Rapport explicatif

Let. e: banques, assurances et infrastructures de marchés financiers

Les entreprises du secteur financier sont fortement touchées par les cyberattaques, car elles représentent une cible intéressante pour les criminels en raison des moyens financiers importants qu'elles gèrent. Pour la fiabilité de la place financière suisse, il est important que les cyberattaques soient signalées. L'obligation de signaler les cyberattaques à l'Autorité fédérale de surveillance des marchés financiers (FINMA), qui existe déjà, est maintenue en parallèle. La FINMA et le NCSC se concerteront de manière à ce que la charge de travail pour les assujettis à l'obligation soit la plus faible possible.

Let. f: services numériques

Sont considérées comme fournisseurs de services numériques les entreprises qui proposent sur Internet des services sollicités par un grand nombre d'utilisateurs en Suisse, qui revêtent une grande importance pour l'économie numérique ou qui comprennent des services sensibles du point de vue de la sûreté et de la confiance. Il s'agit, en particulier, de fournisseurs de places de marché en ligne de taille importante, d'informatique en nuage et de moteurs de recherche. Cette énumération n'est pas exhaustive. Par «autres services numériques», on entend notamment les services dans les domaines de la gestion d'identité, des signatures ou du vote électronique. Les registraires de noms de domaine et les exploitants de centres de calcul sont également mentionnés. Des critères comme le nombre d'utilisateurs, le nombre de collaborateurs, le chiffre d'affaires ou le type d'activité seront fixés dans l'ordonnance pour concrétiser la nature des services numériques soumis à l'obligation de signalement.

Let.g: hôpitaux

Les cantons établissent des listes d'hôpitaux cantonaux et extracantonaux qui visent à assurer la couverture des besoins en soins médicaux de base sur le territoire du canton concerné. L'obligation de signaler les cyberattaques doit s'appliquer à ces hôpitaux, car il s'agit d'éviter que ce genre d'attaques ne compromettent la fourniture des soins de base.

Let. h: laboratoires médicaux

Les laboratoires qui effectuent des analyses microbiologiques pour détecter des maladies transmissibles sont importants pour les soins de santé. Pour leurs analyses et leur collaboration avec les médecins de premier recours, ils dépendent dans une large mesure du bon fonctionnement de l'infrastructure informatique. Les cyberattaques visant ces laboratoires doivent donc être soumises à une obligation de signalement.

Let. i: fabrication, commercialisation (ou distribution) et importation de médica-

ments et de dispositifs médicaux

La fabrication, la commercialisation et l'importation de médicaments revêtent une grande importance pour l'approvisionnement médical de la population. Les entreprises actives dans ces domaines sont donc soumises à l'obligation de signalement. Les fabricants et les distributeurs de dispositifs médicaux sont également soumis à cette obligation.

Let. j: assurances sociales

Les prestations des assurances sociales sont décrites en référence aux risques définis dans les dispositions générales de la loi fédérale sur la partie générale du droit des assurances sociales (LPGA²⁶) afin de couvrir, si possible, toutes les branches des assurances sociales. Le législateur a renoncé à dresser une liste des différentes lois (par ex. LAI ou LAVS) pour ne pas englober uniquement les prestations légales, mais aussi les prestations surobligatoires telles que la prévoyance professionnelle ou l'assurance complémentaire à l'assurance-maladie obligatoire. En ce qui con-