Rapport explicatif

4 Commentaire des différents articles

Les bases légales de l'obligation de signaler les cyberattaques sont intégrées au chapitre 5 de la LSI, à l'exception de quelques adaptations mineures du chapitre 1. Le chapitre 5 a subi un remaniement de fond pour qu'il puisse aussi définir les tâches du NCSC, qui vont au-delà de l'obligation de signalement et ne sont pas spécifiquement axées sur les infrastructures critiques. Le titre du chapitre a également été adapté en conséquence («Chapitre 5: Mesures de la Confédération afin de protéger la Suisse contre les cyberrisques»).

Les principaux contenus des dispositions légales ont déjà été décrits et motivés - pour certains de manière détaillée - dans le message relatif à la LSI (FF 2017 2872 ss) et sous les chiffres précédents. Les commentaires relatifs aux articles suivants se limitent donc à des compléments.

Chapitre 1 Dispositions générales

Dans le premier chapitre, seuls les art. 1, 2 et 5 sont modifiés. Les autres articles sont repris tels quels.

Art. 1 But

L'al. 1 de l'article définissant le but de la LSI a été complété et subdivisé en deux lettres a et b. La let. a reprend la formulation d'origine, tandis que la let. b vient en complément pour fixer l'objectif en matière de cyberrisques. L'extension de la finalité de la loi permet de prendre en considération les nouveaux éléments qui accompagnent l'introduction d'une obligation de signaler les cyberattaques de la réglementation légale des tâches du NCSC.

Art. 2 Autorités et organisations concernées

Dans l'al. 5, le renvoi aux dispositions qui s'appliquent aux infrastructures critiques a été adapté, puisque le chapitre 5 commence désormais par l'art. 73a et se termine par l'art. 79. Cet article n'a par contre subi aucune modification de fond.

Art. 5 Définitions

Les définitions des let. a, b et c ne sont pas modifiées.

Let. d

La définition de «cyberincident» est reprise de l'art. 3, let. b, OPCy, avec une légère adaptation. Elle englobe également l'utilisation abusive de moyens informatiques, comme c'est le cas avec les tentatives de phishing.

Let. e

La définition de «cyberattaque» est ajoutée; il s'agit d'une forme possible de cyberincident. Il est important de distinguer «cyberattaque» et «cyberincident», car seules les attaques contre des infrastructures critiques sont soumises à l'obligation de signalement. Les cyberincidents et les vulnérabilités peuvent quant à eux être déclarés à titre facultatif par tout un chacun.

Chapitre 5 Mesures de la Confédération afin de protéger la Suisse contre les cy-

berrisques

Aucune modification n'a été apportée aux chapitres 2, 3 et 4. Le chapitre 5, en revanche, voit l'introduction de l'obligation de signaler les cyberattaques contre les infrastructures critiques et de dispositions fondamentales concernant les tâches du NCSC. Pour garantir une meilleure vue d'ensemble, le chapitre 5 est divisé en trois sections.