Rapport sur les résultats

❖ Observations générales sur l’art. 8

 S’agissant de la collaboration et des compétences réglées par cette disposition, le BFC se demande

s’il faut prévoir de faire appel à des fournisseurs de prestations privés en cas de crise grave et si l’on pourrait, le cas échéant, définir au préalable les critères pour les identifier et les sélectionner. ZH recommande de formaliser la collaboration avec le ministère public et la police et d’associer les autorités cantonales. Dans ce contexte, Switch demande de concrétiser la subsidiarité de l’OFCS et de définir la responsabilité individuelle des exploitants privés. Enfin, swissuniversities suggère que Switch décharge l’OFCS en cas de cyberattaques visant les hautes écoles.

 Concernant les compétences et les mesures de cette disposition, ISSS propose de permettre un

renforcement externe de la CERT en cas de cyberattaque. ZH recommande pour sa part de fixer dans le texte de l’ordonnance l’objet, les objectifs d’efficacité et l’étendue des « contre-mesures » et de décrire les compétences de la CERT.

 Considérant le rôle de l’OFCS, eAVS/AI mentionne que l’art. 8 s’applique, concernant la priorisation,

lorsqu’il s’agit de recueillir des informations supplémentaires en cas d’incident de sécurité. Les CFF suggèrent de clarifier le lien entre le signalement et la demande d’assistance. Swico se réjouit que l’OFCS soit chargé des conseils et de l’assistance. Il met toutefois en garde contre le risque que les prestations étatiques entrent en concurrence avec les offres privées en cas d’attaque de faible priorité.

❖ Art. 8, al. 1 : priorités et critères

 digitalswitzerland souhaite une liste de critères spécifiques et une gradation des scénarios de dom-

mages concrets afin d’établir les priorités. GE propose de compléter les critères de gestion des priorités. UR recommande de classer les entreprises et les organisations soumises à l’obligation de signaler par ordre de priorité, selon leurs fonctions. Les CFF demandent quant à eux de procéder à une priorisation claire en cas de manque de capacité. Enfin, l’AES souhaite que les critères de priorités soient définis avec transparence, sur la base de la liste des infrastructures critiques de l’Office fédéral de la protection de la population (OFPP).

 En ce qui concerne la communication des priorités, GE propose de créer un al. 3 qui prévoirait ce

qui suit : « Il communique alors aux parties concernées les priorités définies. ».

❖ Art. 8, al. 2 : prise en compte des intérêts publics

 À propos de l’art. 8, al. 2, Digitalswitzerland fait observer qu’une liste des critères spécifiques ou

qu’une gradation des scénarios de dommages concrets pour l’établissement des priorités constituerait une aide importante pour l’économie numérique.