Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

pénales, les autorités et les organisations assujetties à l’obligation de signaler

dénoncent parfois les faits. L’OFCS pourra réagir de façon plus appropriée s’il sait que les faits ont été dénoncés.

Al. 3 : Informations sur les conséquences de la cyberattaque

Les informations à fournir selon l’al. 3, let. a à c, aident l’OFCS à effectuer une

première évaluation des conséquences de la cyberattaque et du préjudice porté aux moyens informatiques et aux données.

 Unités touchées de l’organisation ou de l’autorité (let. a) : dans les grandes entreprises, les conglomérats et les groupes aux nombreux domaines d’activité en particulier, citer l’unité touchée par la cyberattaque aide l’OFCS à évaluer si les moyens informatiques et les données de l’infrastructure critique sont

touchés.

 Gravité du préjudice sur la disponibilité, l’intégrité et la confidentialité des informations propres et de celles de tiers (let. b) : l’autorité et l’organisation assujetties à l’obligation de signaler doivent évaluer à quel point la

disponibilité, l’intégrité et la confidentialité sont touchées par la cyberattaque visant les moyens informatiques. Selon l’évaluation des conséquences de la cyberattaque, un degré de gravité sera affecté au préjudice subi avec la

qualification « faible, moyen, élevé ou grave », comme sur le formulaire de signalement de la FINMA³⁵. Sur la base de cette première évaluation des conséquences et de l’attribution d’un degré de gravité, on peut dans certains cas identifier si une tendance se dessine pour ce qui est des conséquences. Cette information est particulièrement utile en présence d’indices

d’aggravation. Par ailleurs, cette classification nourrit aussi la prise de décision lorsque l’aide de l’OFCS est demandée concernant la suite concrète à donner pour gérer l’incident.

 Effets sur le fonctionnement des unités touchées de l’autorité ou de

l’organisation (let. c) : les indications sur les effets de la cyberattaque sur le fonctionnement de l’autorité ou de l’organisation doivent révéler à quel point sont notamment touchés l’accès aux systèmes et aux données, la disponibilité des services pour les clients ou les citoyens, les déroulements internes, les processus, la disponibilité des systèmes d’approvisionnement en électricité et en eau, les services de santé ou d’autres infrastructures critiques. L’autorité ou l’organisation assujettie à l’obligation de signaler peut également s’exprimer sur l’intervalle de temps et la durée des répercussions de la cyberattaque et donner son pronostic sur la durée des conséquences de cette dernière.

Al. 4 : Informations sur l’autorité ou l’organisation assujettie à l’obligation de

signaler

Dans la mesure où l’autorité ou l’organisation assujettie à l’obligation de signaler n’est pas déjà enregistrée pour participer à l’échange d’informations et où l’enregistrement est impossible au moment d’effectuer le signalement (p. ex. en raison d’une