Rapport sur les résultats

3.3.2.16 Art. 16 (Exceptions à l’obligation de signaler)

Art. 16 Exceptions à l’obligation de signaler

¹Les autorités et les organisations ci-après sont exemptées de l’obligation de signaler lorsqu’elles remplissent les conditions suivantes:

a. les organes visés à l’art. 74b, al. 1, let. b et c, LSI sont responsables de moins de 1000 habitants; la population résidente est déterminante;

b. les entreprises visées à l’art. 74b, al. 1, let. d, LSI, pour autant qu’elles:

1. ne soient pas tenues, en tant que gestionnaires de réseau, producteurs d’électricité, exploitants de stockage d’électricité ou prestataires visé à l’art. 5a, al. 1, et l’annexe 1a de l’ordonnance du 14 mars 2008 sur l’approvisionnement en électricité, de respecter le niveau de protection A ou B,

2. attestent, en tant qu’exploitants de gazoducs visés à l’art. 2, al. 3, de l’ordonnance du 4 juin 2021 sur la sécurité des installations de transport par conduites, un transport annuel d’énergie de moins de 400 GWh en moyenne sur les cinq dernières années;

c. les entreprises visées à l’art. 74b, al. 1, let. n, LSI, pour autant qu’elles:

1. ne soient pas tenues d’installer un système de management de la sécurité de l’information visé aux art. 2 et 4 et à l’annexe II du règlement d’exécution (UE) 2023/203 ou à l’art. 2 et à l’annexe II du règlement délégué (UE) 2022/1645,

2. ne soient pas tenues d’appliquer les conditions du point 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998 dans leur programme de sûreté visé aux art. 2, 12, 13 ou 14 du règlement (CE) 300/2008;

d. les entreprises ferroviaires, les entreprises d’installations à câbles, de trolleybus, d’autobus et de navigation visées à l’art. 74b, al. 1, let. m, LSI, pour autant qu’elles:

1. ne soient pas chargées de tâches systémiques (art. 37 de la loi fédérale du 20 décembre 1957 sur les chemins de fer [LCdF]),

2. disposent d’une concession de transport de voyageurs visée à l’art. 6 de la loi du 20 mars 2009 sur le transport de voyageurs (LTV), mais ne fournissent pas de prestations commandées en commun par la Confédération et les cantons (art. 28 à 31c LTV),

3. disposent d’une concession d’infrastructure visée à l’art. 5 LCdF, mais qui n’a pas été octroyée en raison d’un intérêt public à la construction et à l’exploitation de l’infrastructure (art. 6, al. 1, let. a, LCdF);

e. les fournisseurs et les exploitants visés à l’art. 74b, al. 1, let. t, LSI dont le siège est en Suisse et qui ne fournissent pas de prestations, en tout ou en partie, à des tiers et contre rémunération.

²Les entreprises visées à l’art. 74b, al. 1, let. f, g, h, l et p, LSI pour lesquelles l’al. 1 ne s’applique pas sont dispensées de l’obligation de signaler, pour autant qu’elles emploient moins de 50 personnes dans le domaine concerné et que leur chiffre d’affaires annuel ou la somme inscrite au bilan annuel ne dépasse pas 10 millions de francs dans le domaine concerné.

Au total, 24 participants à la consultation se sont exprimés sur cette disposition et aucun ne l’a rejetée. Certains ont toutefois émis des critiques et proposé des modifications ou des compléments.

❖ Art. 16, al. 1 : exceptions générales à l’obligation de signaler

 AG, SZ, VD et SwissICT désapprouvent l’exception pour les communes de moins de 1000 habitants, ces dernières pouvant être plus vulnérables aux cyberattaques en raison de leurs ressources réduites. Comme ces communes sont reliées au réseau cantonal, les cyberattaques pourraient avoir des répercussions négatives sur l’infrastructure cantonale. Ces petites communes, souvent les plus vulnérables, sont importantes pour la détection précoce des cyberattaques et les exempter donnerait un mauvais signal. L’ACS est favorable à l’exception pour les communes de moins de 1000 habitants. Elle souligne cependant l’importance que revêtent les signalements volontaires et le soutien technique envers toutes les communes.