Rapport sur les résultats

3.3.2.6 Art. 73b Traitement des signalements concernant les cyberincidents et les vulné-

rabilités

1 Lorsque des cyberincidents ou des vulnérabilités de moyens informatiques sont signalés au NCSC, celui-ci les analyse afin de déterminer leur importance pour la protection de la Suisse contre les cyberrisques. Si la personne qui a effectué le signalement le souhaite, le NCSC émet une recommandation quant aux mesures à prendre pour autant que la situation ne nécessite pas d'analyses ou de clarifications supplémentaires.

2 Le NCSC peut publier ou communiquer aux autorités et aux organisations intéressées des informations sur les cyberincidents si cela permet de prévenir ou de combattre les cyberattaques. Ces informations peuvent contenir des données personnelles ou des données concernant des personnes morales, pour autant qu'il s'agisse de caractères d'identification et de ressources d'adressage usurpés et que la personne concernée ait donné son accord.

3 Le NCSC informe immédiatement le fabricant des vulnérabilités qui lui sont signalées et lui fixe un délai approprié pour y remédier. Si le fabricant n'y remédie pas dans le délai imparti, le NCSC publie la vulnérabilité en indiquant le logiciel ou le matériel concerné pour autant que cela contribue à la protection contre les cyberrisques.

21 participants à la consultation se sont exprimés. De manière générale, c'est l'al. 3 qui a suscité les plus vives réactions.

 Remarques générales sur l'art. 73b

Scienceindustries considère que la mise en œuvre de l'obligation de signalement nécessite que celle-ci représente une plus-value pour les entreprises concernées, qu'elle suive une approche proportionnée et subsidiaire, qu'elle n'engendre pas de coûts supplémentaires pour l'économie suisse et qu'elle fonctionne sur une base coopérative.

Les Verts, Digitale Gesellschaft et le Parti Pirate soutiennent l'art. 73b et considèrent que pour pouvoir assumer les tâches visées par cet article, le NCSC doit répondre à certaines exigences minimales, à savoir disposer de compétences plus importantes en cas d'incidents graves et mettre en place une procédure de responsible disclosure pour les infrastructures critiques.

Les Verts et CH++ demandent que le NCSC puisse édicter des directives assorties de délais contraignants obligeant les organisations de fabricants et d'exploitants à remédier rapidement aux vulnérabilités et à réduire les dommages.

Le canton VD demande que l'art 73b soit coordonné avec l'ordonnance sur les dispositifs médicaux (ODim).

 Demandes de modification et suggestions

• Al. 1

Selon l'UZH, l'UNIL et le PNR 77, la formulation «pour autant que la situation ne nécessite pas d'analyses ou de clarifications supplémentaires» n'est pas claire. Ils préconisent de la remplacer par «lorsque des cyberincidents ou des vulnérabilités sont portés à la connaissance du NCSC» afin de ne pas se limiter à un signalement que l'on pourrait confondre avec le signalement de cyberattaques par la personne concernée.

• Al. 2

Selon les Verts et CH++, sauf exception justifiée, le NCSC devrait mettre en place une obligation

de principe de publication, alors que l'ISSS, Härting Rechtsanwälte, l'AES, l'UTP, Swissgrid, le

canton GE et RAILplus soulignent au contraire que les données personnelles et les données des personnes morales ne doivent être publiées qu'avec un consentement explicite et préalable et qu'il