Projet

Loi sur la sécurité de l'information

1. technique de commande et surveillance des systèmes,

2. exploitation de dispositifs médicaux et d'installations de télécommunication,

3. garantie de la sécurité publique,

4. sécurité informatique, cryptage, identification, autorisation d'accès et d'entrée.

Art. 74c Exceptions à l'obligation de signalement

Le Conseil fédéral exempte certaines catégories d'exploitants d'infrastructures critiques de l'obligation de signalement si les défaillances ou les dysfonctionnements provoqués par des cyberattaques contre leurs infrastructures:

a. sont peu probables, notamment en raison d’une faible dépendance à l’égard des moyens informatiques, ou

b. n'ont qu'un impact limité sur le fonctionnement de l'économie ou sur le bienêtre de la population, en particulier parce qu'ils:

1. ne portent préjudice qu’à un petit nombre de personnes,

2. sont suppléés par d’autres infrastructures critiques, ou

3. ne présentent qu’un faible potentiel de dommages économiques.

Art. 74d Cyberattaques à signaler

¹ Une cyberattaque contre une infrastructure critique doit être signalée si des indices laissent présumer:

a. qu’elle met en péril le bon fonctionnement de l'infrastructure critique touchée ou une autre infrastructure critique;

b. qu’elle a été exécutée par un État étranger ou à son instigation;

c. qu’elle a entraîné ou pourrait entraîner une fuite ou la manipulation d'informations, ou

d. qu’elle est passée inaperçue pendant plus de 30 jours.

² Une cyberattaque contre une infrastructure critique doit toujours être signalée si elle s'accompagne d'actes de chantage, de menaces ou de contrainte à l'encontre de l'exploitant de l’infrastructure critique ou de ses collaborateurs.

Art. 74e Contenu du signalement

¹Le signalement d'une cyberattaque contient des informations concernant l'infrastructure critique, le type de cyberattaque subie, son déroulement et ses conséquences ainsi que les mesures que compte prendre l'exploitant de l'infrastructure.