Rapport explicatif

qu'avec ces informations que les utilisateurs du logiciel ou du matériel concernés peuvent prendre immédiatement les mesures nécessaires pour se protéger contre les cyberattaques. L'al. 3 constitue la base légale permettant au NCSC d'indiquer le nom du matériel et des logiciels concernés - et donc, implicitement, celui de leur fabricant - lors de la publication des vulnérabilités.

Art. 73c Transmission d'informations

L'art. 73c définit les conditions auxquelles le NCSC est autorisé à transmettre certaines informations contenues dans un signalement au SRC ou aux autorités de poursuite pénale (al. 1 et 2). En outre, il règle le traitement des informations au cas où une procédure pénale est engagée contre une personne ayant fait une communication (al. 3).

Al. 1

L'al. 1 stipule que le NCSC est autorisé à transmettre des informations au SRC si celles-ci sont pertinentes pour déceler à temps et prévenir des menaces contre la sécurité intérieure ou extérieure, pour évaluer le niveau de menace ou pour assurer un service d'alerte précoce dans le domaine du renseignement en vue de protéger les infrastructures critiques conformément à l'art. 6, al. 1, let. a, 2 et 5, LRens. Cette transmission est nécessaire pour que le SRC puisse remplir ses tâches également en ce qui concerne les cybermenaces. Elle se limite toutefois aux informations nécessaires à cet effet.

Al. 2

L'al. 2 règle la transmission d'informations aux autorités de poursuite pénale. L'obligation de dénoncer qui s'applique aux employés de la Confédération ne concerne pas les informations reçues par le NCSC lors du signalement d'un cyberincident ou de son analyse, car elle entre en conflit avec le principe du traitement confidentiel du signalement. Le responsable du NCSC est toutefois autorisé à transmettre des informations aux autorités de poursuite pénale. Ce faisant, il met en balance l'intérêt de l'État à une poursuite pénale et celui de la personne qui effectué le signalement à la confidentialité des informations. La possibilité de transmettre les informations après une pesée des intérêts en jeu a été prévue pour permettre au NCSC de saisir les autorités de poursuite pénale en cas d'infractions graves.

Al. 3

La disposition visée à l'al. 3 permet de garantir que la personne effectuant un signalement ne sera pas incriminée contre son gré dans le cadre d'une procédure pénale dirigée contre elle en raison des informations contenues dans la communication. En règle générale, une procédure pénale est dirigée contre les auteurs du cyberincident, c'est-à-dire contre les pirates informatiques, et non contre la personne qui a effectué le signalement. Une règle analogue à celle de l'art. 24, al. 6, nLPD a été introduite au cas où, exceptionnellement, une procédure pénale devait être dirigée contre la victime d'une cyberattaque. Cette disposition met en œuvre le principe de l'interdiction de s'autoincriminer (nemo tenetur) dans le cadre de l'obligation de signaler les cyberattaques. Elle est donc particulièrement importante pour les déclarations effectuées dans le cadre de l'obligation de signaler les cyberattaques. Par ailleurs, ce privilège doit également s'appliquer aux signalements volontaires.

Al. 4

Dans les cas exceptionnels où une transmission d'informations au SRC ou aux autorités de poursuite pénale est envisageable en vertu des al. 1 et 2, le NCSC doit se faire délier du secret de fonction, conformément aux prescriptions de l'art. 320 CP, pour autant que ces informations soient des secrets pénalement protégés.

Art. 74 Soutien aux exploitants d'infrastructures critiques

En complément aux tâches générales énoncées à l'art. 73a et au traitement des signalements concernant les cyberincidents et les vulnérabilités visé à à l'art. 73b, le NCSC fournit aux exploitants