Rapport explicatif

2 Comparaison avec le droit étranger, notamment européen

Depuis l'adoption, en juillet 2016, de la directive sur la sécurité des réseaux et des systèmes d'information (directive SRI), les membres de l'Union européenne sont soumis à l'obligation de notifier les cyberincidents. Cette obligation est mise en œuvre depuis mai 2018. Elle concerne les «opérateurs de services essentiels», terme qui désigne, selon l'article 4, les entreprises privées ou des entités publiques investies du rôle important d'assurer la sécurité dans les secteurs de la santé, des transports, de l'énergie, des banques et infrastructures de marchés financiers, des infrastructures numériques et de l'approvisionnement en eau¹². Le cercle des assujettis à cette obligation correspond donc dans une large mesure aux infrastructures critiques soumises à l'obligation de signalement définies dans le projet mis en consultation.

En ce qui concerne l'étendue de l'obligation de notification, la directive SRI laisse une marge de manœuvre relativement importante aux États membres de l'UE. Les incidents graves doivent être déclarés, l'article 14 précisant que l'appréciation de la gravité repose notamment sur le nombre d'utilisateurs touchés, la durée de l'incident de sécurité et sa portée géographique. Contrairement au présent projet, la directive SRI ne se limite toutefois pas à l'introduction d'une obligation de notification. Elle impose en même temps aux opérateurs de services essentiels des mesures de sécurité à prendre, par exemple pour prévenir les risques, pour garantir un niveau de sécurité adapté pour les réseaux et les systèmes d'information et pour limiter l'impact des incidents compromettant la sécurité (article 14).

Le projet mis en consultation se contente quant à lui de créer les bases légales nécessaires à de telles exigences dans le secteur de l'électricité. Une étude mandatée par l'Office fédéral de l'énergie (OFEN) a en effet constaté une nécessité accrue d'améliorer la cybersécurité dans ce domaine pri-

13

mordial pour l'approvisionnement économique et pour la sécurité du pays. Dans les autres secteurs, il conviendra de déterminer par la suite si la Confédération a la compétence de fixer des normes juridiquement contraignantes en matière de cybersécurité et quelles exigences devraient, le cas échéant, être imposées dans quels domaines.