Rapport sur les résultats

1 Contexte

Le 12 janvier 2022, le Conseil fédéral a adopté l'avant-projet de modification de la loi fédérale du 18 décembre 2020 sur la sécurité de l'information (LSI) et le rapport explicatif correspondant, et il a chargé le Département fédéral des finances (DFF) de mener une procédure de consultation. La procédure de consultation a duré du 12 janvier au 14 avril 2022. La liste des participants à la consultation, avec les abréviations utilisées dans le présent rapport, figure en annexe.

Au total, 99 avis ont été reçus:

99 avis reçus au total

25 gouvernements cantonaux

4 conférences cantonales

7 partis

association faîtière des communes, des villes et des régions de montagne qui œuvre au 1

niveau national

4 associations faîtières de l'économie qui œuvrent au niveau national

19 entreprises concernées

39 autres milieux intéressés

Les prises de position sont mises en ligne sur la plateforme de publication du droit fédéral

«Fedlex»0F¹.

2 Objet de l'avant-projet mis en consultation

L'avant-projet vise à inscrire dans la loi sur la sécurité de l'information (LSI) adoptée par le Parlement le 18 décembre 2020 la base légale nécessaire à l'introduction d'une obligation de signaler les cyberattaques contre les infrastructures critiques.

L'obligation de signalement ne s'appliquera qu'aux cyberattaques recelant un certain potentiel de dommages. Les cyberincidents relevant de l'erreur humaine, par exemple une manipulation fautive commise involontairement par un collaborateur, n'auront pas besoin d'être déclarés. Il a également été décidé de ne pas étendre l'obligation de signalement aux vulnérabilités des moyens informatiques. L'obligation de signalement s'appliquera aux exploitants d'infrastructures critiques dans les sous-secteurs critiques. Le Centre national pour la cybersécurité (NCSC) assumera le rôle de centrale de signalement. Il réceptionnera également les signalements de cyberincidents et de vulnérabilités des moyens informatiques transmis à titre facultatif.

Les bases légales de l'obligation de signaler les cyberattaques sont intégrées au chapitre 5 de la LSI, à l'exception de quelques adaptations mineures du chapitre 1. Le chapitre 5 a subi un remaniement de fond pour qu'il puisse aussi régler les tâches du NCSC – qui, à l'heure actuelle, sont

2

définies uniquement dans l'ordonnance sur les cyberrisques (OPCy)1F – ainsi que le rôle de centrale de signalement des cyberattaques qu'endossera le NCSC.

L'introduction d'une obligation de signalement permettra à l'avenir de détecter précocement les cyberattaques, d'analyser le mode opératoire et d'avertir à temps les autres exploitants d'infrastructures critiques. L'obligation de signalement apportera ainsi une contribution essentielle au renforcement de la cybersécurité de la Suisse.

L'avant-projet ne porte pas sur l'introduction de normes minimales contraignantes en matière de cybersécurité pour les exploitants d'infrastructures critiques ni sur les exigences en matière de sécurité des produits informatiques.

2 RS 120.73