Rapport sur les résultats

convient de réglementer de manière plus précise les circonstances dans lesquelles un cyberincident doit être publié et les informations à mentionner, en raison des principes de la protection des données et du secret des informations confidentielles.

L'UZH, l'UNIL et le PNR 77 considèrent que le consentement à requérir devrait être celui de la personne partageant les données et non pas celui des personnes concernées, dans la mesure où l'obtention du consentement de toutes les personnes concernées pourrait requérir des efforts disproportionnés.

• Al. 3

Le Parti Pirate salue le fait que l'art. 73b, al. 3, prévoie que les failles de sécurité sont immédiatement partagées avec les exploitants d'infrastructures critiques et demande qu'il soit ajouté que ceux-ci ne peuvent pas en abuser pour des cyber-jeux offensifs selon la LRens. De même, les hackers doivent se voir automatiquement accorder l'impunité dans le cadre de la responsible disclosure.

CH++ propose que les fabricants qui ne réagissent pas aux signalements de vulnérabilités puissent être exclus des marchés publics.

L'UZH, l'UNIL et le PNR 77 considèrent qu'il serait opportun de compléter l'al. 3 par une possibilité de sanction en plus de la publication, alors que la Poste estime au contraire que des sanctions auraient un effet néfaste sur le nombre de signalements.

Le canton GE demande de remplacer «le fabricant» par «le fabricant et/ou l'éditeur».

Selon Digitale Gesellschaft, si le NCSC a connaissance d'une faille de sécurité affectant un produit tiers et dont on ne peut pas supposer qu'elle est déjà connue du fabricant, la faille doit être immédiatement signalée par le NCSC au fabricant concerné dans le cadre d'une procédure de responsible disclosure. De plus, le NCSC devrait, selon Digitale Gesellschaft, disposer de moyens lui permettant d'insister auprès des organisations qui signalent une faille de sécurité pour que celle-ci soit corrigée.

Selon l'ISSS et Härting Rechtsanwälte, les signalements de vulnérabilités faits par le NCSC aux fabricants devraient être exclus du principe de transparence.

Pour Demain et Opération Libero sont d'avis que des délais devraient aussi être fixés pour les exploitants afin garantir la mise en œuvre effective des mises à jour de sécurité.

Selon l'UVS et VUD, une publication prématurée de la vulnérabilité avec indication du logiciel ou du matériel concerné pourrait faire courir un risque supplémentaire à l'instance qui a fait le signalement. Ainsi VUD propose que toutes les informations et mesures de communication du NCSC soient soumises à la réserve légale qu'elles n'encouragent ou ne facilitent pas les cyberattaques.

3.3.2.7 Art. 73c Transmission d'informations

1 Si le signalement d'un cyberincident ou son analyse révèlent des informations pertinentes pour dé- celer à temps et prévenir des menaces contre la sécurité intérieure ou extérieure, pour évaluer le niveau de menace ou pour assurer un service d'alerte précoce dans le domaine du renseignement en vue de protéger les infrastructures critiques conformément à l'art. 6, al. 1, let. a, 2 et 5, de la loi fé- dérale du 25 septembre 2015 sur le renseignement (LRens), le NCSC transmet ces informations au SRC.

2 Les collaborateurs du NCSC ne sont pas soumis à l'obligation de dénoncer prévue à l'art. 22a de la loi du 24 mars 2000 sur le personnel de la Confédération si, dans le cadre du signalement d'un cyberincident ou de son analyse, ils obtiennent des informations sur une infraction éventuelle. Le responsable du NCSC peut dénoncer l'infraction si cela semble indiqué au vu de sa gravité.

3 Les informations communiquées au NCSC par une personne dans le cadre d'un signalement ne peuvent être utilisées dans une procédure pénale contre cette personne qu'avec l'accord de celle-ci.

4 Le NCSC ne peut transmettre des informations qui révèlent des secrets pénalement protégés que conformément aux exigences prévues à l'art. 320 CP.