Rapport sur les résultats

Le MPC considère que la formulation exhaustive de la liste soulève la question de savoir si l'obligation de déclarer ne doit pas également s'appliquer lorsqu'une cyberattaque est liée à un chantage, à des menaces ou à une contrainte à l'égard de clients ou de patients d'un exploitant.

Le canton BL suggère de compléter le présent texte en y intégrant les infractions de détérioration de données, commises par le cryptage ou l'introduction de données (malware).

Le canton GE signale que les institutions qui violeraient cet article encourraient un risque de

double peine.

L'UZH, l'UNIL et le PNR 77 considèrent que le présent texte doit être modifié de sorte qu'il prévoie une obligation de signaler dès que «des actes pénalement répréhensibles» seraient commis et non seulement dans les «cas accompagnés d'infractions contre la liberté».

3.3.2.13 Art. 74e Contenu du signalement

1 Le signalement d'une cyberattaque contient des informations concernant l'infrastructure critique, le type de cyberattaque subie, son déroulement et ses conséquences ainsi que les mesures que compte prendre l'exploitant de l'infrastructure.

2 Si, au moment du signalement, l'exploitant de l'infrastructure critique ne dispose pas de toutes les informations requises, il complète le signalement dès que celles-ci lui parviennent.

Lors de la consultation, 15 participants se sont exprimés sur cette disposition. La majorité demande des clarifications et une description plus détaillée des informations requises en vertu de l'art. 74e.

 Remarques générales sur l'art. 74e

Les Verts estiment que l'art. 74e doit être révisé pour faire en sorte que l'automatisation des signalements soit possible.

L'Association des banques étrangères en Suisse considère que les signalements doivent pouvoir être rédigés en anglais et dans les langues nationales.

Economiesuisse demande que les exigences en matière de notification restent simples afin de limiter les obstacles pour les entreprises. De plus, les limites des faits à signaler doivent être clairement définies.

SwissICT, la Poste ainsi que les cantons GR et TG demandent que les informations requises en vertu de l'art. 74e soient décrites de manière plus précise, éventuellement au moyen d'une liste.

SwissICT et la Poste demandent que les informations exigées par l’art. 74 e soient coordonnées avec d'autres autorités (par ex. la FINMA).

Selon Axpo, le signalement doit être immédiat, quel que soit le niveau d'information.

 Approbation de l'art. 74e

Swiss Banking soutient cette disposition.

 Demandes de modification et suggestions concernant l'art. 74e

• Al. 1

L'ISSS et Härting Rechtsanwälte demandent à ce que la présente disposition soit modifiée comme suit : « Die Meldung muss Informationen zur kritischen Infrastruktur, zur Art und Ausführung des Cyberangriffs, des Cybervorfalles, zu seinen Auswirkungen und zum geplanten weiteren Vorgehen der Betreiberin der kritischen Infrastruktur enthalten.».