Rapport explicatif

Let. o: transports publics (transport de personnes et transport ferroviaire de mar-

chandises)

Le renvoi à la loi du 18 juin 2010 sur les organes de sécurité des entreprises de transports publics³⁴ permet d'englober uniquement le principal domaine des transports publics, c'est-à-dire le transport de personnes concessionnaire ainsi que le transport de marchandises et l'infrastructure de chemins de fer.

Let. p: entreprises de l'aviation civile

Cette disposition soumet à l'obligation de signaler les cyberattaques toutes les entreprises disposant d'une autorisation de l'Office fédéral de l'aviation civile.

Let. q: navigation sur le Rhin

Les ports rhénans suisses constituent l'accès de la Suisse aux mers du monde et sont d'une grande importance pour l'approvisionnement de la Suisse en marchandises de toutes sortes. L'obligation de signaler les cyberattaques s'applique donc à la navigation sur le Rhin pour le transport de marchandises conformément à la loi fédérale du 23 septembre 1953 sur la navigation maritime sous pavillon suisse³⁵ et aux processus importants pour l'exploitation et le fonctionnement du port de Bâle.

Let. r: biens d’usage quotidien indispensables

Une multitude d'opérateurs sont impliqués dans l'approvisionnement de la population en biens d'usage quotidien indispensables, notamment en denrées alimentaires. Outre les producteurs et les importateurs, les transformateurs, les centres de distribution et les détaillants jouent également un rôle important. Tous ces opérateurs n'ont pas la même importance pour la sécurité de l'approvisionnement de la Suisse. L'obligation de signaler les cyberattaques ne doit s'appliquer qu'aux opérateurs qui jouent un rôle important à cet égard. Le Conseil fédéral limitera donc au niveau de l'ordonnance l'obligation de signalement dans le domaine de l'approvisionnement en biens d'usage quotidien indispensables conformément aux critères visés à l'art. 74c.

Let. s: fabricants de matériel et de logiciels informatiques

De plus en plus de cyberattaques d'infrastructures critiques ont lieu par le biais des fabricants de matériel et de logiciels. Les cyberpirates manipulent le matériel et les logiciels avant leur livraison aux clients finaux afin à pouvoir accéder ultérieurement aux systèmes. Les fabricants de matériel et de logiciels sont donc d'une grande importance pour la cybersécurité.

Les cyberattaques contre les fabricants de logiciels sont particulièrement importantes lorsque ceuxci disposent d'un accès de télémaintenance. Les pirates peuvent tenter de s'introduire directement dans les systèmes des infrastructures critiques par ce genre d'accès légitime. Outre le critère de l'accès de télémaintenance, les fabricants de matériel et de logiciels sont soumis à l'obligation de signalement lorsque leurs produits sont utilisés dans des domaines particulièrement sensibles. Cela concerne le matériel et les logiciels de commande et de surveillance de systèmes (industrial control systems) (ch. 1) ainsi que l'exploitation de dispositifs médicaux et d'installations de télécommunication (ch. 2). Une attention particulière est également portée au matériel et aux logiciels utilisés pour garantir la sécurité publique (ch. 3). On pense ici, en particulier, à la communication des organisations d'intervention d'urgence ou aux systèmes d'enquête policière. En outre, les fabricants de matériel et de logiciels dotés de fonctions particulièrement sensibles (sécurité informatique, cryptage, identification, autorisation d'accès et contrôle d'accès) (ch. 4) doivent être soumis à l'obligation de signalement, car la manipulation de tels produits - qui sont justement utilisés en cas de besoin de protection accru - est dans tous les cas sensible.