Curaçao place la cybersécurité au cœur de la prochaine étape de la réforme du secteur des jeux de hasard
La refonte du secteur des jeux de hasard à Curaçao passe désormais des mécanismes d’octroi de licences à la sécurité des systèmes qui sous-tendent l’industrie des jeux en ligne de l’île, le projet de exigences de l’Autorité des jeux de Curaçao proposant un niveau de base obligatoire en matière de cybersécurité pour les opérateurs B2C et les fournisseurs B2B.
Ce projet de mesures de contrôle de la sécurité de l’information fait suite à plusieurs mois durant lesquels l’autorité de régulation a renforcé le cadre réglementaire autour de la « Landsverordening op de Kansspelen », ou LOK, la nouvelle loi sur les jeux de hasard de Curaçao. Ce processus a notamment comporté une révision des règles relatives aux redevances et un examen approfondi des licences provisoires. Le nouveau document précise que ces règles visent à « garantir que l’opérateur offre un environnement de jeux sûr et sécurisé à ses joueurs » et confirme que « le respect de ces exigences constitue une condition obligatoire pour l’octroi d’une licence en vertu de la LOK ».
La sécurité comme critère d’octroi de licence
Le programme de réforme de Curaçao ne se limite plus à déterminer qui détient une licence, qui s’acquitte de quelles redevances ou qui figure au registre public. Il s’étend désormais à la manière dont les entreprises protègent les données des joueurs, les flux de paiement, les générateurs de nombres aléatoires (RNG), les flux de données sportives, les journaux, les sauvegardes, les comptes privilégiés et les plateformes tierces.
En vertu des règles de cybersécurité proposées par la CGA, toute entreprise de jeux de hasard titulaire d’une licence à Curaçao, y compris les opérateurs B2C et les fournisseurs B2B, devra se conformer à une norme de sécurité de base obligatoire connue sous le nom de CIS Controls Implementation Group 1, ou IG1.
Cette norme de base couvre l’inventaire des actifs, la configuration sécurisée, les contrôles d’accès, la gestion des vulnérabilités, la journalisation des audits, la protection contre les logiciels malveillants, les sauvegardes, la sécurité du réseau, la formation du personnel, la supervision des fournisseurs, la réponse aux incidents, la sécurité physique, la continuité des activités et les contrôles cryptographiques.
En pratique, cela signifie que les entreprises titulaires d’une licence à Curaçao devront prouver qu’elles savent quelle technologie elles utilisent, qui y a accès, comment elle est protégée, à quelle vitesse les failles sont corrigées et ce qui se passe en cas de problème.
Pour les petits opérateurs, ces règles transforment la cybersécurité d’une préoccupation informatique générale en une obligation liée à la licence. Pour les grands groupes et les fournisseurs, elles créent une piste d’audit plus claire : les contrôles de sécurité doivent être documentés, testés et mis à la disposition de l’autorité de régulation pour examen.
Les fournisseurs pris au piège
Les nouvelles mesures renforcent également la distinction des responsabilités entre les opérateurs et les fournisseurs. Les fournisseurs de technologies B2B sont désormais considérés comme des titulaires de licence à part entière, et non plus simplement comme des prestataires sous-traitants agissant pour le compte d’une marque B2C.
La CGA précise que ces règles s’appliquent à « tous les titulaires d’une licence CGA, qu’ils opèrent en mode B2C ou B2B ». Elle ajoute que les fournisseurs de technologies de jeux B2B sont soumis à ces exigences « en tant que titulaires de licence de la CGA à part entière ».
Pour les opérateurs B2C utilisant des plateformes tierces, l’autorité de régulation ne va pas jusqu’à exiger un contrôle direct sur les systèmes internes d’un fournisseur. Elle exige toutefois une diligence raisonnable, des garanties contractuelles et une surveillance. Le document stipule : « La délégation contractuelle des contrôles opérationnels à un fournisseur B2B ne dégage pas le titulaire de licence B2C de sa responsabilité réglementaire en vertu de la LOK. »
Cette approche reflète la transition plus large vers la LOK. Les règles en matière de cybersécurité font suite à la publication par la CGA de la version 2.0 de son cadre tarifaire sous le régime de la LOK, qui a confirmé que la structure d’octroi de licences s’applique à la fois aux opérateurs B2C et aux prestataires de services B2B.
Un délai strict est désormais imposé pour le signalement des incidents
Le projet de réglementation sur la cybersécurité introduirait également une norme stricte en matière de notification des incidents. Les titulaires de licence seraient tenus d’informer la CGA « sans délai injustifié, et en tout état de cause dans les 24 heures », de tout incident de sécurité compromettant l’intégrité des jeux, affectant les fonds ou les données personnelles des joueurs, ou susceptible d’affecter la communication des résultats, la disponibilité des systèmes ou l’équité des jeux.
Pour une industrie reposant sur des plateformes externalisées, des flux de cotes en direct, des agrégateurs de jeux et des processeurs de paiement, cela pourrait s’avérer l’un des aspects les plus exigeants du régime. Les opérateurs de paris sportifs, en particulier, sont tenus de surveiller l’intégrité des flux de données sur les événements en direct, avec des contrôles d’authentification, de cryptage, de détection des anomalies et de suspension des marchés lorsque l’intégrité ne peut être garantie.
Ces mesures s’inscrivent dans le cadre des efforts déployés par Curaçao pour présenter le régime LOK comme un cadre réglementaire plus conventionnel, où l’octroi de licences, le respect des redevances et la cybersécurité sont traités comme des obligations interdépendantes. Pour les opérateurs, cela signifie concrètement que l’agrément au titre du nouveau système pourrait dépendre non seulement de vérifications financières et d’ordre corporatif, mais aussi de la capacité de leurs contrôles technologiques à résister à l’examen minutieux des autorités de régulation.
Ne vous contentez pas de lire l’actualité — gardez une longueur d’avance. Abonnez-vous ICI au Top 10 des actualités de SiGMA pour découvrir les articles qui façonnent l’avenir de l’iGaming, les analyses hebdomadaires de la plus grande communauté mondiale d’iGaming et des offres exclusives réservées aux abonnés.
