Rapport explicatif

Art. 79 Conservation et archivage des données

Cet article n'a subi qu'une légère modification à son al. 1. On y a précisé que les données personnelles peuvent être conservées pendant cinq ans au plus à compter de leur dernière utilisation. Cette réglementation tient au fait que certaines informations techniques sur les cyberincidents, à l'instar du nom de domaine, de l'adresse IP ou des adresses de messagerie utilisées de manière abusive, revêtent une importance centrale lors des rapprochements entre les cyberincidents nouvellement signalés et l'analyse des méthodes d'attaque ou des modes opératoires. Faute de telles données de comparaison, le NCSC ne pourrait pas effectuer - ou du moins pas de manière ciblée - ses analyses, qui constituent une condition essentielle de l'accomplissement de ses tâches. Mais comme ces données techniques renferment aussi des éléments à caractère personnel et, à ce titre, sont soumises en tant que données personnelles à la protection des données, leur durée de conservation doit être clairement délimitée. Pour des raisons tenant à la protection des données, il a été précisé dans la deuxième partie de la phrase que les données personnelles sensibles peuvent être conservées au maximum deux ans à compter de leur dernière utilisation.

Art. 80 Dispositions édictées par le Conseil fédéral

Cet article a été supprimé. Le texte de loi ayant été suffisamment concrétisé, les délégations au Conseil fédéral qui sont prévues dans cette disposition sont devenues obsolètes. La compétence d'édicter des dispositions d'exécution revient au Conseil fédéral, même sans réserve de la loi. En outre, les dispositions d'exécution prévues à la let. c (responsabilité en matière de protection et de sécurité des données) sont déjà couvertes par les art. 8, al. 3, et 33 nLPD.

Annexe 1 (Art. 89 Modification d'autres actes)

La liste des modifications d'autres actes visée à l'art. 89 de l'annexe 1 est complétée comme suit.

Loi du 23 mars 2007 sur l'approvisionnement en électricité39

La protection contre les cyberrisques, qui figurera désormais explicitement à l’art. 8a de la loi sur l’approvisionnement en électricité, contribue à la sécurité d'approvisionnement. Les mesures prévues à l’al. 1 doivent permettre soit de prévenir, soit de régler au plus vite les cyberincidents et donc, en particulier, les dysfonctionnements des installations concernées. Outre les gestionnaires de réseau qui interviennent directement dans l'exploitation au moyen de technologies de pilotage, l'obligation vaut aussi pour les producteurs (par ex. exploitants d'éoliennes ou de centrales hydro-électriques) et pour les agents de stockage, d'autant plus qu'ils peuvent exercer une influence majeure sur la sécurité d'approvisionnement, lors de leurs activités d'injection et de prélèvement de courant. Pour juger du degré de protection adéquat, il faut examiner l'influence que l'opérateur en question peut avoir sur la sécurité d'approvisionnement (par ex. niveau du réseau, puissance, nombre de consommateurs finaux concernés).

Le Conseil fédéral formulera dans l'ordonnance les exigences en la matière, notamment en ce qui concerne le niveau de protection visé et les audits à effectuer. Pour ce faire, il pourra s'appuyer sur les normes spécialisées pertinentes (par ex. le manuel de l'Association du secteur électrique suisse, AES Protection de base pour les «technologies opérationnelles» [OT] dans l'approvisionnement en électricité, édition de juillet 2018, en cours de révision), qu'il pourra également déclarer contraignantes. Des exceptions ou des allégements seront à prévoir pour les plus petits opérateurs du marché.

Étant donné le but de cette disposition, seuls entrent en ligne de compte comme autres parties en vertu de l'al. 2 les opérateurs qui exercent une influence déterminante sur la sécurité d'approvisionnement, à l'instar des grands prestataires de services du secteur de l'électricité actifs, par exemple,