Rapport explicatif

systèmes de certification (GSMA NESAS, schémas européens de certification de cybersécurité³⁶). A défaut d'une certification sur une base volontaire de leur système de gestion de la sécurité (art. 96e) ou en cas d'exploitation d’installations de télécommunication critiques non certifiées conformes aux normes reconnues en matière de sécurité (art. 96f), un concessionnaire de radiocommunication mobile pourra, dans le cadre de la surveillance, être obligé, à ses frais, de se soumettre à un audit ou de faire tester ses installations de télécommunication auprès d'un organisme disposant des qualifications nécessaires, et de remettre à

l'OFCOM les résultats de cet audit ou de ce test (al. 2). Une telle mesure ne pourra toutefois être prise que dans le cadre de l'art. 58, al. 2, LTC, s'il existe un soupçon que le concessionnaire ne respecte pas les exi- gences découlant des art. 96e et 96f et que l'OFCOM n’est pas en mesure de constater lui-même les faits pertinents. Elle serait en revanche exclue en l'absence d'un tel soupçon, notamment dans le cadre de la sur- veillance générale au sens de l’art. 58, al. 1, LTC (campagnes de surveillance). Il s'agira en outre de veiller à ce que l'organisme qualifié traite de manière confidentielle les informations auxquelles il aura accès, en parti- culier celles en lien avec une éventuelle mesure de surveillance au sens de la LSCPT.

S'agissant des installations de télécommunication, l'OFCOM concrétisera les exigences essentielles fixées par le Conseil fédéral à l'art. 96f conformément à l'art. 31, al. 2, let. b, LTC. Ce faisant, il lui incombera de procéder aux notifications prévues dans le cadre de l'Organisation mondiale du commerce (OMC) et de l’Association européenne de libre-échange (AELE). Les dispositions pertinentes de l'ordonnance du 25 no- vembre 2015 sur les installations de télécommunication (OIT; RS 784.101.2) sont en outre applicables. L'art. 17 OIT, notamment, s'applique à l'accréditation, la reconnaissance ou l'habilitation des laboratoires d'essai et des organismes d’évaluation de la conformité. En cas de modification d'une norme technique désignée,

l'OFCOM devra par ailleurs fixer la date à partir de laquelle la présomption de conformité cesse pour les in- stallations de radiocommunication conformes à la version précédente (voir art. 8, al. 2, OIT).

4 Conséquences

4.1 Conséquences pour la Confédération

4.1.1 Sécurité des réseaux mobiles 5G

Les conséquences pour la Confédération en termes de finances, de personnel et autres ont été examinées Dans un premier temps, elles seront probablement insignifiantes. La mise en œuvre et la prise en charge des coûts devront initialement être assurées par les entreprises. L'OFCOM devra toutefois assumer des dé- penses supplémentaires, difficilement quantifiables à l'heure actuelle, dans le domaine de la normalisation et de la surveillance en lien avec la sécurité des réseaux mobiles 5G. Par ailleurs, les tâches supplémentaires dans le domaine de la normalisation et de la surveillance devront être intégrées dans les processus de travail existants de l'OFCOM. Il conviendra toutefois de suivre de près l'évolution de la situation à cet égard.

4.1.2 Manipulation non autorisée d'installations de télécommunication

Les conséquences pour la Confédération en termes de finances, de personnel et autres ont été examinées; dans l’ensemble, elles seront probablement insignifiantes. Le NCSC informe déjà les fournisseurs sur de possibles cyberattaques dans ou depuis leur réseau, un élément qui revêt une grande importance pour la cybersécurité de la Suisse. La tâche du NCSC décrite dans l'ordonnance peut donc être réalisée avec les ressources existantes. A l'OFCOM, les nouvelles tâches dans le domaine de la cybersécurité et leur exécu- tion conjointe avec le NCSC requièrent un à deux postes supplémentaires. Le NCSC dispose d'un pool de travail à cette fin. Par le passé, l'OFCOM avait déjà exprimé un besoin, mais celui-ci n'avait pas été pris en compte. Au vu des présentes dispositions, il est désormais suffisamment concret. Dans l'ensemble, il n'y a pas de conséquences pour la Confédération, car le pool de travail existe déjà.

4.2 Conséquences pour l'économie

4.2.1 Sécurité des réseaux mobiles 5G

Les quatre mesures proposées pour la sécurité de la 5G impliquent des coûts pour les trois concession- naires de radiocommunication mobile actifs en Suisse.