Rapport explicatif

3.3 Modalités de mise en œuvre

3.3.1 Nécessité d'une base légale

Il découle du principe de légalité (art. 5, al. 1, de la Constitution, Cst.¹⁵) et des dispositions relatives à la législation de l'art. 164, al. 1, Cst. que l'obligation de signalement des cyberattaques doit être réglée au moins dans les grandes lignes au niveau de la loi. Le projet mis en consultation contient par conséquent les éléments essentiels de l'obligation de signaler les cyberattaques: il comporte les principaux éléments de l'obligation de signalement, notamment ses facteurs déclenchants et sa portée (cyberattaques avec potentiel de dommages), le cercle des assujettis (exploitants d'infrastructures critiques actives dans des domaines définis), le contenu des signalements et leur utilisation par le NCSC. Pour les exploitants d'infrastructures critiques assujettis, l'obligation de signaler les cyberattaques constitue une atteinte à leurs droits de particuliers ou, si l'organisme responsable est cantonal ou communal, à leur autonomie fédéraliste. Cette atteinte est toutefois mineure et n'a pratiquement pas de conséquences financières pour les entreprises concernées.

3.3.2 La LSI, une base légale adéquate

Dans le cadre des travaux réalisés en amont de l'avant-projet, on a examiné si les nouvelles réglementations devaient être fixées dans une loi à part ou intégrées à un acte existant dont le but, l'objet et le champ d'application seraient compatibles avec une obligation de signaler les cyberattaques contre des infrastructures critiques¹⁶. Les actes légaux contenant déjà des dispositions relatives aux infrastructures critiques et axés sur la protection de l'ordre public (LPPCi¹⁷, LAP¹⁸, LMSI¹⁹, LRens et LSI²⁰) ont notamment été pris en considération pour servir de base à l'inscription dans la loi de l'obligation de signalement. Après un examen approfondi, il est apparu que parmi ces actes, seule la LSI offrait un cadre adéquat. Son but, à savoir assurer la sécurité des informations traitées par la Confédération et des moyens informatiques qu'elle utilise, a un lien direct avec la cybersécurité (bien que la loi n'utilise pas ce terme). En outre, certains articles de la LSI prévoyaient déjà le soutien des infrastructures critiques par la Confédération, et donc une partie du mandat du NCSC. Par conséquent, la LSI n'était pas seulement adéquate, mais elle représentait également une base légale idéale pour inscrire dans la loi l'obligation de signaler les cyberattaques. De plus, l'introduction d'une obligation, pour les exploitants d'infrastructures critiques, de signaler les «incidents graves» avait été discutée lors des débats parlementaires sur le projet de loi, mais elle avait été rejetée par la majorité du Conseil national en juin 2020, après que le Conseil fédéral avait indiqué qu'un projet de loi serait élaboré à cet effet.

3.3.3 Dispositions d'exécution

Les prescriptions légales seront concrétisées dans une ordonnance. Celle-ci définira plus en détail les tâches du NCSC et la collaboration avec les autres services et précisera qui doit annoncer quelles cyberattaques à quel organe et selon quelle procédure. L'ordonnance intégrera les dispositions de l'actuelle OPCy qui portent sur la relation de la Confédération avec la population, et plus particulièrement avec les exploitants d'infrastructures critiques. Concernant le cercle des assujettis, il convient de vérifier dans chaque cas s'il est préférable d'apporter des précisions dans l'ordonnance relative à l'obligation de signalement ou dans les ordonnances propres au secteur dont il est question.