Rapport explicatif

Al. 2

Le système de communication offre à l'auteur du signalement la possibilité de communiquer simultanément à d'autres services et autorités tout ou partie du signalement de la cyberattaque ou de ses conséquences (par ex. sur la sécurité des données ou sur le fonctionnement de l'infrastructure critique). Cette communication via le système du NCSC n'est pas soumise à obligation légale de signalement vis-à-vis d'autres services et autorités; elle est également possible pour les signalements volontaires à des organismes tiers. Il est important de noter que la communication du signalement ne peut être effectuée que par l'exploitant de l'infrastructure critique concernée. C'est lui seul qui détermine quel service ou quelle autorité - en dehors du NCSC - doit recevoir la communication de la cyberattaque ou de ses conséquences. Le NCSC ne transmet aucune communication à d'autres services ou autorités. Sont réservés les cas exceptionnels visés à l'article 73c, al. 1 et 2.

Al. 3

Sur demande et en collaboration avec d'autres services de communication, le NCSC peut aménager le système de manière à ce que l'exploitant d'une infrastructure critique soumis à l'obligation de signalement puisse saisir d'éventuelles données supplémentaires qui ne sont pas nécessaires pour le signalement au NCSC, afin de les transmettre à un ou plusieurs autres services de communication. Cette fonction doit servir à réduire au minimum la charge de travail des auteurs d'un signalement. Elle doit les aider, notamment en cas de cumul de plusieurs obligations de signalement, à pouvoir informer les services et autorités concernés le plus rapidement possible, en temps utile et avec le mois d'effort possible. Les informations supplémentaires que les auteurs d'un signalement saisissent pour d'autres services et autorités dans le système de communication du NCSC sont uniquement transmises par ce dernier, sans être enregistrées. Le NCSC lui-même n'a pas la possibilité d'accéder à ces informations.

Art. 74g Obligation de fournir des renseignements

L'obligation de fournir des renseignements est limitée aux informations dont le NCSC a besoin pour identifier le mode opératoire et la méthode d'une cyberattaque signalée (alerte précoce) et, ainsi, pour en prévenir les répercussions sur d'autres infrastructures critiques.

Art. 74h Infraction à l'obligation de signalement ou à l'obligation de fournir des renseignements

Al. 1

En cas d'infraction à l'obligation de signalement ou à l'obligation de fournir des renseignements, le NCSC doit, dans un premier temps, rendre l'exploitant de l'infrastructure critique attentif à l'infraction commise. Ce dernier a ainsi encore l'occasion de s'acquitter de ses obligations. S'il y a un malentendu à ce sujet, il est alors possible de le régler. Le NCSC est tenu de prendre ce premier contact. Il s'agit d'une condition préalable à l'adoption d'une décision en vertu de l'al. 2.

Al. 2

Dans un second temps, soit si l'exploitant ne fait rien alors même qu'il a manifestement manqué à ses obligations, le NCSC rend une décision assortie d'une menace d'amende. Dans sa décision, le NCSC doit préciser les obligations enfreintes de façon à ce qu'il n'y ait aucun doute pour l'exploitant de l'infrastructure critique sur ce qu'il doit faire ou ne pas faire. Cela facilite également le travail des autorités de poursuite pénale, qui, en cas de non-observation de cette décision, doivent établir les faits et rendre un arrêt ou une ordonnance pénale (cf. art. 74i).

Art. 74i Non-observation de décisions du NCSC

Cet article reprend en grande partie la réglementation prévue aux art. 63 ss nLPD en cas d'insoumission à une décision du préposé par les entreprises commerciales. Comme l'indique le message