Rapport explicatif

Section 1 Dispositions générales

Art. 73a Principe

Les let. a à f décrivent les tâches du NCSC. Il s'agit d'une liste non exhaustive. En ce qui concerne la réception et le traitement des signalements (let. e), il faut préciser qu'il s'agit aussi bien des signalements volontaires de cyberincidents et de vulnérabilités que des signalements de cyberattaques contre des infrastructures critiques, lesquelles sont soumises à une obligation signalement.

Les différentes tâches ainsi que la collaboration avec les autorités en Suisse et à l'étranger font l'objet d'autres articles qui en concrétisent le contenu.

Art. 73b Traitement des signalements concernant les cyberincidents et les vul-

nérabilités

Depuis le 1^er janvier 2020, le NCSC exploite un guichet national unique en matière de cyberrisques (cf. art. 12, al. 1, let. a, OPCy), qui enregistre et traite les signalements de cyberincidents et de vulnérabilités. La centrale d'enregistrement du NCSC a été développée à partir de MELANI, qui réceptionnait les déclarations depuis 2004. Elle est utilisée activement par les entreprises et la population: en 2020, elle a reçu 10 834 déclarations²³.

Depuis le 28 septembre 2021, le NCSC fait partie du réseau mondial gérant les vulnérabilités des systèmes informatiques et est autorisé à attribuer un numéro d'identification unique aux vulnérabilités qui lui sont signalées, conformément au système de référence international²⁴. Il est donc important de préciser que le NCSC n'enregistre pas seulement les signalements de cyberincidents, mais aussi ceux de vulnérabilités.

Al. 1

Les cyberincidents et les vulnérabilités peuvent être signalés par des tiers et pas uniquement par les victimes elles-mêmes, et ce, également de manière anonyme. Le NCSC analyse les incidents et évalue leur importance pour la protection de la Suisse contre les cyberrisques. Si le signalement n'est pas anonyme, le NCSC peut, à la demande de son auteur et sur la base de ces analyses, donner son avis sur l'incident et émettre des recommandations pour la suite de la procédure. En outre, le NCSC utilise les signalements à des fins statistiques et pour avertir le public des cybermenaces. Aucune information concernant les auteurs des signalements ou les personnes concernées n'est publiée.

Le NCSC traite les déclarations en toute confidentialité. C'est une condition essentielle pour que les signalements soient faits et que la centrale d'enregistrement jouisse de la confiance des entreprises.

Al. 2

Le NCSC peut publier ou communiquer aux autorités et organisations intéressées des informations sur des cyberincidents, à condition que ces informations ne contiennent pas de données personnelles ou de données concernant des personnes morales. La publication de données personnelles dans le cas de cyberincidents est exclue. Il reste possible de publier des informations tirées du signalement avec l'accord de la personne ou de l'organisation concernées, par exemple en cas de détournement de logos lors d'attaques de phishing.

Al. 3

En revanche, en cas de vulnérabilité, la publication rapide de la faille avec indication du logiciel ou du matériel concernés peut s'avérer nécessaire pour prévenir d'autres cyberattaques. L'exploitation des vulnérabilités est l'un des modes opératoires les plus fréquents des cyberattaques. Ce n'est