Rapport sur les résultats

 GR recommande qu’il soit possible, lors de la transmission, de déterminer quelles informations

peuvent être transmises. En effet, certaines d’entre elles doivent être partagées rapidement alors que d’autres le sont ultérieurement pour des raisons tactiques.

 NEDIK indique que la personne ayant procédé au signalement peut gérer elle-même le signalement

et que différentes classifications sont possibles. Il insiste sur l’importance d’une classification correcte et relève que les personnes ayant procédé au signalement devraient pouvoir limiter ou exclure la transmission d’informations relatives à certaines données.

 Swico souligne combien il est important que l’organisation ou l’autorité transmettant l’information dé-

termine si et à qui les informations peuvent être transmises, en tenant compte de la sensibilité des informations et de la relation de confiance nécessaire.

❖ Art. 15, al. 2 : publication et transmission des informations

 Le MPC propose de mentionner explicitement que l’OFCS sauvegarde les informations en vue de

leur transmission aux autorités de poursuite pénale.

 Swiss Banking et Swiss FS-CSC demandent de concrétiser les modalités de la transmission des si-

gnalements à l’OFCS. Si des signalements groupés sont adressés à différentes autorités, chacune d’entre elles ne devrait pouvoir lire que la partie qui lui est destinée. Ils proposent à cet effet de rajouter deux alinéas à l’art. 15. Le premier serait formulé comme suit : « ^1bisLe système mis à disposition par l’OFCS pour la transmission des signalements doit être conçu de sorte que les autorités connectées au système ne puissent lire et traiter que les contenus que l’organisation ayant procédé au signalement leur a destinés. ». Le deuxième alinéa proposé aurait la teneur suivante : « ^1ter S’agissant des contenus des signalements partagés par ce biais, l’OFCS décide de la publication ... [suite de l’art. 15, al. 2]. ».

 La CMP suggère de limiter la compétence de l’OFCS en matière de transmission d’informations pour

garantir une transmission complète des informations aux autorités de poursuite pénale.

 ZH recommande que l’OFCS soit tenu de transmettre les signalements de cyberattaques aux autori-

tés de poursuite pénale compétentes en vue d’une évaluation sous l’angle pénal. L’ordonnance devrait ainsi préciser la manière de traiter les informations relevant du droit pénal.

❖ Art. 15, al. 3 et 4 : protection et utilisation des informations

 VS trouve l’art. 15, al. 4, trop restrictif et propose que les fournisseurs de prestations puissent utiliser

les informations sur les vulnérabilités pour mieux protéger les autres clients.

 NEDIK rappelle que les autorités de poursuite pénale sont légalement tenues d’ouvrir des enquêtes

lorsqu’elles ont connaissance de délits poursuivis d’office. Il demande que l’OFCS s’assure que les informations publiées ne permettent pas d’identifier l’exploitant d’infrastructure critique concerné.

 Swico accueille favorablement l’obligation de protéger les informations devant être observée par les

destinataires et leur utilisation exclusive pour la protection des infrastructures critiques afin d’éviter les avantages d’une concurrence déloyale.