Rapport explicatif

Art. 74c Exceptions à l'obligation de signalement

Le cercle des assujettis visé à l'art. 74b est large et peut aussi englober des entreprises qui, prises individuellement, ne sont pas essentielles au bon fonctionnement de l'économie ou au bien-être de la population, bien qu'elles soient actives dans un sous-secteur critique. L'art. 74c précise donc que le Conseil fédéral limite davantage le cercle des assujettis. Il utilise à cette fin les critères énumérés et exempte de l'obligation de signalement les entreprises ou les catégories d'entreprises qui sont peu exposées au risque de cyberattaques, de telles attaques étant jugées improbables état donné que l'exploitation des entreprises concernées ne dépend que dans une faible mesure des moyens informatiques (let. a). L'exemption peut également advenir si la défaillance ou le dysfonctionnement n'ont qu'un faible impact sur l'économie ou le bien-être de la population, l'impact se mesurant à l'aune du nombre de personnes concernées, de la substituabilité de la prestation ou du potentiel de dommages économiques (let. b).

Art. 74d Cyberattaques à signaler

Al. 1

La portée de l'obligation de signalement, c'est-à-dire le type de cyberattaques qui doivent être signalées, doit être fixée dans la loi. L'al. 1 énumère, aux let. a à d, les critères permettant de conclure qu'une cyberattaque a un potentiel de dommages important ou une grande pertinence pour la protection d'autres infrastructures critiques. Si une cyberattaque remplit l'un de ces critères, elle doit être signalée. Les critères pourront au besoin être précisés dans l'ordonnance.

Al. 2

L'al. 2 stipule qu'une cyberattaque doit toujours être signalée lorsqu'elle s'accompagne d'actes pénalement répréhensibles. De nombreux cybercriminels tentent de faire chanter les exploitants d'infrastructures critiques ou certains collaborateurs de ces entreprises en menaçant de lancer des attaques ou en les exécutant (par ex. en chiffrant les données à l'aide d'un rançongiciel [ransomware], en menaçant de compromettre la disponibilité au moyen d'attaques de déni de service distribué [DDoS] ou en menaçant de publier des informations compromettantes sur des personnes). Les attaques de ce genre doivent être signalées afin de pouvoir évaluer l'ampleur de la menace que les cybercriminels font peser sur les infrastructures critiques.

Art. 74e Contenu du signalement

L'al. 1 indique les informations essentielles à fournir en vue du respect de l'obligation du signalement. Le contenu concret de ces diverses informations sera précisé dans les dispositions d'exécution.

L'al. 2 précise le caractère immédiat du signalement («le plus rapidement possible») visé à l'art. 74a, indiquant que celui-ci ne concerne que les informations déjà connues. En cas de cyberattaque, on ignore très souvent pendant un certain temps à quel point l'attaque est grave et ce qui s'est passé précisément. Si ces informations sont incomplètes au moment du signalement, les entreprises concernées doivent par conséquent avoir la possibilité de ne transmettre les informations exigées conformément au ch. 1 que lorsqu’elles disposent de plus de détails sur la cyberattaque.

Art. 74f Communication du signalement

Al. 1

Afin que l'obligation de signalement puisse être remplie avec le moindre effort possible, il incombe au NCSC de mettre à disposition un formulaire électronique sécurisé. Compte tenu des développements technologiques, le formulaire est décrit de manière générique comme «un système sécurisé qui permet de lui communiquer le signalement». Hormis ce formulaire, il est néanmoins possible dans tous les cas de communiquer d'une autre manière (par courriel ou par téléphone) la cyberattaque au NCSC.