Rapport sur les résultats

3.3.2.9 Art. 9 (Divulgation coordonnée des vulnérabilités)

Art. 9 Divulgation coordonnée des vulnérabilités

¹L’OFCS veille à coordonner la divulgation des vulnérabilités selon les normes internationales reconnues.

²Il fixe au fabricant du matériel informatique ou du logiciel concerné un délai de 90 jours pour éliminer les vulnérabilités.

³Il peut raccourcir ce délai si la vulnérabilité:

a. met en péril le fonctionnement d’infrastructures critiques;

b. peut être très facilement exploitée pour une cyberattaque, ou

c. touche des systèmes très répandus.

⁴Il peut prolonger le délai lorsque l’élimination de la vulnérabilité s’avère particulièrement complexe.

⁵Il peut informer les exploitants d’infrastructures critiques de la présence de vulnérabilités avant même l’élimination ou la divulgation de celles-ci.

⁶Les al. 1 à 4 ne s’appliquent pas aux vulnérabilités découvertes par l’Office fédéral de la communication (OFCOM) dans le cadre de ses contrôles de surveillance (art. 36 ss de l’ordonnance du 25 novembre

2015 sur les installations de télécommunication). Dans de tels cas, l’OFCOM informe l’OFCS.

⁷L’OFCS peut informer immédiatement l’OFCOM des vulnérabilités dans les installations de télécommunication selon à l’art. 3, let. d, de la loi du 30 avril 1997 sur les télécommunications.

Cet article a suscité de nombreuses réactions. 25 participants à la consultation se sont exprimés sur la divulgation coordonnée des vulnérabilités.

❖ Observations générales sur l’art. 9

 Concernant la définition et la gestion des vulnérabilités, SH fait remarquer de manière générale qu’il faut donner aux fabricants un délai d’élimination des vulnérabilités suffisant avant de les rendre publiques. Swiss Banking, Swiss FS-CSC et les CFF demandent de définir le terme « vulnérabilité ». Les CFF souhaitent par ailleurs des clarifications relatives aux délais d’élimination des vulnérabilités, à la communication entre l’OFCS et l’Office fédéral des transports (OFT), à la délimitation de l’obligation de signaler entre fabricants et exploitants et au lien entre fabricants et exploitants.

 Le Centre considère que le rôle et les tâches de l’OFCS sont appropriés et nécessaires.

 Le PNR 77/EPFZ/UNIL recommande de concrétiser, au niveau de l’ordonnance, les conséquences en cas de non-élimination.

 SwissICT craint une charge de travail supplémentaire pour les fabricants et exprime des réserves par rapport aux risques liés à la confidentialité.

❖ Art. 9, al. 1 : principe de la divulgation coordonnée

 Le PS approuve expressément la réglementation et y voit une nette amélioration par rapport à la situation actuelle.

 L’asut, Salt, digitalswitzerland et ZG proposent que le texte de l’ordonnance tienne compte des meilleures pratiques en plus des normes internationales. L’asut, Salt et digitalswitzerland conseillent de formuler l’art. 9, al. 1, de la manière suivante : «¹ Après leur élimination, l’OFCS veille à coordonner la divulgation des vulnérabilités selon les normes internationales reconnues et les meilleures pratiques. ». ZG demande également d’élargir le champ d’application aux exploitants et aux services.