Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

organisations assujetties à l’obligation de signaler, l’art. 74e, al. 1, LSI fixe un délai de signalement de 24 heures. Le délai commence à courir une fois la cyberattaque détectée. Les informations connues jusqu’alors doivent être communiquées pendant ce laps de temps. Lors de cyberattaques, on met très souvent beaucoup de temps à en déterminer la gravité et à savoir ce qui s’est passé précisément. Si les éléments demandés par l’OFCS à l’art. 19 OCyS ne sont pas connus dans leur intégralité au moment du signalement, les personnes touchées peuvent compléter le signalement avec les éléments manquants une fois qu’elles ont obtenu de nouvelles informations ou qu’elles connaissent suffisamment bien la situation. Elles peuvent aussi confirmer l’indisponibilité de ces informations. Ces précisions doivent être transmises à l’OFCS dans les 14 jours suivant le signalement de la cyberattaque. Ces deux délais ne peuvent pas être prolongés, car il s’agit de délais légaux (cf. art. 22, al. 1, PA).

Al. 2 : Requête de l’OFCS

Si l’autorité ou l’organisation assujettie à l’obligation de signaler ne communique pas les informations requises sur la cyberattaque dans les 14 jours prescrits, l’OFCS lui demande de compléter immédiatement le signalement ou de confirmer que ces informations ne sont pas disponibles.

Section 6 Dispositions finales

Art. 23 Entrée en vigueur

L’ordonnance entre en vigueur le 1^erjanvier 2025, en même temps que la LSI

révisée.

3 Modification d’autres actes

1. Ordonnance du 7 mars 2003 sur l'organisation du Département fédéral de la

défense, de la protection de la population et des sports

Art. 15a, al. 2, let. f, Org-DDPS

Comme l’art. 7 de cette ordonnance décrit plus en détail les tâches de l’équipe d’intervention en cas d’urgence informatique (Computer Emergency Response Team [CERT]) de l’OFCS, l’actuel art. 15a, al. 2, let, f, Org-DDPS est réduit en

conséquence afin d’éviter les doublons.

Art. 15a, al. 2, let. h, Org-DDPS

L’art. 15a, al. 2, let. h, Org-DDPS prévoit que l’OFCS représente la Suisse pour l’analyse technique des cybermenaces et la gestion des cyberincidents dans des instances internationales. Cette mention est importante car les cyberincidents et les cybermenaces sont des phénomènes internationaux. Les attaquants utilisent

simultanément les mêmes technologies et méthodes dans de nombreux pays.