Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

traitées en interne. On examine alors lesquelles sont utiles et pertinentes pour le grand public ou certains groupes cibles et de quelle manière il est préférable de les diffuser via le système de communication existant ou les systèmes d’information.

Al. 3 : Garantie de la protection des informations

Les destinataires des informations ont la responsabilité d’engager des mesures visant à en garantir la sécurité et la confidentialité. La protection de ces informations est particulièrement importante, car il peut s’agir de données sensibles et leur publication ou détournement pourrait avoir des conséquences négatives, par exemple favoriser d’autres cyberattaques ou aggraver des problèmes de sécurité existants.

Al. 4 : Prescriptions pour les éventuels fournisseurs de prestations

d’exploitants d’infrastructures critiques

Les fournisseurs de prestations qui travaillent pour des infrastructures critiques et qui ont été déclarés et enregistrés par les exploitants d’infrastructures critiques

conformément à l’art. 14 OCyS ont le droit d’utiliser les informations qu’ils reçoivent uniquement aux fins des activités spécifiques qu’ils exécutent dans le cadre de l’infrastructure critique. Cela permet de garantir la confidentialité et la gestion

appropriée des informations sensibles, mais aussi de réduire à un minimum le risque d’utilisation abusive ou d’accès non autorisé.

Section 5 Obligation de signaler

Art. 16 Exceptions à l’obligation de signaler

Cette disposition s’appuie sur l’art. 74c LSI en vertu duquel le Conseil fédéral

exempte des autorités et des organisations de l’obligation de signaler visée à

l’art. 74b LSI lorsque les perturbations provoquées par des cyberattaques n’ont qu’un effet limité sur l’ordre public, la sécurité, le bien-être de la population ou le

fonctionnement de l’économie.

Généralités :

Si des autorités ou des organisations sont assujetties à l’obligation de signaler en vertu de l’art. 74b LSI dans plusieurs domaines, l’exemption dans un domaine ne les dispense pas de l’obligation de signaler dans la mesure où elles sont encore

assujetties à ladite obligation dans un ou plusieurs autres domaines.

Il faut également noter que certaines autorités et organisations assujetties à

l’obligation de signaler ne sont pas concernées par des exceptions à ladite obligation visées aux al. 1 et 2 expliqués ci-après. En font partie :

 les organisations qui fournissent des prestations destinées à couvrir les

conséquences de la maladie, des accidents, de l’incapacité de travail et de gain, de la vieillesse, de l’invalidité et de l’impotence (art. 74b, al. 1, let. i, LSI) ;