Projet

Loi sur la sécurité de l'information

cyberattaques. Ces informations peuvent contenir des données personnelles ou des données concernant des personnes morales, pour autant qu’il s’agisse de caractères d’identification et de ressources d'adressage usurpés et que la personne concernée ait donné son accord.

³ Le NCSC informe immédiatement le fabricant des vulnérabilités qui lui sont signalées et lui fixe un délai approprié pour y remédier. Si le fabricant n’y remédie pas dans le délai imparti, le NCSC publie la vulnérabilité en indiquant le logiciel ou le matériel concerné pour autant que cela contribue à la protection contre les cyberrisques.

Art. 73c Transmission d’informations

¹ Si le signalement d’un cyberincident ou son analyse révèlent des informations pertinentes pour déceler à temps et prévenir des menaces contre la sécurité intérieure ou extérieure, pour évaluer le niveau de menace ou pour assurer un service d’alerte précoce dans le domaine du renseignement en vue de protéger les infrastructures critiques conformément à l'art. 6, al. 1, let. a, 2 et 5, de la loi fédérale du 25 septembre 2015 sur le renseignement (LRens)², le NCSC transmet ces informations au SRC.

² Les collaborateurs du NCSC ne sont pas soumis à l'obligation de dénoncer prévue à l'art. 22a de la loi du 24 mars 2000 sur le personnel de la Confédération³ si, dans le cadre du signalement d'un cyberincident ou de son analyse, ils obtiennent des informations sur une infraction éventuelle. Le responsable du NCSC peut dénoncer l'infraction si cela semble indiqué au vu de sa gravité.

³ Les informations communiquées au NCSC par une personne dans le cadre d'un signalement ne peuvent être utilisées dans une procédure pénale contre cette personne qu’avec l’accord de celle-ci.

⁴ Le NCSC ne peut transmettre des informations qui révèlent des secrets pénalement protégés que conformément aux exigences prévues à l’art. 320 CP⁴.

Art. 74 Soutien aux exploitants d'infrastructures critiques

¹ Le NCSC aide les exploitants d'infrastructures critiques à se protéger contre les cyberrisques.

² À cette fin, il met notamment à leur disposition les instruments suivants:

a. un système de communication permettant l’échange sécurisé d’informations;

b. des informations techniques sur les cyberrisques et vulnérabilités connus ainsi que des recommandations sur les mesures de prévention;

c. des outils techniques et des instructions de détection des cyberincidents visant à répondre aux besoins accrus de protection des infrastructures critiques.

³ Il les conseille et les aide dans la gestion des cyberincidents et la correction des vulnérabilités lorsqu'il existe un risque imminent de conséquences graves pour

²RS 121

3 RS 172.220.1

4 RS 311.0