Rapport sur les résultats

La Poste demande une reformulation afin de garantir sans ambiguïté que l'utilisation de telles techniques est certes recommandée, mais qu'elle est en fin de compte facultative et pas obligatoire.

• Al. 3

L'AES salue la volonté de ne pas concurrencer les offres de l'économie privée mais suggère que le NCSC, en tant que GovCERT, chapeaute les CERT du secteur privé et les soutienne dans la gestion des crises en fonction de la situation et des besoins. L'AES demande aussi que des critères de distinction plus pertinents quant à qui a droit ou pas au soutien du NCSC soient définis et propose de supprimer la deuxième partie de la phrase («Il les conseille et les aide dans la gestion des cyberincidents et la correction des vulnérabilités lorsqu'il existe un risque imminent de conséquences graves pour l'infrastructure critique.»).

L'UZH, l'UNIL et le PNR 77 considèrent que la disposition devrait élargir les conséquences dommageables aux collaborateurs, bénéficiaires et prestations de l'infrastructure critique, ainsi qu'à (une partie de) la société.

La Poste et le canton GE demande des précisions quant aux termes «risque imminent» et «conséquences graves».

• Al. 4

Digitalswitzerland demande qu'il soit plus clairement expliqué comment le NCSC protège les obligations de confidentialité.

L'ISSS et Härting Rechtsanwälte demandent une modification de la deuxième phrase de cet alinéa, afin de préciser que l'accès peut être octroyé sans enfreindre d'éventuelles obligations de garder le secret.

L'UZH, l'UNIL et le PNR 77 insistent sur le fait que cette disposition doit être reformulée pour prévoir que le NCSC assure la confidentialité et que l'exploitant ne viole pas de secret en transmettant des informations et en lui fournissant l'accès à ses moyens informatiques pour analyser un incident.

3.3.2.9 Art. 74a Obligation de signalement

L'exploitant d'une infrastructure critique doit signaler les cyberattaques au NCSC le plus rapidement possible après leur découverte afin que celui-ci puisse identifier les modes opératoires à un stade précoce, avertir les victimes potentielles et leur recommander les mesures de prévention et de défense qui s'imposent.

27 participants à la consultation se sont exprimés sur cet article, et 14 d'entre eux ont fortement insisté sur l'importance de la définition d'un délai de signalement.

 Demandes de modification et suggestions concernant l'art. 74a

Les Verts, AEROSUISSE et economiesuisse demandent expressément que l'obligation de signalement n'entraîne pas de coûts supplémentaires, ni pour l'économie nationale ni pour les institutions procédant au signalement. Ils souhaitent en outre que la charge administrative du processus de signalement soit réduite au minimum.

Les Verts, le pvl, l'ISSS, Härting Rechtsanwälte et Pour Demain considèrent que l'obligation de

signalement devrait également s'appliquer aux cyberattaques et aux cyberincidents généraux ainsi qu'aux vulnérabilités.

Sunrise et SWITCH estiment que l'obligation de signalement ne devrait s'appliquer qu'aux entreprises ayant subi des cyberattaques sur leur propre infrastructure (pas de déclaration de tiers).