Rapport sur les résultats

 Demandes de modification et suggestions concernant l'art. 74d

• Al. 1

Selon l'ISSS, le fait que les indices de cyberattaque soient déjà soumis à l'obligation de signalement en vertu de l'art. 74d est contraire à la ratio legis. L'ISSS propose donc de modifier la phrase introductive de sorte d'une part qu'elle porte aussi sur les cyberincidents et d'autre part que l'obligation s'applique en cas de craintes sérieuses et non de simples indices.

• Al. 1, let. a

Swissmem demande de modifier la condition visée à la let. a afin qu'une mise en péril considérable soit exigée.

Les aéroports de Genève et Zurich, Swissgrid, santésuisse et le canton GE proposent de supprimer le passage «ou une autre infrastructure critique», parce que les entreprises ne peuvent souvent pas évaluer une telle menace.

• Al. 1, let. b Economiesuisse, Coop, IG eHealth, SWITCH, le canton TG, l'ISSS, l'aéroport de Zurich, Axpo, l'UZH, l'UNIL et le PNR 77, scienceindustries, VUD, l'UTP et RAILplus se questionnent

sur la pertinence de cette deuxième condition, les cyberattaques perpétrées par les États étant souvent trop complexes pour être détectées et leur attribution étant une démarche politique et

compliquée. Pour ces raisons, l'ISSS, l'aéroport de Zurich, Axpo, l'UZH, l'UNIL et le PNR 77,

scienceindustries, VUD, l'UTP et RAILplus proposent de supprimer cette condition. RAILplus suggère de la remplacer par un critère cumulatif lié à l'impact (par ex. le nombre d'utilisateurs ou de systèmes touchés).

• Al. 1, let. c

Swissgrid considère que les points suivants doivent ici être développés: données sensibles, informations sur les systèmes critiques, données relatives à l'exploitation du réseau électrique, infrastructures et systèmes de l'exploitation principale.

• Al. 1, let. d Economiesuisse, l'aéroport de Zurich, l'ASA, VUD et Coop considèrent que le délai de 30 jours

n'a pas de sens.

IG eHealth propose de ne pas soumettre à l'obligation de signalement les cyberattaques passées inaperçues pendant plus de 30 jours si les conditions des let. a (mise en péril du bon fonctionnement) et c (fuite ou manipulation possible d'informations) ne sont pas remplies, c'est-à-dire si l'attaque était mineure ou d'une gravité faible à moyenne.

L'ASA considère que le délai n'est pas réaliste notamment car cela créerait une obligation de réagir à un événement dont on n'a pas connaissance et dont on ne peut peut-être pas savoir quand il s'est produit. L'ASA propose de remplacer la let. d par le texte suivant : « über einen längeren Zeitraum unentdeckt blieb ».

Le canton TG propose de remplacer la let. d par le texte suivant : «d. die direkt und unmittelbar für das Ziel des Cyberangriffs verwendeten Instrumente länger als 30 Tage unentdeckt blieben».

Selon Migros ainsi que l'UZH, l'UNIL et le PNR 77, un délai de non-détection ne devrait pas constituer un critère unique de signalement.

• Al. 2

Selon scienceindustries, l'obligation de signalement doit être limitée à l'extorsion, aux menaces ou à la contrainte en ce sens qu'elle ne prend effet qu'en présence d'un lien avec l'activité commerciale.