Rapport explicatif

Commentaires concernant l’ordonnance sur la cybersécurité (OCyS)

l’information⁷. L’ordonnance détaille notamment l’obligation de signaler et précise quelles autorités et organisations en sont exemptées, quelles cyberattaques doivent être signalées, mais aussi quels sont le contenu, le volume des signalements et le déroulement de la procédure afférente.

Il mérite d’être mentionné dans le cadre de l’énumération exhaustive de l’objet de réglementation qui figure dans cet article que toutes les directives en matière de cybersécurité de l’administration fédérale, les compétences et les tâches du service spécialisé de la Confédération pour la sécurité de l’information et les interfaces qui en résultent avec les tâches de l’OFCS sont réglées dans l’OSI.

Les mesures de cyberdéfense ne sont pas régies par l’ordonnance sur la

cybersécurité. Celles-ci se rapportent aux mesures militaires et de renseignement et incluent notamment les mesures actives prévues à l’art. 37 de la loi fédérale du 25 septembre 2015 sur le renseignement⁸ afin de perturber et de ralentir les

cyberattaques. Elles concernent aussi les mesures de l’armée visant à garantir sa disponibilité opérationnelle dans toutes les situations et à mettre à disposition des capacités destinées à appuyer subsidiairement les autorités civiles. Ces mesures sont réglées dans la loi sur le renseignement, la loi sur l’armée⁹ et les ordonnances correspondantes.

Section 2 Cyberstratégie nationale et comité de pilotage

Art. 2 Cyberstratégie nationale

Jusqu’à fin 2023, les dispositions relatives à la cyberstratégie nationale figuraient à l’art. 5 de l’OPCy abrogée. Selon cet article, qui s’inscrit dans la continuité de la réglementation précédente, le Conseil fédéral est tenu de fixer dans la CSN les objectifs et les mesures dans le domaine de la protection face aux cyberrisques.

Conformément à l’art. 15a, al. 2, let. g, Org-DDPS, l’OFCS est chargé au sein de l’administration fédérale d’élaborer la CSN à l’intention du Conseil fédéral et de coordonner sa mise en œuvre.

La CSN fixe, conformément à l’al. 1, le cadre stratégique de la prévention dans le domaine de la cybersécurité, de la détection précoce des cybermenaces, des possibilités de réaction et de la résilience en cas d’incident afin de protéger le pays des cyberincidents et des cybermenaces. Ceci signifie que la CSN suit une approche globale pour gérer les cyberincidents et les cybermenaces qui englobe plusieurs aspects de la cybersécurité :

 Prévention dans le domaine de la cybersécurité : la prévention se rapporte aux mesures prises pour identifier de possibles vulnérabilités et méthodes

d’attaque et les réduire à un minimum. À cet effet, des directives de sécurité