Londres veut étudier qui doit payer quand un logiciel mal sécurisé ouvre la porte aux pirates

Au milieu des 166 pages du budget britannique publié le 28 octobre, il y a une ligne qui intéresse tous les éditeurs de logiciels. Selon le média spécialisé The Record, le Trésor s'engage à examiner « où doit se situer la responsabilité » en cas de cyberattaque. Le média y voit le premier engagement formel d'un gouvernement britannique à poser cette question.

Concrètement, le gouvernement doit lancer en 2027 une consultation sur les technologies mal sécurisées et la répartition de la responsabilité. Ni le ministère chargé du dossier ni le calendrier précis ne sont connus à ce stade. Rien n'est donc décidé : c'est une consultation, pas encore une loi.

Pourquoi le Royaume-Uni change de ton

Jusqu'ici, Londres misait sur des codes de bonne conduite volontaires, comme celui du NCSC (le centre national de cybersécurité) sur la sécurité des logiciels. Les critiques se sont accumulées. En 2025, son directeur technique Ollie Whitehouse écrivait que les incitations commerciales ne suffisaient pas à récompenser les produits sûrs. En novembre 2025, la commission parlementaire des affaires et du commerce, présidée par Liam Byrne, demandait de rendre ce code obligatoire et assorti de sanctions.

Le coût des attaques pèse aussi. The Record rappelle que le piratage de Jaguar Land Rover, en 2025, aurait coûté 1,9 milliard de livres à l'économie britannique selon les estimations.

Plusieurs pistes sont évoquées : étendre la loi PSTI, qui impose depuis 2024 des règles de base aux objets connectés grand public, ou créer des obligations propres aux éditeurs. La Law Commission d'Angleterre et du pays de Galles consulte en parallèle, jusqu'au 14 janvier 2027, sur l'élargissement de la notion de « produit » aux logiciels et aux systèmes d'IA. Reste à savoir si le gouvernement choisira la responsabilité civile, des obligations légales pour les éditeurs, ou les deux.

L'Union européenne a déjà pris de l'avance

Pour un éditeur qui vend en Europe, la direction est connue. Le règlement européen sur la cyberrésilience (Cyber Resilience Act) imposera ses principales obligations en décembre 2027, avec des amendes pouvant atteindre 15 millions d'euros ou 2,5 % du chiffre d'affaires mondial. La directive révisée sur la responsabilité du fait des produits étend la responsabilité sans faute aux logiciels, y compris pour les défauts causés par une mise à jour de sécurité manquante. Selon The Record, les responsables britanniques devraient veiller à ce que leurs futures règles restent compatibles avec ce cadre, pour éviter aux entreprises une double mise en conformité.

L'opposition est déjà organisée. La Business Software Alliance, qui compte Microsoft, Oracle et Amazon Web Services parmi ses membres, s'élève contre ce type de mesure au nom de l'innovation. Le sujet pourrait aussi tendre les relations avec Washington, où l'administration Trump a allégé plusieurs exigences de sécurité logicielle imposées aux fournisseurs fédéraux.

De l'argent pour l'IA défensive

Le même budget prévoit, toujours selon The Record, 154 millions de livres pour la cybersécurité. Il finance notamment un centre de détection des vulnérabilités par IA au NCSC (70 millions). Séparément, 40 millions sont alloués à une unité chargée de détecter les agents d'IA hors de contrôle. L'AI Security Institute recevra en outre 120 millions sur quatre ans.

Prochaine étape : la clôture de la consultation de la Law Commission le 14 janvier. Pour les entreprises françaises qui préparent le Cyber Resilience Act, le message est simple : dans l'Union européenne, l'éditeur ne pourra bientôt plus se décharger de la sécurité sur son client, et le Royaume-Uni envisage désormais d'aller dans le même sens.