Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

Al. 2 : Priorité tenant compte des intérêts publics

Si plusieurs cyberincidents et cybermenaces se déclenchent simultanément, l’OFCS soutient en priorité les organisations et les autorités assujetties à l’obligation de signaler chez qui l’événement aura le plus d’incidences sur la sécurité, l’ordre public, le bien-être de la population ou le fonctionnement de l’économie. Ce traitement prioritaire signifie que l’OFCS mobilise ses ressources et son aide de façon ciblée sur les événements aux conséquences particulièrement graves. Ainsi, des infrastructures critiques, des établissements d’autorités ou d’autres organisations importantes

peuvent être traités en priorité pour se voir garantir une protection appropriée et une assistance rapide en cas d’attaque. Par cette priorisation, l’OFCS veille à ce que les établissements et organisations les plus importants pour le fonctionnement de la société et de l’économie disposent d’une protection appropriée en cas de

cyberincidents et de cybermenaces. Cela contribue à la résilience et à la stabilité du pays en cas d’événement de grande ampleur dirigé sur un grand nombre de cibles en Suisse.

Art. 9 Publication cordonnée des vulnérabilités

Cette disposition s’appuie sur l’art. 73a, al. 2, let. c, et l’art. 73b, al. 3, en relation avec l’art. 73c, al. 2, LSI.

L’OPCy ne réglait pas explicitement les tâches de l’OFCS en rapport avec la

coordination des vulnérabilités. Depuis le 1^erjanvier 2024, les art. 15a, al. 2, let. b,

Org-DDPS les mentionnent dans les tâches générales de l’OFCS. Par ailleurs, depuis lors, l’art. 43, al. 1, let. c, OSI contient une base légale pour la recherche de

vulnérabilités dans l’infrastructure informatique de l’administration fédérale et de l’armée. Cette disposition prévoit que l’OFCS informe la Chancellerie fédérale, les secrétariats généraux, les départements et les offices fédéraux des menaces et des vulnérabilités actuelles et des risques qui les concernent et qu’il leur recommande si nécessaire des mesures de réduction des risques.

L’importance d’une gestion active des vulnérabilités et le rôle de l’OFCS dans la recherche et la publication coordonnée des vulnérabilités sont décrites plus en détail dans le rapport du Conseil fédéral « La promotion du piratage éthique en Suisse »¹³.

Al. 1 : Divulgation cordonnée des vulnérabilités

La divulgation coordonnée des vulnérabilités est un élément important des efforts globaux de cybersécurité, car elle permet d’analyser de potentielles failles de sécurité dans les systèmes informatiques, de les évaluer et de les éliminer avant que des attaquants ne puissent les exploiter. L’objectif du processus de divulgation

coordonnée est d’assurer un maximum de transparence sur les vulnérabilités, sans générer de risques pour la sécurité. L’élément clé du processus est de commencer par informer les fabricants sitôt une vulnérabilité détectée. Les hackers