Rapport explicatif

spécifiques. Les dommages potentiels des cyberrisques sont également difficiles à évaluer⁴⁴. Par

conséquent, le bénéfice des mesures proposées ne peut être quantifié.

4.2.2 Manipulation non autorisée d'installations de télécommunication

Le bénéfice pour l'économie résulte de l'évitement des coûts que peuvent engendrer les cyberattaques pour les ménages, les entreprises et les autres groupes sociaux. Les coûts économiques des cyberattaques dé- crits aux chiffres 1.1.2et 1.2.2deux premiers points à examiner dans l'analyse d'impact de la réglementation (AIR) sont élevés et ont fortement augmenté ces dernières années. Ils sont toutefois difficiles à calculer.

D'une part, les victimes d'une cyberattaque ne la rendent pas toujours publique et d'autre part, il est très diffi- cile de mesurer correctement les coûts indirects des cyberattaques (p. ex. l'atteinte à la réputation, la perte de confiance, le mécontentement des clients). En outre, les bénéficies peuvent difficilement être imputés à des mesures de sécurité particulières. Cependant, il est incontestable que les dommages causés par les cy- berattaques pèsent depuis longtemps, et de manière importante, sur l'économie. Les mesures visant à rédu- ire ces coûts ont donc un effet positif direct.

Il est généralement admis que la cybersécurité deviendra de plus en plus un facteur de compétitivité pour la numérisation⁴⁵. Pour que la Suisse puisse aussi utiliser ses avantages dans l'économie numérique, elle doit créer les conditions nécessaires au niveau réglementaire. Les exigences minimales de sécurité imposées aux fournisseurs d'accès à Internet contribuent à permettre l'exploitation du potentiel économique de la nu- mérisation.

Alors que les mesures proposées auront un effet positif tant du point de vue macroéconomique que social (voir chiffre 4.3.2), elles engendrent aussi des coûts pour les FAI. Or, ces coûts ne sont pas quantifiables, car de nombreux facteurs, tels que l'ampleur des mesures déjà mises en œuvre aujourd'hui par les fournis- seurs ou la réduction des coûts grâce aux développements techniques, sont très difficiles à déterminer. Il s'agit donc ci-après d'une évaluation qualitative des coûts et d'un examen des conséquences auxquelles s'attendre, notamment pour les petits fournisseurs. En 2019, cinq grands FAI détenaient 86% des parts de marché en termes de clientèle. Dans le même temps, ces entreprises ne représentent qu'une fraction de tous les FAI opérant en Suisse. Au total, près de 170 FAI sont actifs en Suisse: 60% ont entre 1 et 1'000 cli- ents, 25% entre 1'000 et 10'000 clients et 15% en ont plus de 10'000⁴⁶.

4.2.2.1 Coûts de la mesure 1: Obligation pour les fournisseurs de filtrer les paquets IP dont l'adresse IP source est falsifiée (spoofing)

L'introduction de méthodes de filtrage des paquets IP dont l'adresse IP source est falsifiée exige des fournis- seurs un effort technique et administratif. Ils doivent implémenter les filtres et identifier les réseaux autorisés. Ils doivent également mettre à jour les filtres en permanence afin qu'aucun paquet IP légitime ne soit filtré. Cependant, comme la méthode du filtrage à l'entrée a été développée il y a 20 ans, sa mise en œuvre est devenue beaucoup plus facile. Il existe de nombreux outils et lignes directrices librement accessibles⁴⁷ et les obstacles techniques à la mise en place ont fortement diminué ces dernières années.

Pour l'évaluation des coûts, il est important de noter que ceux des petits fournisseurs sont nettement inféri- eurs à ceux des grands prestataires⁴⁸. Les petits fournisseurs ont beaucoup moins d'efforts à fournir pour déterminer quels réseaux sont autorisés et sont également confrontés à des exigences moins complexes lors de l'exploitation du filtre. En outre, les connexions sortantes contenant des éléments d'adressage falsi- fiés ne doivent être empêchées que si cela est techniquement possible pour les FAI avec des moyens rai- sonnables.