Rapport explicatif

Art. 74a Obligation de signalement

Cet article définit les grandes lignes de l'obligation de signalement. Il dispose que les exploitants d'infrastructures critiques sont soumis à l'obligation de signaler les cyberattaques au NCSC le plus rapidement possible après leur découverte. Il est en effet essentiel pour l'alerte précoce et la prévention que les attaques soient déclarées immédiatement après leur découverte. L'art. 74e précise que l'exigence d'immédiateté ne porte pas sur toutes les informations demandées, mais seulement sur le signalement initial, effectué sur la base des informations disponibles à ce moment-là.

Art. 74b Domaines

La définition des infrastructures critiques visée à l'art. 5 est très large. Elle n'est pas assez précise pour déterminer quelles sont les entreprises ou les organisations qui sont considérées comme des infrastructures critiques et, de ce fait, sont soumises à l'obligation de signalement. C'est pourquoi l'al. 74b dresse une liste concrète des entreprises et des organisations auxquelles s'applique cette obligation. Cette liste se fonde sur les sous-secteurs critiques définis comme tels dans la stratégie nationale pour la protection des infrastructures critiques. Pour ces domaines, le champ d'application de l'obligation de signalement est fixé, dans la mesure du possible, avec des renvois aux bases légales existantes. Dans les domaines où un tel renvoi n'est pas possible - car il n'existe pas de bases légales appropriées pour une telle délimitation - le domaine concerné est décrit aussi précisément que possible. Cette manière de procéder garantit que le cercle des assujettis à l'obligation de signalement est défini avec suffisamment de clarté.

Let. a: hautes écoles

Les hautes écoles sont d'une grande importance pour la formation et l'économie en Suisse. Leurs activités de recherche, en particulier, constituent un moteur de l'innovation. De ce fait, elles sont également une cible privilégiée pour les cyberattaques. Les universités cantonales, les écoles polytechniques fédérales, les hautes écoles, les hautes écoles spécialisées et les hautes écoles pédagogiques sont soumises à l'obligation de signalement.

Let. b: autorités

Les cyberattaques contre les autorités de tous les niveaux fédéraux doivent être signalées, car il est important de savoir à quelle fréquence et par qui elles sont attaquées. Les dispositifs de défense peuvent ainsi être adaptés aux menaces en cause. L'obligation de signalement ne s'applique toutefois qu'aux tâches relevant de la puissance publique de ces autorités et de ces organisations.

Let. c: organisations chargées de tâches de droit public

Les organisations qui assument des tâches de droit public dans certains domaines sont soumises à l'obligation de signalement. La let. c énumère les activités concrètement visées par cette notion. Dans le domaine de la sécurité et du sauvetage, l'accent est mis sur les organisations d'intervention d'urgence (police, services du feu, services de protection et de sauvetage). Les organisations chargées de l'approvisionnement en eau potable, du traitement des eaux usées et de l'élimination des déchets sont également soumises à l'obligation de signalement.

Let. d: entreprises œuvrant dans les domaines de l'approvisionnement énergétique, du commerce, de la mesure et de la gestion de l'énergie

L'approvisionnement en énergie est essentiel pour l'économie et la société. Des attaques contre l'approvisionnement en électricité ou contre des pipelines dans d'autres États ont montré que ces infrastructures avaient été ciblées, que ce soit pour des motifs politiques ou pour extorquer des sommes aussi élevées que possible. Les entreprises dont les activités sont importantes pour l'approvisionnement en énergie sont donc soumises à l'obligation de signalement.