Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

Art. 17 Obligation de documenter en cas de demande de renseignements sur

l’assujettissement à l’obligation de signaler

Cette disposition s’appuie sur l’art. 74a, al. 2, LSI.

L’obligation de signaler concernant de très nombreux domaines différents d’après la liste dressée à l’art. 74b, al. 1, LSI et un grand nombre d’autorités et d’organisations étant exemptées de cette obligation en vertu de l’art. 74c LSI et de l’art. 16 OCyS, il faut s’attendre, malgré ces règles détaillées, à ce que certaines autorités et

organisations s’interrogent sur le fait qu’elles soient ou non concernées par

l’obligation de signaler. Les autorités et les organisations intéressées peuvent

s’adresser à l’OFCS pour savoir si elles sont assujetties à l’obligation de signaler au sens de l’art. 74b LSI ou si elles en sont exemptées au sens de l’art. 74c LSI.

Pour permettre à l’OFCS de traiter cette demande de renseignements, l’art. 17 prévoit que les autorités et les organisations lui fassent parvenir l’ensemble des documents requis pour qu’il puisse indiquer si celles-ci sont assujetties à une obligation légale de signaler. Cette exigence permet de s’assurer que l’OFCS puisse remplir efficacement ses missions dans le domaine de la cybersécurité. Le renseignement fourni par l’OFCS étant quasiment un instantané basé sur les faits valables au moment où il est établi, il incombe à l’autorité ou à l’organisation concernée de s’acquitter sans délai de son obligation de signaler en cas de changement significatif des faits ou des circonstances pertinentes ou, en cas de doute, de se renseigner auprès de l’OFCS.

Art. 18 Cyberattaques à signaler

Cette disposition s’appuie sur l’art. 74d LSI.

Généralités :

La description des cyberattaques à signaler est précisée à l’art. 74d, let. a à d, LSI. Les cyberattaques sont à signaler lorsqu’elles sont particulièrement pertinentes pour l’OFCS à des fins d’alerte précoce et d’évaluation de la menace. Les critères de détermination des attaques à signaler ont été choisis de manière à ce que les

autorités et les organisations puisse les identifier le plus rapidement possible. Cet article permet de les préciser au niveau de l’ordonnance.

Al. 1 : Mise en péril du fonctionnement de l’infrastructure critique (art. 74d,

let. a, LSI)

Le fonctionnement d’une infrastructure critique peut être mis en péril par une

cyberattaque quand les systèmes informatiques, les réseaux ou les systèmes de pilotage essentiels à l’exploitation de l’infrastructure sont compromis à tel point que les collaborateurs et tiers sont touchés par des interruptions de système (art. 18, al. 1, let. a) ou que l’organisation ou l’autorité touchée ne peut maintenir ses activités qu’à l’aide de plans d’urgence (art. 18, al. 1, let. b). On parle d’interruption de système lorsque les collaborateurs ou les tiers ne peuvent plus exécuter des étapes de travail importantes pour leur activité car les moyens informatiques nécessaires ne sont