Rapport explicatif

d'infrastructures critiques d'autres prestations en matière de protection contre les cyberrisques (al. 1). La définition des infrastructures critiques visée à l'art. 5 étant très large, une certaine imprécision règne quand il s'agit de déterminer si une organisation est considérée comme une infrastructure critique ou non. Pour ce faire, le NCSC s'appuie sur les secteurs et sous-secteurs mentionnés

25

dans la stratégie nationale pour la protection des infrastructures critiques (PIC) .

Al. 2

À cette fin, le NCSC met des instruments à la disposition des exploitants d'infrastructures critiques. Les plus importants d'entre eux sont énumérés dans cet alinéa à titre d'exemples. Il s'agit d'une liste non exhaustive.

Let. a

L'échange d'informations est un moyen de protection essentiel contre les cyberrisques. L'important dynamisme avec lequel la situation en matière de menace évolue et la nécessité de prendre des mesures de protection requièrent des responsables qu'ils disposent constamment des informations les plus actuelles. Échanger avec les autres responsables est le moyen le plus efficace d'y parvenir. Le NCSC poursuit une collaboration qui a fait ses preuves via MELANI en mettant à disposition des exploitants d'infrastructures critiques une plateforme destinée à cet échange d'informations.

Let. b

Les informations sur les cyberrisques et vulnérabilités actuels et les recommandations sur les mesures de prévention se limitent aux éléments susceptibles d'être utiles aux infrastructures critiques en général. Le NCSC ne fournit pas de conseils personnalisés aux entreprises.

Let. c

Les outils techniques et les instructions de détection des cyberincidents sont en partie conçus de manière à être utiles à toutes les infrastructures critiques en général. Mais ils peuvent aussi être conçus spécifiquement pour certains groupes d'infrastructures critiques ou pour certains domaines d'activité. Ils ne remplacent pas les dispositifs de protection individuels des entreprises, mais doivent y être intégrés.

Al. 3

En cas de cyberincident, le NCSC soutient les exploitants d'infrastructures critiques en leur fournissant des conseils techniques. Le soutien technique assuré par le NCSC est fourni subsidiairement aux services informatiques disponibles sur le marché, pour autant qu'il s'agisse d'exploitants privés. C'est l'organisme responsable qui est déterminant et non la forme juridique. Par ailleurs, ce soutien n'intervient pour tous les exploitants que si le risque est imminent et que l'on est en présence d'une menace de dommages considérables.

Al. 4

En cas de cyberincident, notamment sous la forme d'une cyberattaque, le NCSC doit avoir la possibilité d'accéder aux systèmes de l'infrastructure critique concernée afin de gérer l'incident ou de limiter les dommages, sous réserve que l'exploitant de l'infrastructure critique ait donné son accord. L'exploitant est délié de garder le secret vis-à-vis du NCSC. La deuxième phrase constitue la base légale permettant à l'exploitant d'autoriser le NCSC à accéder à ses informations et à ses moyens informatiques sans enfreindre ses obligations légales et contractuelles de garder le secret.

Section 2 Obligation de signaler les cyberattaques contre des infrastructures critiques