Rapport sur les résultats

 Swico est favorable au fait que les fournisseurs de prestations des exploitants d’infrastructures critiques puissent avoir accès, sur une base volontaire, aux systèmes d’information mentionnés. L’association estime qu’il est judicieux de prévoir une annonce par les exploitants qui débouche sur l’enregistrement du fournisseur de prestations.

❖ Art. 14, al. 2 : enregistrement des fournisseurs de prestations

 Swico propose de remplacer, à l’art. 14, al. 2, les termes « coordonnées de la personne ayant procédé à l’enregistrement » par « coordonnées d’une ou de plusieurs personnes de contact » : «² Les fournisseurs de prestations doivent s’enregistrer en indiquant leur raison sociale ou leur nom ainsi que et les coordonnées de la personne ayant procédé à l’enregistrement les coordonnées d’une ou de plusieurs personnes de contact ». Selon l’association, la formulation actuelle pourrait impliquer une responsabilité de la personne ayant procédé à l’enregistrement, ce qu’il faut éviter.

3.3.2.15 Art. 15 (Transmission et utilisation des informations)

Art. 15 Transmission et utilisation des informations

¹Les entreprises et les autorités enregistrées transmettent des informations à l’OFCS en indiquant si et à qui elles peuvent être retransmises, dans la mesure où la loi ne prévoit pas un tel processus.

²L’OFCS décide de la publication des informations destinées à être transmises sur le système de communication et sur les systèmes d’information en vue de l’échange automatique.

³Les destinataires doivent garantir la protection des informations qu’ils reçoivent.

⁴Les fournisseurs de prestations des exploitants d’infrastructures critiques peuvent utiliser les informations qu’ils reçoivent exclusivement à des fins de protection desdites infrastructures.

Au total, douze participants à la consultation se sont penchés sur la disposition relative à la transmission et à l’utilisation des informations. Aucun ne l’a rejetée. Les prises de position contiennent globalement des propositions de précision, d’extension ou d’adaptation de l’article.

❖ Observations générales sur l’art. 15

 SH s’attend à ce qu’une équipe de soutien spécialisée effectue non seulement un filtrage, mais aussi une catégorisation des signalements. Il est proposé de mettre en place une autorité fédérale centrale disposant d’une expertise claire et jouant un rôle de conseil au niveau national.

 Swissgrid se demande quelles seront les conséquences en cas de non-respect de la classification TLP et quelle sera la procédure à suivre si le fournisseur d’informations ne définit pas le cercle des destinataires. Elle souhaite des compléments à ce propos dans l’ordonnance ou dans le rapport explicatif.

 Le PNR 77/EPFZ/UNIL propose de préciser la disposition dans le sens que les entreprises et les autorités doivent indiquer, lors de la transmission d’informations, si celles-ci peuvent être transmises et à quelles catégories de destinataires conformément au protocole TLP. Il relève un possible conflit entre les al. 1 et 2 de l’art. 15 et recommande que cet aspect soit clarifié dans l’ordonnance. Le PNR 77/EPFZ/UNIL estime qu’il convient par ailleurs de préciser que l’OFCS ne peut publier des informations que lorsque cela est nécessaire à la protection des infrastructures critiques ou de la Suisse contre les cybermenaces.

❖ Art. 15, al. 1 : transmission des informations

 L’aéroport de ZH suggère que les entreprises et les autorités enregistrées déterminent quelles informations peuvent être transmises et à qui.