Rapport explicatif

Rapport explicatif

1 Contexte

1.1 Nécessité d'agir et objectifs

Dans son rapport du 13 décembre 2019 en réponse au postulat «Infrastructures critiques. Prévoir une obligation de signaler les incidents graves de sécurité», le Conseil fédéral a constaté qu'il n'existait pas d'obligation de signaler les cyberincidents dont sont victimes les infrastructures critiques¹ et a chargé le Centre national pour la cybersécurité (NCSC) d'étudier la possibilité d'introduire une telle obligation.

Ce mandat d'examen reposait sur des bases solides telles que la stratégie nationale pour la protection des infrastructures critiques (stratégie PIC 2018-2022, mesure 2) et la stratégie pour la protection de la Suisse contre les cyberrisques (SNPC 2018-2022, mesure 9), ainsi que sur le rapport du groupe d'experts concernant le traitement et la sécurité des données². La question d'introduire une obligation de signalement a aussi été soulevée dans le cadre des débats parlementaires concernant la révision totale de la loi sur la protection de la population et sur la protection civile (LPPCi, délibérations au Conseil national du 14 juin 2019) et dans le cadre de ceux concernant la loi sur la sécurité de l'information (LSI, débat au Conseil national du 4 juin 2020). Après un examen approfondi des bases légales possibles et, plus particulièrement, de la compétence fédérale³, le Conseil fédéral a, le 11 décembre 2020, chargé le DFF d'élaborer jusqu'à la fin 2021 un projet de consultation prévoyant l'introduction d'une obligation de signaler les cyberattaques contre des infrastructures critiques.

Ce projet visait à clarifier qui doit signaler quels types d'attaques, quand et à qui. Lors de la clarification de ces questions, il est apparu clairement que le NCSC, créé en 2019 – et que le projet institue comme centrale de signalement des cyberattaques – ne disposait pas des bases légales nécessaires pour accomplir ses tâches de centre de compétence fédéral pour la cybersécurité conformément aux exigences du Parlement⁴. Le projet visant à introduire une obligation de signalement servira donc aussi à ancrer dans la loi les tâches et les compétences du NCSC.

1.2 Solutions examinées et solution retenue

1.2.1 Développement de l'échange d'informations à titre volontaire

En Suisse, l'échange d'informations entre les infrastructures critiques et la Confédération est bien en place. Les infrastructures critiques procèdent à des échanges depuis 2004, à l'époque avec la Centrale d'enregistrement et d'analyse pour la sûreté de l'information (MELANI), aujourd'hui avec le NCSC. Les limites de ce système se font toutefois de plus en plus ressentir. Un échange volontaire fructueux nécessite une solide relation de confiance entre toutes les parties. Pour établir une telle relation, il faut que le nombre de participants reste gérable et que ceux-ci aient la possibilité d'échanger directement de façon régulière. Dans la situation actuelle, où les cyberattaques constituent une