Rapport sur les résultats

Le canton GE demande une définition du terme «critiques».

 Demandes de modification et suggestions concernant l'art. 2, al. 5

L'ISSS et Härting Rechtsanwälte demandent que l'art. 2, al. 5, s'applique aussi aux infrastructures critiques visées par l'art. 74b, afin de préciser que l'on parle d'infrastructures critiques telles que définies dans la LSI.

3.3.2.4 Art. 5, let. d et e (Définitions)

Dans la présente loi, on entend par: d. cyberincident: un événement survenant lors de l'exploitation de moyens informatiques et pouvant avoir pour conséquence une atteinte à la confidentialité, à l'intégrité et à la disponibilité des informations ou à la traçabilité de leur traitement; e. cyberattaque: un cyberincident provoqué intentionnellement par un tiers non autorisé.

23 participants à la consultation se sont exprimés sur les deux définitions et tous ont soumis des propositions de modification.

 Remarques générales sur l'art. 5

Economiesuisse, IG eHealth, la Poste et VUD considèrent qu'il faudrait définir avec plus de précision les termes «cyberincident» et «cyberattaque» à l'art. 5.

Le Centre de droit du numérique de l'UNIGE demande que les définitions de «cyberattaque» et «cyberincident» soient précisées, afin que ces événements puissent être qualifiés comme tels aussi en l'absence de toute violation de la sécurité des données ou d'autres dispositions légales ou réglementaires.

 Demandes de modification et suggestions concernant l'art. 5

IG eHealth, l'ISSS, Härting Rechtsanwälte, le canton GE et la Poste considèrent qu'il faut ajouter une définition des notions de «vulnérabilité» et de «cyberrisque» à l'art. 5.

La commune de Gachnang est d'avis qu'il faut définir le préfixe «cyber».

• Let. d

Pour Demain suggère de mentionner explicitement l'intelligence artificielle dans le cadre de la définition de «cyberincident».

Migros, Sunrise, les TPG et digitalswitzerland demandent que la formulation «et pouvant avoir pour conséquence» soit modifiée. Les trois derniers estiment qu'il faudrait la remplacer par «et ayant pour conséquence», tandis que Migros demande une meilleure définition.

Santésuisse considère que la définition n'est pas assez précise, car de tels événements peuvent également se produire sans être déclenchés par une cyberattaque, par exemple en raison de la défaillance de composants informatiques ou d'erreurs de programmation. Santésuisse estime que ces événements ne doivent pas être couverts par l'obligation de signalement.

L'UZH, l'UNIL et le PNR 77 sont d'avis qu'il est nécessaire d'harmoniser la définition de «cyberincident» avec celle prévue à l'art. 3, let. b, OPCy. En outre, ils considèrent que la formulation «lors de l'exploitation de moyens informatiques» n'est pas optimale, dans la mesure où elle pourrait être considérée comme trop restrictive en excluant tout comportement passif.

• Let. e

Swissgrid demande si la définition de «tiers non autorisé» inclut uniquement des personnes externes ou aussi des internes.