Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

plus disponibles. Les plans d’urgence sont des mesures techniques ou

organisationnelles à prendre lorsque les moyens informatiques habituellement utilisés ne sont plus disponibles subitement de façon inattendue.

Al. 2 : Manipulation ou fuite d’informations (art. 74d, let. b, LSI)

Il y a cyberattaque assujettie à l’obligation de signaler faisant suite à une manipulation ou à une fuite d’informations lorsque les attaquants sont en mesure d’accéder de manière non autorisée à des données sensibles des organisations ou des autorités concernées et de les modifier, chiffrer, voler, effacer, communiquer ou rendre

accessibles à des tiers non autorisés. À la suite d’une cyberattaque, des données peuvent être manipulées par des tiers non autorisés de façon à entrer dans les systèmes des informations importantes pour les affaires visées à l’art. 18, al. 2, let. a, OCyS qui, du fait de leur modification ou communication, entraînent des erreurs dans les processus commerciaux, la prise de décisions erronées, voire des risques pour la sécurité. Il est aussi possible, conformément à l’art. 18, al. 2, let. b, OCyS, que la manipulation ou la fuite d’informations aboutisse à la violation de la sécurité de données personnelles selon l’art. 5, let. h, en relation avec l’art. 24 LPD.

Al. 3 : Cyberattaque indétectée pendant une période prolongée (art. 74d, let. c,

LSI)

Doivent également être signalées les cyberattaques indétectées pendant une période prolongée, avec des indices qui laissent penser qu’elles ont été exécutées en vue de préparer d’autres attaques. L’art. 18, al. 3, OCyS précise que l’on parle de période prolongée au sens de l’art. 74d, let. c, LSI quand on se rend compte après la

découverte que la cyberattaque a eu lieu plus de 90 jours auparavant (p. ex. par l’analyse des fichiers journaux). Pareilles cyberattaques constituent une menace sérieuse pour les infrastructures critiques. Elles sont aussi souvent qualifiées

d’Advanced Persistent Threats (APT). Il s’agit généralement de cyberattaques très perfectionnées, ciblées et difficiles à identifier. De ce fait, elles sont particulièrement pertinentes pour mettre en garde d’autres exploitants d’infrastructures critiques. Avec ce type d’attaques, l’espionnage ne peut pas être exclu (p. ex. espionnage des autorités ou industriel). Souvent très complexes, les attaques sont effectuées par des attaquants expérimentés qui utilisent des techniques et des outils avancés pour se cacher dans le système et dissimuler leurs activités. Les cibles sont en général des organisations, des secteurs d’activité ou des autorités spécifiques. Il arrive aussi que les attaquants avancent progressivement pour étendre les droits d’accès et exploiter d’autres vulnérabilités. Si des indices laissent à penser qu’une cyberattaque a été exécutée en vue de préparer d’autres attaques, il est probable que les attaquants aient déjà accédé à des systèmes ou à données critiques qu’ils pourront les utiliser dans de futures attaques.

Al. 4 : Cyberattaque liée à des actes de chantage, de menace ou de contrainte

(art. 74d, let. d, LSI)

Cet alinéa précise que, lors de circonstances susceptibles d’entraîner des poursuites pénales, une cyberattaque doit toujours être signalée lorsque les actes

répréhensibles sont dirigés contre l’autorité ou l’organisation assujettie à