Rapport sur les résultats

 BE suggère de rédiger l’al. 1 comme suit : «¹ L’OFCS veille à coordonner la divulgation des vulnérabilités. ».

 En ce qui concerne le moment de la divulgation, economiesuisse et scienceindustries proposent qu’elle n’ait lieu qu’une fois les vulnérabilités éliminées.

❖ Art. 9, al. 2 : délai d’élimination des vulnérabilités

 digitalswitzerland, l’asut, Salt, economiesuisse, scienceindustries et Swico souhaitent un assouplissement du délai. economiesuisse, scienceindustries et Swico proposent de mentionner dans le texte de l’ordonnance un « délai raisonnable » au lieu du « délai de 90 jours », jugé rigide. L’asut et Salt demandent toutefois que l’on précise que le délai raisonnable doit être d’au moins 90 jours.

 S’agissant de la spécification des destinataires, H+ propose de préciser qu’il s’agit de fabricants de matériel informatique ou de logiciels des infrastructures critiques. SwissICT demande pour sa part d’ajouter les exploitants en tant que personnes potentiellement tenues d’éliminer les problèmes.

❖ Art. 9, al. 3 : information en cas de cybermenace aiguë

 BE recommande de formuler l’art. 9, al. 3, comme suit pour une meilleure compréhension : «³ S’il a connaissance d’une vulnérabilité qui représente une cybermenace aiguë pour certaines infrastructures critiques, il en informe immédiatement leurs exploitants, avant même l’élimination ou la divulgation de celle-ci. ».

❖ Art. 9, al. 4 : réduction ou prolongation du délai

 CH++ propose de formuler l’art. 9, al. 4, de façon plus stricte afin de garantir que les délais ne soient pas prolongés dans un trop grand nombre de cas.

 Swico suggère de consulter le fabricant avant de raccourcir le délai. Il demande que l’art. 9, al. 4,

soit formulé de la manière suivante : « Il [l’OFCS] peut raccourcir le délai après avoir consulté le fabricant lorsque l’élimination de la vulnérabilité ... . ».

 Le BFC relève qu’il peut y avoir une contradiction entre « raccourcir le délai si la vulnérabilité peut être facilement exploitée » et « prolonger le délai lorsque l’élimination de la vulnérabilité s’avère particulièrement complexe. ».

❖ Art. 9, al. 5 : information des exploitants d’infrastructures critiques

 CH++ suggère d’affiner la formulation pour ne pas donner l’impression que le DDPS pourrait retenir des informations sur des failles de sécurité dans des situations à risque pour pouvoir éventuellement les utiliser de manière offensive. CH++ propose de modifier comme suit la formulation potestative de l’art. 9, al. 5 : « Il informe en principe les exploitants d’infrastructures critiques de la présence de vulnérabilités avant même l’élimination ou la divulgation de celles-ci. ».

 Tant Migros (information immédiate) que l’aéroport de ZH (information obligatoire dans les

72 heures) souhaitent que l’information soit donnée plus rapidement.

 NEDIK recommande que l’OFCS informe en principe les exploitants avant l’élimination ou la divulgation de la vulnérabilité, tout en ayant la possibilité d’attendre dans certains cas.