Rapport explicatif

de la loi révisée sur la protection des données³⁶, il s'agit aussi dans le cas d'espèce de veiller à ce que soit punissable la personne responsable qui, au sein de l'infrastructure critique, aurait dû faire exécuter la décision du NCSC (cf. art. 29 CP³⁷). Le devoir violé qui incombe à l'entreprise est ici imputé à cette personne physique. Le renvoi à l'art. 6 de la loi fédérale du 22 mars 1974 sur le droit pénal administratif (DPA)³⁸ permet d'attribuer la responsabilité pénale à la direction de l'entreprise, c'est-à-dire aux personnes occupant une fonction dirigeante et disposant de pouvoirs de décision et de direction. Cela permet d'imputer de manière appropriée la responsabilité pénale au sein des infrastructures critiques.

Al. 1

Le montant maximal de l'amende a été fixé à 100 000 francs afin de tenir dûment compte de l'importance des infrastructures critiques pour le bon fonctionnement de l'économie et de l'État ainsi que de bien montrer leur responsabilité dans le domaine de la cybersécurité. Un montant aussi élevé se justifie également par le fait que l'amende n'est prononcée qu'en dernier ressort, après toute une succession de mesures. Tant le niveau de cybersécurité, qui varie d'un secteur à l'autre, que les exigences supplémentaires liées au nouveau régime de signalement des cyberattaques ont conduit à ne pas reprendre le montant maximal de 250 000 francs prévu dans la loi révisée sur la protection des données. La menace d'une amende de 100 000 francs devrait déjà amener les responsables d'infrastructures critiques à agir en conformité avec leurs obligations.

Al. 2 et 3

Pour les amendes infligées à des entreprises, la réglementation a été reprise par analogie à la loi révisée sur la protection des données (art. 64 nLPD). Jusqu'à un montant de 20 000 francs, l'amende peut ainsi être directement infligée à l'infrastructure critique à la place de la personne physique responsable, afin d'éviter une coûteuse enquête. Étant donné qu'une amende ne peut dépasser 100 000 francs, le législateur a fixé à 20 000 francs le montant pour ces cas de faible importance afin de responsabiliser les infrastructures critiques en tant que telles et de renoncer à des enquêtes supplémentaires concernant les personnes responsables. Si l'on pense que l'obligation de signaler se concentre sur les principales infrastructures critiques, lesquelles peuvent bien souvent prétendre à une part de marché significative, aucun argument ne justifie de fixer le montant maximal de 20 000 francs à un niveau plus bas.

Al. 4

Pour des raisons de transparence, l'al. 4 mentionne, par analogie à l'art. 65 nLPD, la compétence des autorités cantonales de poursuite pénale au cas où une décision du NCSC ne serait pas suivie d'effet. Le législateur a décidé de ne pas mentionner le droit de dénonciation du NCSC, car cette circonstance découle du contexte.

Section 3 Protection des données et échange d'informations

Les art. 75 à 79, qui sont désormais regroupés dans la section 3, ont dû être adaptés tant sur le plan linguistique que sur le plan du contenu afin de correspondre à l'ancrage légal des tâches du NCSC. Avec sa centrale d'enregistrement, le NCSC remplace MELANI, qui était exploité conjointement par l'ancienne Unité de pilotage informatique de la Confédération (UPIC) et le SRC. Comme le SRC a un mandat légal d'évaluation de la menace et de détection précoce pour les exploitants d'infrastructures critiques, la collaboration du NCSC avec le SRC et la transmission d'informations et de données doivent, dans la mesure nécessaire, être réglées dans la LSI.