Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

Al. 1 : Transmission des informations partagées uniquement aux conditions

des fournisseurs des informations

Il importe d’observer la règle selon laquelle les informations partagées ne peuvent être transmises (dans la mesure où la transmission des informations n’est pas prévue par la loi) qu’en conformité avec les conditions des fournisseurs des informations afin de garantir que celles-ci ne soient pas diffusées sans autorisation et qu’aucune utilisation abusive n’en soit faite. Les informations sur les cyberincidents et les

cybermenaces doivent être partagées de façon confidentielle. Ces informations révèlent ce que l’on sait sur l’incident et quelles mesures de protection ont été

identifiées. Les attaquants pourraient exploiter pareilles informations à leurs propres fins. De plus, ces informations incluent également des éléments sensibles pour l’autorité ou l’organisation concernée, par exemple parce qu’ils peuvent compromettre sa réputation. Il est donc important que les fournisseurs des informations puissent fondamentalement définir eux-mêmes le cercle des destinataires. En cybersécurité, la convention de classification Traffic Light Protocol (marquage TLP) s’est imposée à cet effet. Ce marquage initié par le Forum of Incident Response and Security Teams (FIRST)²⁰ distingue les niveaux suivants applicables à la diffusion des informations :

- TLP « clear » – diffusion publique, sans restriction.

- TLP « green » – les destinataires peuvent partager des informations, mais n’ont pas le droit de les diffuser publiquement.

- TLP « amber » – les destinataires peuvent partager des informations au sein de leur organisation²¹ et avec leurs partenaires dans la mesure du nécessaire.

- TLP « amber strict » – les destinataires n’ont le droit de partager les

informations qu’au sein de leur organisation.

- TLP « red » – l’information n’est transmise qu’à la personne concernée et ne doit pas être partagée.

Les informations partagées sur la plateforme de l’OFCS sont classées selon le Traffic Light Protocol. On y voit donc comment les informations peuvent être diffusées. Ces prescriptions sont contraignantes pour tous les destinataires, sauf si la transmission des informations est prévue par la loi.

Al. 2 : Décision de l’OFCS concernant la publication d’informations

L’OFCS a l’autorité de décider si des informations destinées à être transmises

concernant des cybermenaces et des cyberattaques doivent être publiées, et à quel moment. Il est donc responsable de décider lesquelles de ces informations peut être communiquées à quels destinataires. Il s’agit ici d’informations examinées et