Rapport explicatif

6 Aspects juridiques

6.1 Constitutionnalité

La possibilité d'introduire une obligation de signaler les cyberattaques n'est pas expressément prévue dans la Constitution fédérale. Pour introduire une obligation de signaler les cyberattaques visant des infrastructures critiques, la Confédération peut s'appuyer sur sa compétence fédérale inhérente en matière de protection de la sécurité intérieure et extérieure de la Confédération.

Pour leur sécurité, la société, l'économie et l'État dépendent largement des infrastructures critiques. De par leurs conséquences potentiellement graves sur le plan suisse, les cyberattaques dirigées contre les infrastructures critiques menacent la prospérité du pays et risquent de compromettre sa sécurité tant intérieure qu'extérieure. L'introduction d'une obligation de signalement aide donc à préserver la stabilité économique, sociale et étatique du pays. Elle constitue la base de la coordination et de la rapidité de la gestion des événements. L'obligation de signaler les cyberattaques contre les infrastructures critiques a en outre pour but d'établir, à partir des signalements, une analyse du niveau de menace à des fins d'alerte précoce et de prévention des dangers. Il ressort de l'objectif de cette obligation que son champ d'application doit être limité aux cyberattaques visant des infrastructures critiques. Le droit de signaler les cyberincidents et les vulnérabilités, ouvert à tous, est complémentaire à la collecte d'informations supplémentaires et sert à la protection des infrastructures critiques.

En conséquence, la compétence dévolue à la Confédération de sauvegarder la sécurité intérieure et extérieure – avec des responsabilités qui, sans lui être expressément accordées, lui reviennent en tant qu'État – constitue une base constitutionnelle adéquate pour introduire des dispositions légales relatives à une obligation de signaler les cyberattaques et à un droit de signaler les cyberincidents et les points faibles.

L'art. 173, al. 2, Cst. est cité comme place réservée pour cette compétence dévolue à la Confédération en raison d'une convention formelle de technique législative⁴¹. Or la loi sur la sécurité de l'information mentionne en préambule (outre les art. 54, al. 1, 60, al. 1, 101, 102, al. 1, et 173, al. 1, let. a et b) également l'art. 173, al. 2, comme base de compétence déterminante. Il n'est donc pas nécessaire de compléter les dispositions constitutionnelles indiquées dans la LSI.

6.2 Compatibilité avec les obligations internationales de la Suisse

L'introduction d'une obligation de signaler les cyberattaques ne contrevient à aucune obligation internationale de la Suisse. Elle est comparable aux réglementations introduites au cours des dernières années par bien d'autres États, dont en particulier les États membres de l'UE.

6.3 Forme de l'acte à adopter

Le choix de compléter la LSI déjà adoptée pour en faire la base légale nécessaire à l'introduction de l'obligation de signalement semble idéal. Outre que le but, l'objet et le champ d'application de la LSI sont compatibles avec l'obligation de signalement faite aux infrastructures critiques, elle constitue la base légale formelle du NCSC en tant que centrale d'enregistrement. D'un point de vue systématique, l'obligation de signaler les cyberattaques ainsi que les tâches de protection de la cybersécurité incombant au NCSC peuvent être introduites au chapitre 5.

Il faudra encore décider, à propos des dispositions d'exécution relatives à l'obligation de signalement, si cette obligation doit faire l'objet d'une ordonnance à part entière ou compléter l'ordonnance en vigueur sur les cyberrisques.