Rapport explicatif

6.4 Frein aux dépenses

Le projet ne contient pas de dispositions relatives aux subventions et ne prévoit ni crédits d'engagement, ni plafonds de dépenses (qui entraîneraient des dépenses supérieures à l'un des seuils définis par la loi).

6.5 Conformité aux principes de subsidiarité et d'équivalence fiscale

L'attribution et l'accomplissement de tâches étatiques se fondent sur le principe de subsidiarité (art. 5a Cst.). Conformément à l'art. 43a, al. 1, Cst., la Confédération n'assume que les tâches qui excèdent les possibilités des cantons ou qui nécessitent une réglementation uniforme par la Confédération. Simultanément, la Confédération doit faire un usage modéré de ses compétences et laisser suffisamment de latitude aux cantons dans l'accomplissement de leurs tâches.

Une obligation de signaler les cyberattaques ne peut être mise en œuvre de manière efficace qu'à condition de s'étendre à tout le territoire suisse et à tous les secteurs d'activités. Sans procédure de signalement uniforme ni centrale d'enregistrement, il sera impossible de venir à bout de cyberattaques déployées au-delà des frontières cantonales et des domaines de spécialisation. En vertu de la compétence dévolue à la Confédération, cette obligation a été limitée aux cyberattaques subies par les infrastructures critiques, dont l'impact constitue une menace pour la sécurité nationale et le bon fonctionnement de l'État. L'introduction de l'obligation de signalement constitue par conséquent une mesure conciliable avec le principe de subsidiarité (art. 5a en relation avec l'art. 43a Cst.).

Selon le principe d'équivalence fiscale statué à l'art. 43a, al. 2 et 3, Cst., toute collectivité bénéficiant d'une prestation de l'État prend en charge les coûts de cette prestation et toute collectivité qui prend en charge les coûts d'une prestation de l'État décide de cette prestation. Ce principe est respecté dans le cadre de l'introduction de l'obligation de signalement, étant donné que la Confédération couvrira les coûts d'exploitation de la centrale d'enregistrement. Pour les infrastructures critiques, cette obligation ne change pas grand-chose: elles pourront compter, comme jusqu'ici, sur le soutien du NCSC pour la gestion des incidents. L'obligation de signalement n'entraînera qu'un léger surcroît de charges par rapport aux signalements de cyberincidents effectués sur une base volontaire. Par conséquent, il n'y aura pas de véritables coûts supplémentaires, même dans le cas des infrastructures critiques gérées par les cantons ou les communes.

6.6 Délégation de compétences législatives

Selon le présent projet mis en consultation, les éléments centraux pour l'introduction de l'obligation de signaler les cyberincidents doivent être inscrits dans la loi.

Si nécessaire, le Conseil fédéral édictera des dispositions d'exécution pour concrétiser les dispositions légales. Il lui incombe notamment, en vertu de l'art. 74c, de restreindre davantage le cercle des assujettis à l'obligation de signalement. La loi définit les critères à appliquer à cet effet, mais il appartient au Conseil fédéral de déterminer par secteur quels critères seront appliqués et comment (par ex., en définissant des valeurs seuils appropriées).

6.7 Protection des données

Le projet mis en consultation a pratiquement repris telles quelles les exigences en matière de protection des données que le Parlement avait initialement adoptées au chapitre 5 de la LSI, dans le contexte du soutien apporté par la Confédération aux exploitants d'infrastructures critiques.

Le PFPDT a été consulté pour l'élaboration du projet mis en consultation. Il a également été question à cette occasion des possibilités de le coordonner avec l'obligation d'annoncer les infractions à la sécurité des données.