Projet

Ordonnance sur la cybersécurité 120.73

Art. 7 Analyse technique des cyberincidents et des cybermenaces

¹L’OFCS gère l’équipe nationale d’intervention en cas d’urgence informatique (Computer Emergency Response Team [CERT]), qui assume notamment les tâches suivantes:

a. elle gère les incidents techniques;

b. elle analyse les questions techniques;

c. elle identifie et évalue les cybermenaces.

²Il exploite une infrastructure résiliente et fonctionnant indépendamment du reste de l’informatique fédérale pour analyser les cyberincidents et les cybermenaces.

Art. 8 Priorités pour les conseils et l’assistance en cas de

cyberattaque

¹Si, en cas de cyberattaque, les demandes de conseils et d’assistance dépassent les capacités de l’OFCS, celui-ci peut alors établir des priorités pour leur traitement en fonction de l’urgence et de l’étendue des conseils et de l’assistance.

²Il prend alors en compte les impératifs de la sécurité et de l’ordre publics, du bien-être de la population et du fonctionnement de l’économie.

Art. 9 Divulgation cordonnée des vulnérabilités

¹L’OFCS veille à coordonner la divulgation des vulnérabilités selon les normes internationales reconnues.

²Il fixe au fabricant du matériel informatique ou du logiciel concerné un délai de 90 jours pour éliminer les vulnérabilités.

³Il peut raccourcir ce délai si la vulnérabilité:

a. met en péril le fonctionnement d’infrastructures critiques;

b. peut être très facilement exploitée pour une cyberattaque, ou

c. touche des systèmes très répandus.

⁴Il peut prolonger le délai lorsque l’élimination de la vulnérabilité s’avère particulièrement complexe.

⁵Il peut informer les exploitants d’infrastructures critiques de la présence de vulnérabilités avant même l’élimination ou la divulgation de celles-ci.

⁶Les al. 1 à 4 ne s'appliquent pas aux vulnérabilités découvertes par l'Office fédéral de la communication (OFCOM) dans le cadre de ses contrôles de surveillance (art. 36 ss de l'ordonnance du 25 novembre 2015 sur les