Rapport sur les résultats

Le canton GE propose de remplacer «ainsi que les mesures que compte prendre l'exploitant de l'infrastructure» par «ou que l'entité concernée a commencé à mettre en œuvre».

L'UZH, l'UNIL et le PNR 77 proposent de modifier la formulation afin que le signalement doive contenir des informations concernant les mesures «prises ou prévues».

• Al. 2

Le canton GE demande de modifier l'al. 2 afin que l'exploitant soit tenu de compléter le signalement non seulement dès que les informations requises lui parviennent, mais aussi dès que cellesci peuvent être obtenues.

3.3.2.14 Art. 74f Communication du signalement

1 Le NCSC met à disposition un système sécurisé qui permet de lui communiquer le signalement électronique des cyberattaques.

2 Ce système doit permettre à l'exploitant d'une infrastructure critique de communiquer simultané- ment à d'autres services et autorités tout ou partie du signalement de la cyberattaque ou de ses conséquences.

3 Si le service ou l'autorité concernés ont besoin d'informations qui dépassent le cadre de celles pré- vues à l'art. 74e, l'exploitant peut les leur communiquer directement via ce système.

L'art. 74f a été commenté par 34 participants à la consultation; 4 d'entre eux (RAILplus, santésuisse, UniBE et la Poste) en ont accepté le texte tel quel. Aucun participant n'a complètement rejeté cet article. La grande majorité des avis portent sur la question de la centralisation des canaux de transmission des informations au NCSC et aux autorités autorisées par la loi.

 Remarques générales sur l'art. 74f

CH++ considère que l'art. 74f devrait être adapté de manière à mentionner explicitement la transmission de données via une interface sécurisée. De plus, une approche centrée sur l'API, telle qu'elle est pratiquée par les réseaux de partenaires de Meta/Facebook ou AT&T, doit être poursuivie par le NCSC. CH++ estime qu'une base légale appropriée doit être créée à cet effet.

Pour Demain et Opération Libero considèrent qu'une interface informatique (API) doit également être mise en place pour permettre d'envoyer des messages automatisés au NCSC.

L'UVS, swissuniversities, le canton ZH et Swico demandent que le signalement puisse se faire sous une forme simple.

Le canton GR demande de clarifier quelles informations sont transmises à quelles autorités et qui peut les consulter.

L'UZH, l'UNIL et le PNR 77 demandent que les autorités n'aient pas accès aux informations à destination d'autres services.

Swico demande un mécanisme de signalement aussi libre que possible, afin de permettre par exemple des signalements automatiques par flux RSS ou AP ou par l'échange de données existant via le système MISP, dont disposent de nombreuses infrastructures critiques. De plus, Swico demande que le canal de transfert d'informations actuellement utilisé entre le GovCERT et les infrastructures critiques puis continuer d’être utilisé pour le signalement des cyberattaques au

NCSC.

SwissICT considère que la transmission des informations à d'autres autorités en plus du NCSC est obligatoire uniquement pour les autorités et non pour les entreprises.