Rapport explicatif

5 Conséquences

5.1 Conséquences pour la Confédération

Le NCSC gère déjà à l'heure actuelle un service d'alerte qui recueille sur une base volontaire les signalements de cyberincidents. Il bénéficie en la matière de la longue expérience de MELANI, qui se chargeait déjà de cette tâche depuis 2004 pour les annonces spécifiques aux infrastructures critiques.

Le NCSC utilise déjà aujourd'hui un formulaire électronique pour la collecte des annonces. Il serait possible de l'adapter afin qu'il puisse aussi servir à la réception des données faisant suite à l'obligation de signalement. Un investissement initial sera certes indispensable en vue de l'harmonisation nécessaire avec les autres services collectant des annonces (par ex. PFPDT, FINMA, IFSN) et de la configuration du formulaire de signalement, mais il sera gérable avec les ressources dont dispose le NCSC. Celui-ci devra toutefois s'assurer, au stade de l'exploitation, que les signalements faisant suite à l'obligation en la matière soient correctement enregistrés, qu'ils fassent l'objet d'un accusé de réception, qu'ils soient dûment documentés et, enfin, qu'ils soient transmis aux services compétents à des fins de détection précoce. Ce surcroît de travail devra être pris en compte lors des développements futurs du NCSC.

Après une cyberattaque, le NCSC aide l'exploitant de l'infrastructure critique concernée à gérer l'incident. Cette prestation de soutien fonctionne déjà bien, grâce à la longue expérience du NCSC (et, auparavant, de celle de MELANI). Il faut toutefois s'attendre à ce que la charge de travail du NCSC augmente en raison de l'obligation de signalement. Outre que ceux-ci seront plus nombreux, le NCSC devra procéder à une première évaluation et émettre les recommandations utiles pour régler l'incident. Il faudra dès lors étoffer encore son équipe chargée des analyses techniques (GovCERT).

Il s'agit de prendre en compte ces besoins supplémentaires dans l'actuel chantier d'extension du NCSC. Ceux-ci ne peuvent pas être suffisamment évalués indépendamment des autres tâches du NCSC, raison pour laquelle on attend le résultat de l'évaluation de l'efficacité de la cyberorganisation de la Confédération, actuellement en cours. Les besoins en ressources seront concrétisés au vu des résultats de la présente consultation dans le cadre du message.

5.2 Conséquences pour les cantons et les communes

Ce projet n'attribue pas de nouvelles tâches aux cantons et aux communes, mais ceux-ci sont concernés par l'obligation de signalement pour deux raisons: premièrement, les autorités cantonales et communales sont elles-mêmes soumises à l'obligation de signalement en vertu de l'art. 74b, let. b, et deuxièmement, de nombreuses entreprises soumises à cette obligation sont soutenues par des organismes cantonaux ou communaux.

En contrepartie, les cantons et les communes profitent également des prestations du NCSC pour mieux se protéger contre les cyberrisques. Aujourd'hui déjà, beaucoup de cantons et de villes participent aux échanges d'informations entre infrastructures critiques et sont intégrés au NCSC.

5.3 Conséquences pour l'économie et la société

Il ne devrait y avoir aucune conséquence directe pour l'économie, la société ou l'environnement. L'économie et la société profiteront indirectement de l'introduction d'une obligation d'annoncer les cyberattaques, étant donné que l'amélioration de la cybersécurité des infrastructures critiques sera positive pour la cybersécurité de tout le pays. Par ailleurs, l'obligation de signalement contribuera à éviter, grâce à des mesures de prévention et de défense précoce, que des cyberattaques lancées contre des infrastructures critiques n'entraînent des perturbations ou des pannes de services essentiels, mettant en péril le bon fonctionnement de l'économie et de l'État.