Rapport sur les résultats

Révision de l'ordonnance sur les services de télécommunication - Résultats de la procédure de consultation

Art. 96a Manipulation non autorisée d'installations de télécommunication (mesures de sécurité)

Al. 1

IVR, la CCPCS, la CCDJP, les cantons BE, SG, OW, VD, la KAPO AI, GVZG et la CSSP demandent que la réglementation ne soit pas limitée exclusivement aux attaques DDoS. Celles-ci devraient plutôt être mentionnées notamment à titre d'exemple. En outre, ils font valoir que les détails des

mécanismes d'attaque potentiels ne doivent pas être réglés de manière exhaustive dans l'OST, mais dans les PTA. Cela permet d'agir de manière adéquate et d'adapter de manière simple les

réglementations à prendre en compte.

Le canton GE affirme que les opérateurs devraient utiliser tous les moyens techniques raisonnables pour configurer leurs réseaux selon les meilleures pratiques de sécurité, y compris le contrôle des ressources d'adressage falsifiées.

Economiesuisse fait valoir qu'il faut prévoir des délais de mise en œuvre et des délais d'anticipation suffisants (au moins 6 mois) et les définir dans les PTA.

Al. 2

Economiesuisse, l'UDC et Swisscom souhaitent que le champ d'application soit clairement délimité. La mise à jour des smartphones doit être laissée à l'appréciation des utilisateurs finaux et ne doit pas tomber sous le coup de cette disposition. Selon SUISSEDIGITAL, il faut préciser que la disposition s'applique exclusivement aux appareils remis par des fournisseurs d’accès à Internet.

Economiesuisse et Swisscom plaident pour des délais de mise en œuvre suffisants (au moins 6 mois).

Selon economiesuisse, les équipements terminaux (Customer Premises Equipment) doivent être réglementés par une norme de sécurité de base. En outre, sur certains points, les exigences

imposées par la réglementation doivent être davantage liées à la faisabilité technique.

Selon la FER, la résilience numérique ne peut être atteinte que par une prise en compte globale de toutes les différentes facettes des cyberrisques.

Salt demande une actualisation "régulière" plutôt que "sans délai".

Pour la SSR, les mesures de sécurité ne vont pas assez loin, car elles sont prévues pour les

équipements terminaux, et l’obligation ne s’applique qu’aux fournisseurs d’accès Internet. L'objectif devrait être de protéger tous les terminaux exposés.

Swisscom souhaite laisser aux fournisseurs d’accès Internet le soin d'évaluer si les installations de télécommunication doivent être modernisées.

Divers avis s'expriment déjà sur la mise en œuvre technique concrète de la disposition. Certains se réfèrent explicitement aux principes relatifs aux PTA énoncés dans le rapport explicatif.

Selon l'asut, digitalswitzerland et Sunrise UPC, le principe relatif aux PTA concernant la fin de vie des équipements terminaux devrait être reformulé. Ce n'est que lorsque ceux-ci ne sont plus soumis à des mises à jour de sécurité jugées critiques qu'ils devraient être remplacés. Swisscom ne souhaite pas laisser aux seuls fabricants le soin d'évaluer si les installations doivent être remplacées pour des raisons de sécurité. Les fournisseurs d’accès Internet doivent être impliqués.

L’asut et Sunrise UPC souhaitent la suppression du principe selon lequel les services non utilisés doivent être désactivés sur les équipements terminaux. Selon Swisscom, certains ports de ces équipements devraient être ouverts à l’état de livraison pour pouvoir être configurés via le système de télémaintenance.

SUISSEDIGITAL et Salt souhaitent se baser sur des normes internationales.