Projet de loi C-8 : Loi concernant la cybersécurité, modifiant la Loi sur les télécommunications et apportant des modifications corrélatives à d'autres lois

Si vous exploitez une entreprise dans un secteur réglementé par le fédéral — fournisseur de télécommunications, pipeline ou ligne d'énergie interprovinciale, installation nucléaire, transporteur sous réglementation fédérale, banque ou système de compensation — vous êtes directement visé par ce projet de loi, peu importe la province où vous exercez. Vous devrez, dans les 90 jours suivant votre désignation comme « exploitant désigné », rédiger et soumettre un programme de cybersécurité couvrant la gestion des risques, la protection de vos systèmes, la détection d'incidents et la réponse à ceux-ci, et vous devrez le réviser chaque année. Vous aurez aussi l'obligation de signaler tout incident de cybersécurité à l'Établissement de communication de sécurité dans un délai maximal de 72 heures, et de tenir des registres détaillés de toutes les mesures prises. En cas de non-conformité, vous vous exposez à des pénalités administratives pouvant atteindre 15 millions de dollars pour une entreprise (et 50 000 $ pour un particulier), ainsi qu'à des poursuites criminelles; la taille de votre entreprise n'écarte pas ces obligations, mais peut influer sur le montant des pénalités.