Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

1 Contexte

Le 11 décembre 2020, le Conseil fédéral a chargé le Département fédéral des

finances d’élaborer les bases légales nécessaires à l’introduction d’une obligation de signaler les cyberattaques visant les infrastructures critiques. Le Conseil fédéral a alors adopté le 2 décembre 2022 le projet concernant ces bases légales et le

message relatif à la modification de la loi du 18 décembre 2020 sur la sécurité de l’information (LSI)¹ à l’intention du Parlement. Ce dernier a ensuite approuvé les modifications de la LSI le 29 septembre 2023²; le délai référendaire a expiré le 18 janvier 2024 sans avoir été utilisé.

Le présent projet d’ordonnance contient d’une part les dispositions d’exécution du chapitre 5 de la LSI dans sa version révisée concernant l’obligation de signaler les cyberattaques contre les infrastructures critiques. D’autre part, il règle des aspects organisationnels en rapport avec la cybersécurité. Il est prévu que l’ordonnance entre en vigueur en même temps que le chapitre 5 révisé de la LSI le 1^erjanvier 2025.

La loi sur la sécurité de l’information est entrée en vigueur le 1^erjanvier 2024 – sans le chapitre révisé susmentionné concernant les tâches du nouvel Office fédéral de la cybersécurité (OFCS) et l’obligation de signaler les cyberattaques contre les

infrastructures critiques. L’ordonnance du 27 mai 2020 sur les cyberrisques (OPCy)³ a également été abrogée à cette date⁴. Les dispositions qu’elle contenait ont été en partie transférées dans la LSI révisée (notamment les définitions). Les dispositions de l’OPCy qui portaient sur la sécurité informatique de la Confédération ont été reprises dans l’ordonnance du 8 novembre 2023 sur la sécurité de l’information (OSI)⁵. Les tâches du Centre national pour la cybersécurité (NCSC) définies dans l’OPCy – notamment celles relatives à l’économie et à la population – ne sont pas ancrées dans l’OSI, car la révision de la LSI leur donne une nouvelle base légale. Par ailleurs, le NCSC a été transféré à l’OFCS au sein du Département fédéral de la défense, de la protection de la population et des sports (DDPS) le 1^erjanvier 2024. Pour cette raison, des dispositions organisationnelles sur l’OFCS figurent à l’art. 15a, al. 1 et 2, let. a à g, Org-DDPS⁶.

L’ordonnance faisant l’objet du présent rapport précise et décrit plus concrètement les tâches de l’OFCS, ainsi que l’obligation de signaler les cyberattaques contre les infrastructures critiques. La future ordonnance sur la cybersécurité (OCyS) réglera ainsi les tâches de l’OFCS et l’obligation de signaler les cyberattaques contre les infrastructures critiques en complément de l’OSI. Elle porte donc surtout sur les relations entre l’OFCS et les assujettis hors administration fédérale, tandis que l’OSI définit les tâches et les compétences relatives à la sécurité de l’information au sein de l’administration fédérale.