Rapport sur les résultats

3.3.2.6 Art. 6 (Demande de renseignements sur les titulaires)

Art. 6 Demande de renseignements sur les titulaires

L’OFCS peut, afin d’avertir les autorités, les organisations ou les personnes d’une cybermenace imminente ou d’une cyberattaque en cours, requérir les coordonnées des titulaires de noms de domaine auprès du registre des noms de domaine relevant de la compétence de la Confédération ou qui sont subordonnés à ceux-ci.

Trois participants à la consultation se sont prononcés favorablement sur cet article. Ils ne souhaitent que des adaptations au niveau du texte :

 GE suggère de clarifier l’intention et le but de la demande de coordonnées des titulaires de noms de domaine en reformulant l’art. 6 de la manière suivante : « L’OFCS peut, afin d’avertir les autorités, les organisations ou les personnes visées par une cybermenace, imminente ou en cours, requérir les coordonnées des titulaires de noms de domaine auprès du registre des noms de domaine relevant de la compétence de la Confédération. ».

 SH se réjouit que l’OFCS soit habilité à interroger les titulaires des noms de domaine, tel que mentionné à l’art. 6. Il propose toutefois que l’OFCS puisse également bloquer les domaines criminels et qu’il ne se limite pas à émettre des avertissements.

 ISSS fait remarquer que l’OFCS ne possède pas les compétences nécessaires pour effectuer des recherches sur les titulaires à la suite d’attaques et pour obtenir des informations antérieures sur les titulaires.

3.3.2.7 Art. 7 (Analyse technique des cyberincidents et des cybermenaces)

Art. 7 Analyse technique des cyberincidents et des cybermenaces

¹L’OFCS gère l’équipe nationale d’intervention en cas d’urgence informatique (Computer Emergency Response Team [CERT]), qui assume notamment des tâches suivantes:

a. elle gère les incidents techniques;

b. elle analyse les questions techniques;

c. elle identifie et évalue les cybermenaces.

²Il exploite une infrastructure résiliente et fonctionnant indépendamment du reste de l’informatique fédérale pour analyser les cyberincidents et les cybermenaces.

Seize participants à la consultation se sont exprimés sur cette disposition. Ils demandent surtout des modifications relatives au texte ou des clarifications.

❖ Art. 7, al. 1 : analyse technique et CERT

 S’agissant de la définition et des tâches de la CERT, CH++ fait remarquer qu’il faudrait utiliser le terme « CSIRT » au lieu de « CERT », l’abréviation « CERT » faisant référence à une marque déposée. Le BFC suggère de préciser la composition de la CERT dans le rapport explicatif. Il propose aussi de remplacer, à l’art. 7, al. 1, let. a, les termes « incidents techniques » par « incident dans le domaine de la cybersécurité. ». La même remarque vaut pour la let. b. ISSS désapprouve le fait qu’aucune réglementation n’indique à qui s’adresse la CERT. Il relève que les let. a et b se

concentrent sur la technique, contrairement à la let. c. Il souhaite en outre que l’article soit repensé, la directive complétée et les analyses publiées de manière générale. Enfin, Pour Demain propose de compléter l’art. 7, al. 1, let. a, par la « gestion des incidents techniques, y compris les événements sans intervention extérieure. ». Il suggère par ailleurs d’ajouter une let. d à l’al. 1 afin d’élargir le nombre des tâches prises en charge par la CERT et de mentionner qu’elle assume le monitoring des incidents liés à l’intelligence artificielle.