Rapport explicatif

Condensé

Ces dernières années, les cyberincidents se sont multipliés, que ce soit chez les particuliers, dans les entreprises ou même au sein des autorités, avec, parfois, des conséquences graves. Le projet mis en consultation prévoit d'introduire une obligation de signaler les cyberattaques contre les infrastructures critiques. Une telle obligation permettra de détecter précocement les cyberattaques, d'analyser leur mode opératoire et d'avertir à temps les autres exploitants d'infrastructures critiques. Elle pourra ainsi apporter une contribution essentielle au renforcement de la cybersécurité de la Suisse.

Le 11 décembre 2020, le Conseil fédéral a chargé le Département fédéral des finances (DFF) d'élaborer un projet fournissant les bases légales nécessaires à l'introduction d'une obligation de signaler les cyberattaques contre les infrastructures critiques.

Le présent projet de consultation prévoit d'inscrire cette base légale dans la loi sur la sécurité de l'information (LSI), adoptée par le Parlement le 18 décembre 2020. Outre l'obligation de signalement, la LSI doit aussi fixer les tâches du Centre national pour la cybersécurité (NCSC) et l'établir dans sa fonction de centrale de signalement.

L'obligation de signalement ne doit s'appliquer qu'aux cyberattaques recelant un certain potentiel de dommages. Y seront soumis les exploitants d'infrastructures critiques, c'est-à-dire de processus, de systèmes et d'installations essentiels au fonctionnement de l'économie ou au bien-être de la population. Le NCSC assumera le rôle de centrale de signalement. Il réceptionnera également les signalements de cyberincidents et de vulnérabilités des moyens informatiques transmis à titre facultatif.