Rapport sur les résultats

Raiffeisen soutient la disposition et demande l'ajout d'un alinéa précisant que le système en question doit également être utilisé par les autres autorités fédérales qui imposent des obligations de signalement dans le cadre de cyberattaques.

Swissgrid demande que le système permette un envoi simultané des données de signalement au Préposé fédéral à la protection des données et à la transparence (PFPDT).

SWITCH demande que les signalements puissent également être effectués via une CERT sectorielle commune. Puisque la loi ne l’exclut pas expressément, SWITCH part du principe que les organisations concernées auront la liberté de s'organiser en conséquence.

 Approbation de l'art. 74f

RAILplus, santésuisse, UniBE et la Poste soutiennent l'art. 74f, notamment la possibilité de transmettre les informations via la plateforme sécurisée respectant les normes de sécurité les plus élevées ainsi que le fait de pouvoir aussi utiliser d'autres moyens pour faire le signalement, en particulier le formulaire existant du NCSC, le courrier électronique ou le téléphone.

 Demandes de modification et suggestions concernant l'art. 74f

• Al. 1

Le canton GE demande qu'il soit précisé que ce système est gratuit.

• Al. 2 L'Association des banques étrangères en Suisse, Swiss Banking, les Verts, CH++, l'asut,

l'ISSS et le pvl sont d'avis qu'il convient de s'assurer, lors de la mise en œuvre, que les obligations de signaler qui se recoupent (LPD, FINMA, etc.) puissent être remplies par une seule procédure de signalement. Le pvl, l'AES, digitalswitzerland, economiesuisse et Digitale Ge-

sellschaft vont plus loin en proposant la mise en œuvre d'un guichet fédéral de signalement,

auprès duquel toutes les obligations de signaler pourraient être satisfaites au moyen d'un seul formulaire en ligne.

L'ISSS et Härting Rechtsanwälte salueraient la création d'un guichet unique, mais demandent des clarifications concernant les informations qui peuvent être transmises, à qui et avec quel contenu. Ils estiment par exemple qu'il faudrait clarifier si les informations fournies au NCSC qui sont transmises par celui-ci au PFPDT entreront également dans le champ d'application de l'art. 24,

al. 6, de la rév LPD (non-incrimination dans la procédure pénale). Comme l'art. 74g LSI permet au NCSC de demander des informations supplémentaires, cela élargit le champ de la communication à des tiers. Une telle communication, souvent très informelle au niveau technique, ne doit pas pouvoir faire l'objet d'une procédure pénale selon la rév LPD si des données personnelles sont impliquées. Il faut donc une réglementation plus détaillée pour savoir avec qui quelles informations peuvent être partagées et quelles conséquences cela peut avoir ou ne pas avoir.

L'UZH, l'UNIL et le PNR 77 soulignent qu'il est nécessaire de modifier l'art. 73c afin de prévoir un renvoi exprès s'il existe effectivement une volonté d'application de l'art. 73c, al. 1 à 3, AP-LSI aux communications sur les cyberattaques signalées, afin que le NCSC puisse en toute légalité transmettre à d'autres autorités des informations dans les cas de l'art. 73c, al. 1 et 2.

• Al. 3

L'ISSS et Härting Rechtsanwälte demandent que l'al. 3 soit supprimé afin de s'assurer que les autres institutions et autorités ne reçoivent que les informations qu'ils sont légalement en droit de recevoir ou qui sont justifiées dans le cadre de l'objectif de la législation applicable.

Le canton GE demande que cet alinéa précise que le service ou l'autorité concernés doit avoir «légitimement» besoin des informations concernées.