Rapport explicatif

menace pour une multitude d'entreprises actives dans les secteurs critiques, il n'est plus possible de garantir qu'une confiance mutuelle suffisante anime tous les opérateurs concernés. Par conséquent, bien que le développement de l'échange d'informations des dernières années permette toujours le bon fonctionnement de la collaboration avec certaines entreprises et certaines organisations, il n'est plus réaliste d'envisager d'étendre ce modèle.

En cas de signalement, se concentrer sur un nombre réduit d'entreprises risque de donner une image incomplète, voire faussée de la situation. Il est en effet impossible de déterminer quel rayon d'action en Suisse possède une cybermenace. Par ailleurs, l'échange d'informations à titre volontaire peut constituer une incitation inopportune. Les entreprises qui n'y prennent pas part reçoivent tout de même des alertes et des indications techniques grâce aux signalements d'autres sociétés, puisque le NCSC ne peut pas priver les exploitants d'infrastructures critiques d'informations essentielles. Il peut donc sembler plus facile à certaines entreprises de se reposer sur la participation des autres pour recevoir les signalements importants plutôt que de participer activement à l'échange d'informations.

En définitive, l'introduction d'une obligation de signalement est donc préférable à la poursuite de l'échange facultatif d'informations: elle assure une vue d'ensemble plus complète de la situation et garantit qu'aucun opérateur ne se soustraie à l'obligation d'avertir les autres de tout incident ou danger. Il s'agira néanmoins d'entretenir la culture de la collaboration née de l'échange d'informations, ainsi que la confiance mutuelle. Pour y parvenir, il faut aussi que l'introduction de l'obligation de signalement apporte une plus-value aux entreprises et aux organisations.

1.2.2 Relation avec d'autres obligations de déclaration et l'échange d'informations entre autorités

L'introduction d'une obligation de signaler les cyberattaques affecte des obligations de déclaration déjà en vigueur et force à s'interroger quant à la manière et au moment où les signalements réceptionnés par le NCSC peuvent être transmis à d'autres autorités.

S'agissant de la relation avec des obligations de déclaration existantes, la possibilité d'intégrer l'obligation de signaler les cyberattaques à celles-ci a été examinée, car elle permettrait de renoncer à introduire une obligation de signalement intersectorielle. Cette option a été rejetée en raison du manque d'homogénéité des réglementations relatives aux incidents de sécurité dans les différents secteurs, voire de l'absence totale de dispositions dans certains d'entre eux. S'il existe une obligation de signaler les cyberattaques à une centrale d'enregistrement, il convient de définir quels signalements doivent être enregistrés, à quel moment et auprès de quel organe. Dans le cas d'espèce, l'obligation de signaler les cyberattaques ne remplace pas les obligations de déclaration existantes, mais les complète. Parallèlement, on a veillé à ce que les bases légales puissent permettre de remplir simultanément différentes obligations de déclaration, et ce, afin de réduire au minimum la charge de travail liée à leur exécution. Cela s'applique surtout – mais pas uniquement – à l'obligation d'annonce visée à l'art. 24 de la loi révisée sur la protection des données (ci-après «nLPD»)⁵, étant donné que, dans la pratique, il est fréquent que les cyberattaques entraînent des pertes de données. L'option retenue offre la possibilité à l'entreprise qui signale une cyberattaque de transmettre simultanément son annonce au NCSC et à d'autres services d'enregistrement, afin de satisfaire à d'autres obligations de déclaration. Inversement, le NCSC enregistrera aussi les signalements de cyberattaques effectués pour s'acquitter d'autres obligations de déclaration, à condition que celles-ci comprennent les éléments requis. Cette possibilité évitera aux victimes de cyberattaques de devoir signaler le même incident à différents services et selon des procédures différentes.

À cet égard, il convient également de régler les modalités de l'échange d'informations entre les autorités. Lorsque des entreprises et des organisations signalent des cyberattaques au NCSC, que ce soit à titre volontaire ou pour satisfaire à l'obligation de signalement, elles doivent être au clair sur ce qui advient de leur signalement et sur les personnes qui en prendront connaissance. Les principes de l'échange d'informations appliqués jusqu'ici doivent aussi perdurer dans cette perspective