Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

Al. 5 : Partage d’informations sur la vulnérabilité avant son élimination ou sa

divulgation

S’il a connaissance d’une vulnérabilité qui représente une cybermenace aiguë pour d’autres infrastructures critiques, l’OFCS en informe leurs exploitants avant que la vulnérabilité ne soit publiée ou éliminée par le fabricant du matériel informatique ou du logiciel. Cette étape est importante pour informer à un stade précoce les

exploitants d’infrastructures critiques de potentiels risques de sécurité et leur donner la possibilité de prendre des mesures adéquates pour protéger leurs systèmes.

L’échange d’informations sur des vulnérabilités permet aux exploitants

d’infrastructures critiques d’engager des mesures de réduction des risques de façon proactive avant que les vulnérabilités soient rendues publiques. Cela peut contribuer à empêcher ou atténuer de potentielles attaques sur des infrastructures critiques.

Al. 6 : Exception pour l'OFCOM

Cette disposition vise à éviter d'éventuels conflits de compétences et des doublons entre l'OFCS et l'OFCOM. L'OFCOM exerce la surveillance du marché sur l'offre, la mise à disposition sur le marché, la mise en service, la construction et l'exploitation d'installations de télécommunication. Pour ce faire, il effectue des contrôles de marché auprès des acteurs économiques, en premier lieu auprès du fabricant suisse ou, à défaut, de l'importateur, de telles installations, vérifie les installations

concernées et prend les mesures nécessaires si les installations contrôlées ne respectent pas les prescriptions en vigueur (art. 33 de la loi sur les

télécommunications du 30 avril 1997¹⁷; LTC). Parmi ces prescriptions figurent

également les exigences en matière de cybersécurité pour certaines installations de radiocommunication, conformément à l'art. 7, al. 3, let. d, e et f, de l'ordonnance du 25 novembre 2015¹⁸ sur les installations de télécommunication (OIT)¹⁹.

Étant donné que les objectifs de l'OFCS et de l'OFCOM se recoupent à cet égard, la divulgation coordonnée visée au paragraphe 1 n'est pas réalisable si l'OFCOM découvre, avant l'OFCS et à l'occasion d'un contrôle d'un opérateur économique, une non-conformité d'un équipement de radiocommunication aux exigences en matière de cybersécurité. Dans la procédure de contrôle du marché, l'opérateur économique a connaissance, avant même le fabricant étranger, de l'existence d'une vulnérabilité dans les installations concernées, après l'examen de l'OFCOM. Il est donc nécessaire de mettre en place un mécanisme de coordination afin d'harmoniser les procédures de l'OFCOM et de l'OFCS. L'OFCOM informe en conséquence l'OFCS des

vulnérabilités, lequel procède, le cas échéant, à la divulgation coordonnée des vulnérabilités conformément au paragraphe 1.