Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

l’obligation de signaler, d’actuels ou d’anciens responsables, d’actuels ou d’anciens collaborateurs ou encore des personnes travaillant pour l’autorité ou pour

l’organisation assujettie à l’obligation de signaler. De nombreux cybercriminels

tentent, par la menace ou la réalisation d’attaques, de faire chanter les exploitants d’infrastructures critiques, leur clientèle ou des membres de leur personnel (p. ex. en chiffrant des données à l’aide de rançongiciels ou en les menaçant de compromettre la disponibilité par des attaques de Distributed Denial of Service [attaques DDoS] ou de publier des informations sensibles comme des données personnelles ou des secrets d’entreprise). Les cyberattaques s’accompagnant de circonstances

susceptibles d’entraîner des poursuites pénales doivent être signalées quand l’acte de chantage, la menace ou l’acte de contrainte se rapportent à l’organisation ou à l’autorité assujettie à l’obligation de signaler et peuvent porter préjudice à leur activité professionnelle ou administrative. Il s’agit ici de conséquences graves, associées à des pertes financières, une atteinte à la réputation ou des répercussions juridiques. Il est important de signaler pareilles attaques afin que l’OFCS puisse évaluer la menace que font peser les cybercriminels sur les infrastructures critiques.

Art. 19 Contenu du signalement

Cette disposition s’appuie sur l’art. 74e, al. 2, LSI.

Généralités :

La rédaction de cette disposition d’exécution s’appuie largement sur la terminologie et le contenu du formulaire mis en place par la FINMA au 1^erseptembre 2020 qui concerne l’« obligation de signaler les cyberattaques »³². L’OFCS n’ayant pas de fonction de surveillance, contrairement à la FINMA, certains éléments n’ont pas été repris, car ils ne sont pas significatifs dans le cadre de l’obligation de signaler à l’OFCS. Ainsi, aucune indication sur les fonctions critiques ou sur les mesures de communication n’est demandée lors du signalement à l’OFCS, car ces informations n’apportent pas de valeur ajoutée à l’évaluation de la cyberattaque ou à la mise en garde d’éventuelles victimes. Par ailleurs, des éléments importants issus du

formulaire sur les incidents de sécurité informatique de l’Office fédéral allemand pour la sécurité en matière de technologies de l’information (BSI) ont été repris pour l’analyse des cyberattaques³³. Le formulaire d’annonce de violation de la sécurité des données³⁴ que reçoit le PFPDT a également servi d’inspiration pour l’obligation de signaler des cyberattaques.

L’art. 74e, al. 2, LSI fixe le contenu du signalement, c’est-à-dire les principales

informations nécessaires pour satisfaire à l’obligation de signaler. L’étendue concrète et la teneur des informations à signaler sont précisées dans la présente disposition