Rapport sur les résultats

La majorité des prises de position en faveur du présent projet demande expressément que l'obligation de signalement n'entraîne pas de coûts élevés pour l'économie publique ou privée (notamment les entreprises signalant un cyberincident), que la mise en œuvre de l'obligation de signalement se fasse de manière non bureaucratique et que la charge administrative soit faible. Tous les participants souhaitent des précisions et beaucoup de participants émettent des réserves sur certaines dispositions.

Les demandes de précisions concernent principalement les définitions (art. 5), la liste des domaines soumis à l'obligation de signalement (art. 74b) et les critères d'exception (art. 74c), la définition des cyberattaques à signaler (art. 74d), ainsi que les modalités de communication du signalement (art. 74f).

Des réserves ont été émises notamment sur les sanctions en cas de non-respect de l'obligation de signalement (art. 74h et 74i). 24 participants à la consultation rejettent toute possibilité de sanctions. Le principal argument avancé par ces derniers est que les amendes ne sont en principe pas le bon moyen pour faire respecter l'obligation de signalement. La mise en œuvre de l'obligation de signalement devrait, selon eux, plutôt être encouragée par des incitations au sens de prestations de soutien.

Il est également ressorti de cette consultation que la protection des informations issues des signalements – en particulier les données personnelles – revêt une importance majeure. En effet, six participants à la consultation (Swico, Privatim, le parti pirate, Digitale Gesellschaft, Romande Energie, VUD) ont exprimé de nombreuses réserves quant à la transmission de données person-

nelles aux services de renseignement et aux autorités de poursuite pénale.

De plus, certains participants à la consultation souhaitent que le projet soit élargi et ne se limite pas à l'introduction d'une obligation de signalement. Le NCSC devrait avoir la compétence d'imposer des standards minimaux aux exploitants d'infrastructures critiques et d'exiger la mise en œuvre de mesures telles que l'installation de mises à jour de sécurité. Dans ce contexte, il est également proposé que les exploitants d'infrastructures critiques soient soumis aux art. 6 à 10 LSI.

Les participants saluent le fait que les vulnérabilités puissent aussi être signalées au NCSC, et que celui-ci informe d'abord les fabricants des produits concernés selon les principes de la coordinated vulnerability disclosure et leur fixe un délai pour remédier aux vulnérabilités. Il est souhaité que les institutions signalant des vulnérabilités ne puissent pas être poursuivies pénalement et que les fabricants qui ne remédient pas à ces vulnérabilités dans le délai fixé par le NCSC puissent être exclus des marchés publics.

L'avant-projet tel qu'il est présenté est rejeté par l'UDC, l'usam, scienceindustries, swissuniversities, Coop, SWISS et une personne individuelle. Le MPC ne s'est pas expressément positionné pour ou contre l'avant-projet.

3.3 Demandes et remarques concernant l'avant-projet

3.3.1 Remarque préliminaire

Les remarques, propositions de modification et critiques portant sur les différentes dispositions sont exposées ci-après. Seuls les arguments principaux avancés dans une prise de position sont mentionnés. Les avis particulièrement détaillés sont retranscrits uniquement lorsque des modifications matérielles concrètes sont demandées. Pour plus de détails, il est renvoyé aux prises de position publiées sur Internet.

Le présent rapport ne mentionne pas le consentement tacite ou l'absence de commentaire relatif à un article. Ainsi, si le rapport fait état de nombreuses remarques concernant les dispositions, il n'en reste pas moins que la majorité des participants à la consultation approuvent fondamentalement de larges pans de la législation proposée. Aucun participant à la consultation ne s'est par ailleurs exprimé sur la systématique de la loi.