Rapport sur les résultats

 Swiss Banking, Swiss FS-CSC, digitalswitzerland, economiesuisse et scienceindustries proposent d’étendre l’accès à toutes les organisations et à toutes les autorités soumises à l’obligation de signaler, que leur siège se trouve en Suisse ou non. Ils soutiennent que cela est nécessaire pour renforcer la cyberrésilience sur la place économique suisse et pour faciliter les échanges transfrontaliers pour les entreprises internationales.

❖ Fonctionnalité et mise en œuvre du système de communication

 Swico accueille favorablement le système de communication central permettant l’échange sécurisé d’informations, mais souligne la nécessité d’avoir des normes de sécurité élevées.

 BE exige de clarifier la délimitation entre les systèmes mentionnés aux art. 11 et 12. Il affirme que ni les normes, ni le rapport explicatif ne donnent une explication claire et compréhensible de la délimitation entre les deux systèmes, des différentes utilisations prévues et des objectifs.

 L’ACS relève l’importance d’un accès facile sur le plan pratique et d’un enregistrement simple et non bureaucratique pour participer à l’échange d’informations. Elle demande à l’OFCS de veiller à ce que la mise en œuvre de l’ordonnance permette un accès facile.

 Les CFF déplorent un manque de clarté concernant les responsabilités en matière de surveillance des nouvelles menaces sur la plateforme de communication de l’OFCS et sur les droits d’accès. Ils souhaitent que ces points soient clarifiés.

❖ Propositions d’élargissement et de précision

 BE recommande d’introduire, pour les organisations et les autorités assujetties à l’obligation de signaler et pour les exploitants d’infrastructures critiques, l’obligation de s’enregistrer dans le système de communication permettant l’échange sécurisé d’informations ou dans les systèmes d’information permettant l’échange automatique.

 L’ASA souligne qu’il est important que l’OFCS établisse un rapport détaillé régulier (anonyme) sur les signalements reçus. La branche des assurances considère que cet aspect est crucial pour contribuer à augmenter la cyberrésilience de l’économie suisse et la pénétration de l’assurance.

 Selon eAVS/AI, l’OFCS pourrait exercer une fonction d’interface selon le principe « Once Only »

dans le cadre de la mise en œuvre de l’obligation de signaler.

 Switch recommande de concrétiser la subsidiarité de l’OFCS dans certains cas et d’ajouter un alinéa supplémentaire qui définisse le principe de la responsabilité individuelle des exploitants privés en matière de cybersécurité.

3.3.2.12 Art. 12 (Systèmes d’information permettant l’échange automatique)

Art. 12 Systèmes d’information permettant l’échange automatique

¹L’OFCS met à la disposition des exploitants d’infrastructures critiques des systèmes d’information permettant l’échange automatique d’informations techniques sur les cybermenaces et les cyberincidents.

²L’OFCS est responsable de la sécurité des systèmes d’information et de la légalité du traitement des données.

Cinq participants à la consultation se sont exprimés sur cette disposition. Ils demandent que le texte de l’ordonnance soit plus clair et plus précis. Leurs propositions concernent également les normes de sécurité, la protection des données et l’accès au système d’information et son utilisation.