Rapport sur les résultats

Pour AEROSUISSE, il est important pour la sécurité juridique des entreprises concernées qu'il soit clairement établi que l'art. 74d est le critère permettant de déterminer quand une attaque contre une infrastructure critique doit être signalée.

Selon economiesuisse, eGov-Schweiz, le canton ZH et santésuisse, l'art. 74d doit impérativement être révisé, notamment parce que les critères sont trop larges et difficilement compréhensibles ou applicables pour les entreprises. Ainsi, selon economiesuisse, il serait plus judicieux de mettre à disposition une liste (positive) plus restreinte d'incidents à signaler et de limiter l'obligation de signalement aux tentatives réussies ou particulièrement graves.

Le canton GR demande une liste claire des cas à signaler.

L'ISSS, Härting Rechtsanwälte, ainsi que l'UZH, l'UNIL et le PNR 77 demandent que le titre de

l'art. 74d mentionne également les cyberincidents.

Privatim demande une définition plus précise de ce qui est entendu par «grave», car, selon cette conférence, il est ici sous-entendu que les incidents doivent être signalés même si leur gravité ne peut pas encore être évaluée. Ainsi, si le NCSC conclut qu'il ne s'agit pas d'un incident de sécurité grave et qu'il n'y a pas de consentement de la ou des personnes concernées, les informations personnelles doivent être immédiatement effacées ou traitées sous forme anonymisée.

Scienceindustries demande qu'il soit expressément spécifié à l'art. 74d que l'obligation de signalement se limite aux attaques contre des installations en Suisse et exclut les attaques contre des installations situées à l'étranger, alors que l'UZH, l'UNIL et le PNR 77 demandent que la disposition couvre aussi les installations situées à l'étranger.

Pour Coop, la définition proposée est trop générique et ne permet pas de différenciation claire entre les incidents qui n'ont pas ou peu d'influence sur les processus commerciaux et ceux qui concernent directement l'exploitation d'infrastructures critiques ou qui présentent un risque élevé. Elle ne permet pas non plus de savoir quelles cyberattaques signaler entre les réussies et celles qui ont échoué.

L'aéroport de Zurich demande que seules les cyberattaques réussies soient soumises à l'obligation de signalement.

Selon le canton AG, le tri des attaques à signaler devrait être effectué par le NCSC, car même les signalements d'attaques considérées comme sans importance peuvent s'avérer importants.

 Approbation de l'art. 74d

L'AES soutient cette disposition.

 Rejet de l'art. 74d

Swiss Banking et Raiffeisen proposent la suppression de l'art. 74d et son remplacement par une formulation correspondant à celle de la FINMA: ils demandent de prévoir une obligation de signaler les cyberattaques ayant des conséquences considérables sur l'activité de l'entreprise, en particulier les attaques, qu'elles aient atteint leur but entièrement ou partiellement, sur des fonctions d'importance critique dont la défaillance ou le dysfonctionnement auraient des conséquences sur la protection des individus ou sur le bon fonctionnement des marchés.

SwissICT demande que la présente disposition soit effacée, au motif qu'en pratique, toute cyberattaque devra être déclarée.

VUD rejette la solution législative proposée, qui définit les événements à signaler de la manière la plus large possible (art. 5, let. d et e, LSI) pour ensuite limiter l'obligation de signalement (art. 74d LSI).