Rapport explicatif

également. Toute communication de signalement, complète ou partielle, doit impérativement être approuvée par l'exploitant de l'infrastructure critique concernée ou être effectuée sous couvert d'anonymat.

La transmission d'informations permettant d'identifier les auteurs du signalement ou les entreprises concernées doit toutefois être autorisée au NCSC dans deux cas, même sans leur accord. Premièrement, une transmission aux autorités de poursuite pénale est possible si le signalement contient des informations sur une infraction grave. Le NCSC n'est certes pas soumis à l'obligation de dénoncer prévue à l'art. 22a de la loi du 24 mars 2000 sur le personnel de la Confédération⁶, mais le responsable du NCSC peut transmettre des informations aux autorités de poursuite pénale s'il parvient à la conclusion que la gravité de l'infraction le nécessite. La transmission aux autorités de poursuite pénale n'aura pas de conséquences pénales pour l'exploitant de l'infrastructure critique, étant donné que la procédure est généralement dirigée uniquement contre les auteurs de la cyberattaque. Si, exceptionnellement, l'exploitant de l'infrastructure critique fait l'objet de poursuites pénales, l'obligation de signalement ne doit pas le conduire à s'incriminer lui-même par le biais de ce signalement. Une disposition a par conséquent été incluse pour prendre en compte le fait que personne n'est tenu de témoigner à sa propre charge, principe essentiel de la procédure pénale. Elle s'inspire de la disposition prévue pour l'obligation d'annonce en cas de violation de la sécurité des données visée dans le nouveau droit relatif à la protection des données (cf. art. 24, al. 6, nLPD).

Le deuxième cas de transmission autorisée concerne les informations pertinentes pour le Service de renseignement de la Confédération (SRC) dans le cadre de ses tâches de détection précoce et de prévention des menaces pour la sécurité intérieure ou extérieure, d'évaluation de la menace ou de service d'alerte précoce en matière de renseignement pour la protection des infrastructures critiques, conformément à l'art. 6, al. 1, let. a, al. 2 et 5, de la loi du 25 septembre 2015 sur le renseignement (LRens)⁷. Cela permet de garantir que le SRC, en sa qualité d'autorité compétente pour l'alerte précoce concernant les infrastructures critiques et pour l'évaluation de la menace, reçoit les informations nécessaires.

1.2.3 Exécution de l'obligation de signalement au moyen d'incitations et de sanctions

Parallèlement à l'introduction de l'obligation de signalement se pose la question des outils permettant de la mettre en œuvre. Trois facteurs peuvent influencer la disposition des entreprises à se soumettre à cette obligation.

Premièrement, effectuer un signalement doit être aussi simple que possible. Le NCSC s'en assure en mettant à disposition un formulaire électronique au moyen duquel le signalement est rapide à saisir et facile à transmettre.

Deuxièmement, le fait de signaler un incident doit comporter des avantages (incitation positive): le NCSC offre notamment une évaluation technique et apporte son soutien dans la gestion de l'attaque. Cette aide est proposée en guise de «premiers secours» et ne doit pas concurrencer des prestations disponibles sur le marché. Pour les exploitants d'infrastructures critiques, il peut toutefois s'avérer très utile de bénéficier de l'appui d'un organe fédéral qui a une vue d'ensemble de la situation et des menaces pour obtenir une première appréciation et mettre en œuvre des mesures d'urgence.

Le troisième facteur consiste à mettre en place des incitations négatives sous la forme d'une amende: si un exploitant d'infrastructure critique ne se soumet pas à l'obligation de signaler ou de fournir des renseignements malgré un rappel à l'ordre, le NCSC peut, en dernier recours, rendre une décision dont le non-respect est passible de l'amende. Le montant maximal de l'amende est fixé à 100 000 francs, dont 20 000 francs peuvent être directement à la charge de l'entreprise qui exploite l'infrastructure critique. Cette possibilité de sanction relevant du droit administratif s'inspire de la loi révisée sur la protection des données, qui contient à l'art. 63 et s une disposition similaire pour le

6 RS 172.220.1