Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

défaillance des moyens informatiques) ou que l’autorité ou l’organisation assujettie à l’obligation de signaler ne souhaite pas le faire, le signalement d’une cyberattaque conformément à l’al. 4 doit aussi contenir les informations suivantes sur ladite autorité ou organisation :

 Raison sociale, nom ou désignation et adresse de l’autorité ou l’organisation assujettie à l’obligation de signaler (let. a) : pour une identification correcte des autorités et des organisations assujetties à l’obligation de signaler, celles-ci doivent indiquer leur raison sociale, leur nom ou leur désignation ainsi que leur adresse avec les renseignements suivants : rue, numéro de bâtiment, numéro postal et localité.

 Coordonnées de l’auteur du signalement (let. b) : le signalement doit

comporter au moins le prénom et le nom de l’auteur du signalement. Son numéro de téléphone et son adresse e-mail doivent également être indiqués, car il est la personne de contact de l’OFCS. Les organisations ou les autorités peuvent déclarer plusieurs personnes de contact.

Art. 20 Transmission du signalement

Cette disposition s’appuie sur l’art. 74f LSI.

Conformément à l’art. 20, l’OFCS confirme immédiatement la réception du

signalement à l’autorité ou à l’organisation assujettie à l’obligation de signaler si ce signalement n’a pas été fait par le système de communication de l’OFCS. Si le

signalement est effectué par exemple par e-mail, l’OFCS informe les personnes de contact de l’autorité ou l’organisation assujettie à l’obligation de signaler qui se sont enregistrées au préalable conformément à l’art. 13, al. 2, let. b, OCyS. Ce retour garantit que l’autorité et l’organisation assujettie à l’obligation de signaler puissent communiquer à l’OFCS qu’il s’agissait d’une fausse alerte (p. ex. « canular » par des tiers).

Art. 21 Délai de saisie du signalement

Cette disposition s’appuie sur l’art. 74e, al. 1 et 3, LSI.

Généralités :

Les autorités et les organisations assujetties à l’obligation de signaler doivent signaler immédiatement toute cyberattaque dès qu’elle est connue, le principe étant que la rapidité prévaut sur l’exhaustivité, car l’OFCS doit être prévenu immédiatement de toute cyberattaque à signaler afin de remplir son mandat légal d’alerte précoce.

Al. 1 : Complément ou modification du signalement

Puisqu’il est essentiel pour l’alerte précoce et la prévention en particulier que les cyberattaques soient signalées dès leur découverte par les autorités et les