Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

conviennent avec ces derniers d’un délai au cours duquel ils ne diffuseront pas publiquement d’informations sur la vulnérabilité. Les fabricants disposent ainsi d’un laps de temps suffisant pour éliminer la vulnérabilité avant qu’elle ne soit rendue publique. Cette procédure est répandue à l’échelle internationale et est par exemple prescrite par l’UE dans la directive SRI 2 (art. 12 et 13)¹⁴.

Les règles de divulgation coordonnée des vulnérabilités sont précisées dans la norme ISO/IEC 29147:2018-10¹⁵. L’OFCS doit divulguer les vulnérabilités signalées en suivant les règles énoncées dans cette norme. Cela signifie que l’OFCS ne tient aucune vulnérabilité secrète et qu’il ne la transmet pas à d’autres autorités sans en informer les fabricants. L’OFCS doit mettre en œuvre des mesures tout au long du processus de divulgation coordonnée qui empêcheront la mise à profit de la

vulnérabilité.

En collaborant avec des services spécialisés étrangers et internationaux, l’OFCS s’assure que les vulnérabilités seront identifiées et éliminées au niveau international. En septembre 2021, l’organisation états-unienne MITRE a reconnu l’OFCS comme service spécialisé en vulnérabilités et l’a autorisé à attribuer aux vulnérabilités des numéros CVE conformément à la norme Common Vulnerabilities and Exposure (CVE), afin d’identifier sans aucune ambiguïté les vulnérabilités détectées. Ces numéros permettent aux experts en sécurité, fabricants, utilisateurs et autorités de se référer à une vulnérabilité de manière uniforme. L’utilisation de numéros CVE aide à communiquer, documenter et éliminer des failles de sécurité plus efficacement.

L’utilisation d’un schéma de dénomination standardisé facilite aussi la collaboration entre les différents acteurs du domaine de la cybersécurité et améliore la

transparence et l’efficacité dans le traitement de failles de sécurité.

Al. 2 à 4 : Délai d’élimination de la vulnérabilité

L’OFCS exige des fabricants du matériel informatique ou du logiciel concerné par la vulnérabilité qu’ils éliminent la vulnérabilité dans un délai de 90 jours. Il s’agit d’une pratique courante dans le secteur de la cybersécurité¹⁶. Ce délai laisse suffisamment de temps aux fabricants pour analyser les vulnérabilités et pour développer et mettre en œuvre des contre-mesures. Il garantit aussi que les vulnérabilités ne perdureront pas outre mesure.

Le délai peut être réduit quand le degré de criticité et la complexité de la vulnérabilité sont élevés, mais il peut aussi être prolongé au besoin (p. ex. en raison d’une charge importante liée aux contre-mesures ou d’un besoin de coordination accru).