Rapport sur les résultats

Révision de l'ordonnance sur les services de télécommunication - Résultats de la procédure de consultation

une atteinte grave à la liberté économique. Il faut donc absolument laisser aux exploitants de réseau le soin de mettre en œuvre la gestion de la sécurité, et renoncer à prescrire des normes concrètes dans l'ordonnance et les PTA. L'OFCOM ne devrait intervenir qu'en cas d'incident, et examiner alors les faits conformément à l'art. 96g.

Al. 3

La FER et le canton VS soutiennent l'exigence de mettre en place un système de gestion de la sécurité de l’information basé sur les normes ISO. Economiesuisse est d'avis que le système de gestion exigé doit être accepté selon les normes et certifications courantes. Le marché a déjà créé des bases suffisantes dans ce domaine; une réglementation spécifique à la Suisse n'est pas

appropriée.

Swisscom, Sunrise et la FER mentionnent la norme ISO/IEC 27001 comme référence pour le développement d'un système de gestion de la sécurité; Swisscom, Salt, le canton VS et la FER soutiennent le système de gestion de la continuité et la gestion des incidents de sécurité.

Sunrise exploite un système de gestion de la continuité des activités selon la norme ISO/IEC 22301. Swisscom et Sunrise mentionnent également cette norme comme référence pour l'élaboration d'un système de gestion de la continuité.

Art. 96f Sécurité des réseaux et des services exploités par les concessionnaires de radiocommunication mobile (exploitation des installations de télécommunication critiques)

Al. 1

L'asut approuve le projet, qui s'oriente pour l'essentiel vers des mesures également mises en œuvre dans d'autres pays (en particulier dans l'UE) et se base sur des normes et des initiatives de sécurité reconnues au niveau international (p. ex. ENISA, NESAS, GSMA knowledge base, SCAS, 3GGP, ISO). Renoncer dans une large mesure à une solution nationale particulière permet de mettre en œuvre les mesures efficacement et d’adapter en permanence les normes de sécurité aux évolutions techniques. En outre, les entreprises technologiques actives au niveau international ainsi que les clients commerciaux suisses s'orientent de plus en plus vers ces normes (p. ex. le secteur financier). Cette tendance engendre une augmentation de la sécurité du réseau dans tous les secteurs et montre en outre que le marché et la concurrence conduisent automatiquement à une augmentation du niveau de sécurité.

Swisscom fait savoir qu'elle applique déjà les normes de sécurité pertinentes établies au niveau international.

Salt salue la proposition de certification selon des normes de sécurité reconnues. Il s'agit d'éviter la création de normes spécifiques à la Suisse. Les réseaux de téléphonie mobile suisses sont

considérés par l'Office fédéral pour l'approvisionnement économique du pays (OFAE) comme étant d'importance systémique et comme une infrastructure critique. Par conséquent, les installations de télécommunication correspondantes sont critiques en termes de sécurité. Salt ne voit donc pas bien ce que l'OFCOM devrait préciser à cet égard.

Al. 2

L'obligation de localisation proposée concernant les centres d'exploitation de réseau et de sécurité (Suisse, EEE Royaume-Uni) est approuvée par IVR, la CCPCS, la CCDJP, SG, KAPO AI, GVZG, les cantons BE, OW, GE, GL, FKS, SO, VD, VS, ZH et Swisscom. Salt souhaite étendre la

réglementation aux Etats disposant d'une protection des données adéquate selon la liste du PFPDT. Outre leur accord sur l'obligation de localisation, IVR, la CCPCS, la CCDJP, SG, KAPO AI, GVZG, les cantons BE, OW, GE, GL, FKS, SO et VD proposent d'imposer également un siège social ou une filiale en Suisse.