Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

conformément aux règlements européens cités sont exemptées de l’obligation de signaler à l’OFCS les cyberattaques ciblant leurs systèmes informatiques. Cela s’applique aux entreprises qui :

 ne sont pas tenues d’installer un système management de la sécurité de l’information (SMSI) selon les art. 2 et 4 et l’annexe II du règlement d’exécution (UE) 2023/203 du 5 octobre 2023 ou l’art. 2 et l’annexe II du règlement

délégué (UE) 2022/1645 du 14 juillet 2022. Celles-ci sont également

exemptées de l’obligation de signaler les cyberattaques à l’OFCS. Un SMSI est une approche systématique de gestion d’informations sensibles concernant des entreprises, de sorte qu’elles restent sûres. Il englobe des personnes, des processus et des systèmes informatiques par la mise en œuvre d’un

processus de gestion du risque. Les règlements européens précités

définissent les normes et les exigences en vigueur pour la mise en place d’un tel système,

 qui ne sont pas tenues d’appliquer les conditions du point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998, qui concerne les règles de sécurité pour l’aviation civile. Le point 1.7 de l’annexe pourrait comporter des mesures ou des normes spécifiques de sécurité qui devraient être mises en œuvre dans un programme de sûreté. Si l’entreprise concernée n’est pas tenue de mettre en œuvre ces conditions dans son programme de sûreté – ce qui s’effectue sur la base des art. 2, 12, 13 ou 14 du règlement (CE) 300/2008 – elle est également exemptée de l’obligation de signaler en cas de cyberattaques.

Let. d : Entreprises ferroviaires visées à l’art. 74b, al. 1, let. m, LSI

L’obligation de signaler se limite aux entreprises de transport surveillées par l’OFT dont les tâches systémiques relèvent de l’intérêt public et dont le fonctionnement sûr et fiable est indispensable au bien-être de la population et au fonctionnement de l’économie. De ce fait, les autres entreprises sont exemptées de l’obligation de signaler.

Let. e : Fournisseurs et exploitants visés à l’art. 74b, al. 1, let. t, LSI

Les fournisseurs et les exploitants d’informatique en nuage, de moteurs de recherche et de centres de calcul dont le siège est en Suisse sont assujettis à l’obligation de signaler uniquement s’ils fournissent tout ou partie de leurs prestations à des tiers et contre rémunération. La mise en place du critère de fourniture de prestations à titre commercial exclut donc de l’obligation de signaler les centres de calcul qui

fournissent leurs services uniquement pour couvrir les propres besoins.

De même, tous les services numériques de sécurité et tous les services numériques de confiance proposés à des tiers sont assujettis à l’obligation de signaler des

cyberattaques quels que soient leur chiffre d’affaires et leur clientèle (sans seuil moyen). En revanche, les services qu’une personne développe et utilise uniquement pour ses propres besoins ne sont pas soumis à l’obligation de signaler.