Rapport sur les résultats

eAVS/AI considère qu'il faut aussi mentionner les fournisseurs de technologies de l'information des organes exécutifs, dont la situation n'est pas clairement définie ici.

Economiesuisse considère que le fait de mentionner les fabricants accroît le manque de clarté quant aux instances concernées par l'obligation de signalement.

L'UVS s'inquiète de l'applicabilité de cette disposition, notamment car de nombreux fabricants de matériel et de logiciels ne sont pas établis en Suisse.

Swico propose de supprimer les ch. 1 à 4 de cette disposition et de définir à leur place la notion de télémaintenance afin d’aussi traiter de la problématique des chaînes d'approvisionnement.

SwissICT demande qu'il soit précisé à la let. s que les fournisseurs de logiciels en tant que service (SaaS) n'exploitent pas d'infrastructures critiques.

Swissmem demande que l'art. 74b, let. s, soit supprimé.

3.3.2.11 Art. 74c Exceptions à l'obligation de signalement

Le Conseil fédéral exempte certaines catégories d'exploitants d'infrastructures critiques de l'obligation de signalement si les défaillances ou les dysfonctionnements provoqués par des cyberattaques contre leurs infrastructures: a. sont peu probables, notamment en raison d'une faible dépendance à l'égard des moyens informatiques, ou b. n'ont qu'un impact limité sur le fonctionnement de l'économie ou sur le bien-être de la population, en particulier parce qu'ils:

1. ne portent préjudice qu'à un petit nombre de personnes,

2. sont suppléés par d'autres infrastructures critiques, ou

3. ne présentent qu'un faible potentiel de dommages économiques.

Au total, 20 participants à la consultation se sont exprimés sur les exceptions. Ils ont principalement émis des remarques générales et de nombreuses propositions d'adaptation de la formulation. Seuls 5 participants à la consultation se sont prononcés contre l'inscription de cette disposition dans la loi.

 Remarques générales sur l'art. 74c

Swiss Banking propose de modifier cette disposition afin qu'elle prévoie que le Conseil fédéral définisse par voie d'ordonnance des critères clairs sur la base desquels les infrastructures critiques sont soumises à l'obligation de signalement, l'objectif de ces critères étant d'exempter les exploitants de l'obligation de signalement lorsque les défaillances ou les dysfonctionnements provoqués par des cyberattaques remplissent les conditions énumérées aux let. a et b.

Swico considère que les critères mentionnés dans cet article seront difficilement applicables et propose de les remplacer par le critère de l'impact potentiel d'un dommage.

De plus, Swico propose d'ajouter une lettre supplémentaire à la disposition, afin de prévoir également une exemption lorsque des mesures de mitigation rendent une cyberattaque inoffensive.

VUD considère que les dispositions de l'art. 74c, let. a et b, sont contradictoires ou peu claires et demande qu'elles soient clarifiées, notamment les expressions «d'une faible dépendance à l'égard des moyens informatiques» et «n'ont qu'un impact limité sur le fonctionnement de l'économie ou sur le bien-être de la population».

Le canton BE demande l'ajout d'une disposition 74c^bis prévoyant que les cantons peuvent, après consultation du NCSC et dans le respect des conditions visées à l'art. 74c, exempter de l'obligation de signalement des autorités ou organismes investis de tâches publiques à l'échelle cantonale ou