Rapport explicatif

3 Présentation du projet

3.1 Réglementation proposée

L'introduction d'une obligation de signaler les cyberattaques contre des infrastructures critiques se justifie principalement par les possibilités d'alerte précoce et d'amélioration de la vue d'ensemble des menaces. Comme les auteurs de cyberattaques recourent souvent à des méthodes et à des schémas similaires pour plusieurs infrastructures critiques de différents secteurs, cette obligation peut renforcer considérablement la cybersécurité des infrastructures critiques en identifiant rapidement les méthodes d'attaque et en transmettant les alertes correspondantes.

Cette obligation ne s'applique qu'aux cyberattaques renfermant un potentiel de dommages important. Les cyberincidents relevant de l'erreur humaine, par exemple une manipulation fautive commise involontairement par un collaborateur, n'ont pas besoin d'être déclarés. Enfin, il a été décidé de ne pas étendre l'obligation de signalement aux vulnérabilités des équipements informatiques. Indépendamment de l'introduction de l'obligation de signaler les cyberattaques, il reste possible de notifier les cyberincidents et les vulnérabilités à titre volontaire. Cette possibilité n'est pas réservée aux infrastructures critiques et est offerte à tout un chacun.

L'introduction de l'obligation de signaler les cyberattaques permet en même temps de régler au niveau de la loi les tâches du NCSC, qui ne sont actuellement définies que dans l'ordonnance sur les cyberrisques (OPCy)¹⁴. D'une part, une telle inscription est nécessaire étant donné que le NCSC remplira la fonction de centrale d'enregistrement. D'autre part, elle permet de tenir compte de la réorganisation de l'administration fédérale dans le domaine de la cybersécurité, notamment la création du NCSC, qui n'a été entreprise que pendant les débats parlementaires sur la LSI.

3.2 Adéquation entre les tâches et les moyens financiers

Le NCSC gère déjà à l'heure actuelle un service d'alerte qui recueille sur une base volontaire les signalements de cyberincidents. Il bénéficie en la matière de la longue expérience de MELANI, qui se chargeait déjà de cette tâche depuis 2004 pour les déclarations relatives aux infrastructures critiques et celles de la population.

Le NCSC utilise un formulaire électronique pour les signalements. Il est possible de l'adapter afin qu'il puisse aussi servir à la réception des signalements faisant suite à l'obligation en la matière. Les accords nécessaires avec d'autres organes qui réceptionnent également des déclarations (par ex. PFPDT, FINMA, IFSN) et la configuration du formulaire de signalement requièrent un investissement initial qui peut néanmoins être couvert par les ressources existantes du NCSC. En vue de la mise en œuvre du projet, le NCSC doit toutefois pouvoir garantir la saisie correcte, la confirmation de réception et la documentation des déclarations effectuées au titre de l'obligation de signalement, ainsi que leur transmission aux organes ad hoc aux fins d'alerte précoce. Ce surcroît de travail devra être pris en compte lors des développements futurs du NCSC.

Après une cyberattaque, le NCSC apportera son soutien à l'infrastructure critique touchée pour l'aider à gérer l'incident. Cet appui est lui aussi déjà bien rodé grâce à la longue expérience du NCSC (et de MELANI avant lui). Il faut cependant s'attendre à ce que l'introduction de l'obligation de signalement augmente la charge de travail du NCSC, d'une part, en raison de l'augmentation du nombre de déclarations et, d'autre part, parce que le NCSC sera désormais chargé d'effectuer au moins une première appréciation de l'incident et de formuler des recommandations pour sa gestion. Il convient par conséquent aussi d'augmenter l'effectif de l'équipe d'analyse technique du NCSC (GovCERT).