Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

2 Commentaires des dispositions

Section 1 Objet

Art. 1

Cette disposition s’appuie sur les bases légales mentionnées au « Chapitre 5 :

Mesures de la Confédération afin de protéger la Suisse contre les cybermenaces » de la loi sur la sécurité de l’information (art. 73a ss LSI) et également sur l’art. 15a, al. 1 et 2, let. a à g, Org-DDPS.

L’art. 1 décrit l’objet de l’ordonnance et reproduit, aux let. a à d, la structure de

l’ordonnance, qui correspond également aux titres des différentes sections :

Let. a Cyberstratégie nationale et comité de pilotage

L’ordonnance prévoit aux art. 2 à 5 que la Confédération définit une Cyberstratégie nationale (CSN) en accord avec les cantons et constitue un comité de pilotage (CP CSN) pour sa mise en œuvre. Elle précise sa composition, son organisation et ses tâches.

Let. b Tâches de l’OFCS

Aux art. 6 à 10, l’ordonnance définit et complète les tâches de l’OFCS visées à l’art. 73a, al. 2, LSI. Jusqu’à fin 2023, les tâches du NCSC, l’organisation qui a précédé l’OFCS, étaient réglées dans l’OPCy, qui a été abrogée. Dans le cadre de la révision de la LSI, ces tâches ont été intégrées dans une loi formelle.

Let. c Échange d’informations entre l’OFCS et les autorités et

organisations chargées de la protection contre les cyberincidents et les cybermenaces

Aux art. 11 à 15, l’ordonnance règle l’échange d’informations entre l’OFCS et les autorités et organisations chargées de la protection contre les cyberincidents et les cybermenaces concernant les incidents, les menaces et les attaques en cours dans le domaine de la cybersécurité. Elle précise les directives, les compétences et les responsabilités applicables au système de communication permettant l’échange sécurisé d’informations et aux systèmes d’information pour l’échange automatique, le tout afin de garantir une transmission rapide et efficace des informations pertinentes aux bons destinataires.

Let. d Obligation de signaler les cyberattaques

Au cours de la procédure de consultation sur la révision de la LSI, il a été plusieurs fois demandé que les dispositions sur l’obligation de signaler les cyberattaques contre les infrastructures critiques soient concrétisées au niveau de l’ordonnance. Les art. 16 à 21 de la présente ordonnance répondent à cette attente, exprimée à plusieurs reprises dans le message relatif à la modification de la loi sur la sécurité de