiques et de stratégies en matière de cybersécurité seront menées selon une approche de développement continu, et les travaux visant à accroître la capacité et la compétence des ressources humaines qualifiées dans le domaine de la cybersécurité seront encouragés. L’objectif sera de diffuser la culture de la cybersécurité au sein de la société ; les principes de l’État de droit, des droits fondamentaux de l’homme et des libertés, ainsi que la protection de la vie privée seront acceptés comme principes fondamentaux.

Protection contre les cyberattaques

Cette loi définit également les responsabilités de la Présidence de la Cybersécurité, une nouvelle institution réglementaire. Ainsi, en plus des responsabilités stipulées dans la législation pertinente, la Présidence de la Cybersécurité effectuera des activités visant à renforcer la résilience cybernétique des infrastructures critiques et des systèmes d’information, à les protéger contre les cyberattaques, à détecter les cyberattaques, à prévenir les attaques potentielles et à réduire ou éliminer leurs effets.

Dans ce cadre, l’institution effectuera ou fera réaliser des tests de vulnérabilité et de pénétration ainsi que des analyses de risque des actifs, luttera contre les menaces cybernétiques, obtiendra, créera et partagera des informations sur les menaces cybernétiques et réalisera des activités de révision des malwares.

La Présidence de la Cybersécurité sera également responsable de la garantie de la conservation d’un inventaire de tous les actifs, y compris l’inventaire des données des institutions publiques et des infrastructures critiques, tout en assurant que des analyses de risque soient effectuées pour les actifs et que des mesures de sécurité soient mises en œuvre, en fonction de la criticité des actifs détenus par les institutions publiques et les infrastructures critiques.

L’institution a également la responsabilité d’établir, de faire établir et de superviser une équipe de réponse aux incidents cybernétiques (CIRT), de mener des études pour déterminer et améliorer les niveaux de maturité des CIRT, de mesurer les capacités de réponse aux incidents cybernétiques des CIRT par des exercices de cybersécurité, de coordonner avec les équipes de réponse aux incidents cybernétiques d’autres pays et de réaliser des études pour produire et développer tous types d’outils d’intervention cybernétique et de solutions nationales, en les faisant réaliser et en les encourageant.

Les enregistrements seront soumis à une étude de deux ans maximum

Selon la loi, qui détermine également les pouvoirs de la Présidence de la Cybersécurité, cette dernière prendra ou fera prendre les mesures nécessaires pour protéger les personnes relevant de son champ d’application contre les cyberattaques et pour fournir une dissuasion contre la source de ces attaques, en plus des pouvoirs inclus dans la législation pertinente.

Dans ce contexte, elle pourra fournir l’installation et l’intégration de produits logiciels et matériels adaptés aux systèmes d’information, transférer les données et enregistrements de log produits ou collectés par ces produits vers les systèmes d’information sous sa gestion et utiliser les méthodes et outils nécessaires pour la détection des incidents cybernétiques.

Le régulateur pourra fournir un soutien d’intervention en cas d’incidents cybernétiques, que ce soit sur place ou à distance, pour ceux confrontés à des incidents cybernétiques, suivre les traces des attaques à travers des données, des images ou des enregistrements de log trouvés dans ou obtenus du cyberespace, les examiner et les prouver, transmettre des résultats considérés comme constitutifs d’un crime aux autorités judiciaires et autres parties concernées, et coordonner avec les acteurs nationaux et internationaux.

La Présidence de la Cybersécurité pourra obtenir et évaluer des informations, documents, données et enregistrements et bénéficier de l’accès aux archives, centres de traitement de données électroniques et infrastructures de communication, dans la limite des activités qu’elle exerce.

Les informations, documents, données et enregistrements obtenus dans ce cadre seront soumis à une étude d’une durée maximale de deux ans, et seront détruits après cette période d’étude. Ceux qui sont sollicités dans ce cadre ne pourront pas éviter de répondre en invoquant des dispositions de leur propre législation.

Principes concernant les activités de contrôle

La Présidence de la Cybersécurité peut auditer tous types d’actes et de transactions dans le cadre de la réglementation et peut procéder elle-même ou faire procéder à des audits sur site dans les cas où elle le juge nécessaire par rapport à ses attributions spécifiées dans la réglementation. L’audit couvrira les activités et transactions des institutions, organisations et autres personnes physiques et morales pertinentes dans le cadre des dispositions de cette réglementation.

Le personnel des institutions, les auditeurs indépendants autorisés et certifiés ainsi que les organisations d’audit indépendantes seront habilités à réaliser les audits, et cette autorité sera exercée par ceux désignés par le président.

Les inspections dans les institutions publiques et organisations et infrastructures critiques seront réalisées par les membres du personnel de la Présidence de la Cybersécurité ou sous leur supervision. L’institution déterminera les principes d’importance et de priorité concernant les activités d’audit et les critères et principes de mise en œuvre à considérer dans les évaluations de risque. Les activités d’audit seront menées en fonction d’un programme établi, dans le cadre des principes d’importance et de priorité et des évaluations de risque.

Recherche, copie et saisie

Les personnes chargées de l’audit seront autorisées à examiner les données électroniques, documents, infrastructures électroniques, dispositifs, systèmes, logiciels et matériels, à obtenir des copies, copies numériques ou échantillons de ceux-ci, à demander des explications écrites ou orales à ce sujet, à préparer les procès-verbaux nécessaires, et à examiner les installations et leurs opérations, dans le cadre des activités d’audit qu’elles mènent.

Les entités soumises à l’audit seront tenues de rendre accessibles les dispositifs, systèmes, logiciels et matériels pertinents à l’audit pour les périodes spécifiées, de fournir l’infrastructure nécessaire à l’audit et de prendre les mesures nécessaires pour les maintenir en état de fonctionnement.

Conformément à la loi, des recherches peuvent être effectuées dans des résidences, des lieux de travail et des zones fermées au public, sur décision du juge ou, dans les cas où un délai serait indésirable, sur une décision écrite du procureur aux fins de sécurité nationale, d’ordre public, de prévention de crimes ou de cyberattaques, et la copie et la saisie peuvent être exécutées sans entraîner de perturbations prolongées du service. Une copie de la saisie sera remise à la personne concernée, et cet aspect sera consigné dans les procès-verbaux et signé.

Les recherches menées sans décision de judge et les opérations de copie et de saisie devront être soumises à l’approbation du juge compétent sous 24 heures. Les recherches, copies et saisies ne pourront être effectuées que dans les centres de données des opérateurs de centres de données agréés avec l’aval d’un juge.

Le juge annoncera sa décision dans les 48 heures, sinon les copies effectuées et les textes analysés seront détruits immédiatement et la saisie sera levée automatiquement. Le tribunal pénal de paix d’Ankara sera chargé des demandes entrant dans ce cadre ; cependant, aucune décision de juge ne sera requise pour les institutions publiques et organisations.

Conseil de cybersécurité

Cette loi régule également les membres du conseil de cybersécurité. Le conseil peut former des commissions et des groupes de travail si cela est jugé nécessaire dans le cadre de ses attributions. Les commissions et groupes de travail mèneront des études au niveau technique sur les questions relevant du conseil et développeront des propositions de décision. Des experts du domaine pourront être invités aux réunions des commissions et groupes de travail afin de bénéficier de leurs avis. Les tâches du conseil sont les suivantes :

• Prendre des décisions sur les politiques, stratégies, plans d’action en matière de cybersécurité et autres procédures réglementaires, et déterminer les institutions et organisations qui seront exemptées de tout ou partie des décisions prises.
• Prendre des décisions sur la mise en œuvre de la feuille de route technologique pour la cybersécurité préparée par le régulateur de la cybersécurité dans tout le pays.
• Déterminer les domaines prioritaires à encourager dans le domaine de la cybersécurité et prendre des décisions sur le développement des ressources humaines dans ce domaine.
• Déterminer les secteurs d’infrastructure critiques. Prendre des décisions concernant les conflits possibles entre le régulateur et les institutions et organisations publiques.

Application des dispositions pénales et amendes administratives

La législation établit un cadre de sanctions complet avec des sanctions criminelles et administratives. Les peines criminelles varient de un à quinze ans de prison selon la gravité de l’infraction, les peines les plus sévères étant réservées aux cyberattaques contre l’infrastructure nationale (huit à douze ans, augmentant à dix à quinze ans pour la distribution de données). La loi impose des peines renforcées lorsque les crimes sont commis par des responsables publics (augmentés d’un tiers), par plusieurs auteurs (augmentés de moitié) ou par des groupes organisés (augmentés de moitié à double).

Le cadre inclut également des amendes financières considérables pour les manquements à la conformité. Les amendes administratives varient de 100 000 à 10 millions de livres turques pour les violations des mesures de cybersécurité de base, augmentant jusqu’à 100 millions de livres pour les manquements relatifs à l’autorisation de passation de marchés et aux exigences d’approbation des ventes internationales. Pour les entités commerciales, les amendes peuvent atteindre jusqu’à 5 % du chiffre d’affaires brut en cas de non-respect des obligations d’inspection.

La législation criminalise à la fois les violations effectives de la cybersécurité et la diffusion délibérée d’informations fausses concernant les violations de données, reflétant l’approche du pays pour résoudre à la fois les vulnérabilités techniques et la sécurité de l’information dans l’espace numérique.