Rapport explicatif

3.3.4 Applicabilité de l'obligation de signalement

En avril 2021, le NCSC a effectué un sondage auprès des exploitants d'infrastructures critiques et des autorités au sujet du projet d'introduire une obligation de signaler les cyberattaques. Il en est ressorti qu'une telle obligation est généralement bien acceptée, à condition qu'il soit possible de la mettre en œuvre sans trop de charges administratives. L'illustration 1 montre le niveau élevé d'adhésion des personnes interrogées.

Approbation à l'obligation de signalement

(1 = pas du tout favorable, 5 = entièrement favorable)

164 133 55 1120

1 2 3 45

Illustration 1: Acceptation de l'obligation de signalement

Outre l'obligation d'informer le NCSC, une cyberattaque contre une infrastructure critique peut affecter d'autres processus soumis à une obligation de signalement, et donc engendrer simultanément plusieurs obligations. On peut par exemple se trouver en présence des chevauchements suivants:

• Pour les infrastructures critiques du secteur financier soumises à la surveillance de la FINMA, 21

une obligation d'annoncer les cyberattaques à la FINMA est en vigueur depuis mai 2020 déjà. Ainsi, une cyberattaque devra toujours être signalée à la fois à la FINMA et au NCSC.

• Une cyberattaque contre une infrastructure critique peut entraîner une violation de la sécurité 22

des données qui, en fonction de sa gravité, doit être annoncée au PFPDT .

• Si une cyberattaque provoque des dysfonctionnements au sein de l'infrastructure critique, par ex. un incident radioactif dans une centrale nucléaire, celui-ci doit aussi être déclaré (IFSN, CENAL, etc.).

La nouvelle obligation de signaler les cyberattaques ne remplacera pas les obligations de notification existantes, qui demeurent inchangées. Il est donc important que la charge soit acceptable pour les organisations tenues de signaler si elles doivent en même temps s'acquitter d'autres obligations de notification. Voilà pourquoi le NCSC mettra à disposition un système permettant la saisie électronique du signalement (formulaire, masque ou similaire). Les organisations tenues de signaler pourront décider elles-mêmes si elles souhaitent ajouter des informations au signalement électronique et l'envoyer à d'autres organes. Si d'autres services d'enregistrement devaient proposer leur aide, le masque de saisie de la déclaration pourrait aussi être conçu de telle sorte que, hormis les informations générales sur l'infrastructure, les données spécifiques qui ne concernent que l'une ou l'autre