Ce que les nouvelles règles de cybersécurité de Singapour imposent aux opérateurs d’infrastructures critiques

Singapour élargit le périmètre de protection de ses infrastructures numériques essentielles. La version actualisée du Cybersecurity Code of Practice impose de nouvelles exigences aux opérateurs des 11 secteurs d’infrastructures d’information critiques — ou CII, pour Critical Information Infrastructure. Elles concernent notamment la détection des menaces, la gouvernance au plus haut niveau, les systèmes interconnectés, les exercices de résilience et les prestataires qui soutiennent ces activités.

Ce durcissement intervient alors que les opérations cyber gagnent en rapidité et en sophistication, notamment grâce à l’intelligence artificielle. Il fait aussi suite à la campagne menée en 2025 par le groupe d’attaquants persistants avancés (APT) UNC3886 contre les quatre principaux opérateurs télécoms du pays.

Les principales obligations pour les opérateurs de CII

Une détection des menaces déployée sur plusieurs segments du réseau

Les propriétaires de CII devront travailler avec la Cyber Security Agency of Singapore (CSA), l’agence singapourienne chargée de la cybersécurité, afin de déployer des systèmes de détection des menaces développés localement sur les segments de réseau concernés. L’objectif est d’améliorer la visibilité et de repérer les activités malveillantes non seulement dans le système officiellement désigné comme critique, mais aussi dans les parties connectées de l’environnement informatique.

Cette extension répond à une faiblesse bien connue : un système moins protégé peut servir de point d’entrée vers une infrastructure critique. Singapour observe justement que les attaquants ciblent de plus en plus des systèmes qui ne relèvent pas formellement du périmètre CII pour atteindre ensuite des services essentiels.

La cybersécurité devient une responsabilité de conseil d’administration

La nouvelle approche ne laisse plus la responsabilité du risque cyber au seul service informatique ou à un dirigeant désigné. L’ensemble du conseil d’administration et de la direction générale devra superviser la cybersécurité, la résilience et la reprise après incident.

Les conseils devront conserver un cadre documenté de cyber-résilience couvrant :

• le niveau de risque cyber que l’organisation accepte ;
• les mesures de réduction et de gestion de ce risque ;
• les éventuels mécanismes de transfert du risque ;
• les priorités et les capacités de reprise.

Ce cadre devra être réexaminé au moins une fois par an.

La cybersécurité devient ainsi une obligation récurrente de gouvernance, et non un simple projet de conformité. Les administrateurs devront notamment arbitrer le niveau de risque acceptable et déterminer comment maintenir les services essentiels après une attaque grave.

Une surveillance étendue aux systèmes interconnectés

Les opérateurs de CII devront surveiller les systèmes qui se connectent à leur infrastructure critique, communiquent avec elle ou la soutiennent. Les nouvelles exigences prévoient également une architecture réseau renforcée, une gestion plus rigoureuse de la supervision et de la détection, ainsi que des plans complets d’exercices de cybersécurité pour coordonner la réponse aux incidents.

En pratique, les organisations devront cartographier plus précisément leurs dépendances. Un système extérieur au périmètre CII officiel pourra néanmoins nécessiter un contrôle accru s’il constitue une voie d’accès aux services critiques ou s’il peut compromettre leur reprise après une attaque.

Le niveau 5 du Cyber Trust Mark pour les systèmes de soutien

D’ici fin 2027, les propriétaires de CII devront obtenir le Cyber Trust Mark (CTM) de niveau 5 pour les systèmes non-CII qu’ils contrôlent et qui soutiennent leurs activités ou leurs services. L’obligation d’assurance ne se limite donc plus aux systèmes officiellement classés comme critiques.

Le niveau 5 est le plus élevé du cadre Cyber Trust de Singapour. Le programme couvre notamment la cybersécurité classique, la sécurité du cloud, la sécurité des technologies opérationnelles et la sécurité liée à l’intelligence artificielle.

L’objectif est de réduire l’écart entre un système CII fortement protégé et l’infrastructure d’entreprise qui peut partager avec lui des identifiants, des outils d’administration, des réseaux ou des processus de reprise.

Pourquoi Singapour renforce-t-il ces règles ?

L’IA réduit le temps disponible pour réagir

Selon la CSA, la mise à jour du code vise notamment les menaces liées aux APT et aux attaques assistées par l’IA. Les outils d’intelligence artificielle peuvent aider les attaquants à agir plus vite, à grande échelle et avec davantage de sophistication. Les organisations doivent donc détecter plus tôt les comportements suspects et répondre à l’échelle de leur environnement, plutôt que de s’appuyer uniquement sur des contrôles en périphérie du réseau.

La réponse réglementaire ne consiste pas simplement à ajouter un outil technique. Elle combine détection, gouvernance, certification et exercices afin que les opérateurs puissent identifier une menace, décider rapidement et rétablir les services critiques si les mesures de prévention échouent.

UNC3886 a illustré la valeur stratégique des télécommunications

En 2025, la campagne attribuée à UNC3886 a visé les quatre grands opérateurs télécoms de Singapour. Les autorités singapouriennes l’ont décrite comme une opération délibérée, ciblée et soigneusement planifiée, menée par un acteur doté de capacités avancées.

La CSA identifie UNC3886 comme un groupe APT soutenu par un État. Il utilise des techniques sophistiquées, notamment des outils légitimes déjà présents dans les systèmes — une méthode souvent appelée living off the land — ainsi que des vulnérabilités de type « zero-day », encore inconnues au moment de leur exploitation. Le groupe cible des actifs stratégiques de grande valeur, dont les infrastructures critiques.

Singapour a réagi avec l’opération CYBER GUARDIAN, une intervention coordonnée réunissant des agences publiques et des entreprises de télécommunications. Les autorités ont indiqué que l’incident avait été contenu sans interruption des services télécoms et qu’aucun élément ne démontrait une compromission des données clients.

L’absence d’interruption de service ne rend pas l’incident anodin. Elle montre au contraire pourquoi les télécommunications, l’énergie, la santé, la finance, les transports et les autres services essentiels sont considérés comme des cibles stratégiques — et pourquoi Singapour étend désormais ses contrôles aux systèmes et aux fournisseurs qui entourent les CII.

Le cloud et les prestataires tiers constituent la prochaine frontière

Singapour prévoit d’introduire au second semestre 2026 un code de bonnes pratiques distinct et juridiquement contraignant pour les services cloud. Ce texte devrait encadrer le déploiement, l’exploitation et la gestion sécurisés des systèmes CII hébergés dans le cloud.

La CSA a travaillé avec AWS, Google Cloud et Microsoft Azure à l’élaboration de guides de mise en œuvre propres à chaque fournisseur. Ces documents portent notamment sur les configurations adaptées et l’utilisation des fonctions de sécurité natives du cloud.

Les échéances de certification concernent également la chaîne de sous-traitance cyber :

• les auditeurs de CII devront obtenir le CTM de niveau 5 d’ici fin 2026 ;
• les prestataires agréés de tests d’intrusion et de centres d’opérations de sécurité gérés devront obtenir le CTM de niveau 3 d’ici fin 2026 ;
• les propriétaires de CII devront obtenir le CTM de niveau 5 pour les systèmes de soutien concernés d’ici fin 2027.

Le principe est clair : la sécurité d’un opérateur critique dépend aussi des entreprises qui auditent, surveillent, testent et hébergent ses systèmes.

Ce qui reste à préciser

La CSA répertorie désormais les exigences actualisées applicables aux CII, mais le contenu détaillé du code distinct consacré au cloud est encore en cours d’élaboration. Les informations publiques précisent le calendrier prévu et les grands axes du futur texte, sans détailler entièrement les obligations qui s’appliqueront aux fournisseurs cloud, aux sous-traitants et aux dispositifs de responsabilité partagée.

Pour les opérateurs de CII, la priorité immédiate est donc d’évaluer l’ensemble de leur chaîne de dépendances : infrastructure officiellement désignée, systèmes connectés, charges de travail dans le cloud, environnements de reprise, fournisseurs et services de sécurité externalisés.

La direction prise par Singapour ne fait guère de doute : le périmètre à protéger devient l’écosystème opérationnel dans son ensemble, et non plus seulement le système portant l’étiquette CII.