Rapport sur les résultats

 En ce qui concerne les exceptions pour les hautes écoles et les autres institutions, Switch propose

d’exempter dans certains cas les hautes écoles et les registraires de l’obligation de signaler. Il serait en effet disproportionné de soumettre systématiquement ces catégories à l’obligation de signaler. swissuniversities recommande d’introduire pour les hautes écoles des valeurs seuils basées sur différents critères tels que la taille, l’infrastructure et les systèmes de recherche.

 Swiss Banking et Swiss FS-CSC suggèrent de dispenser les organisations et les autorités de l’obli-

gation de signaler les cyberattaques lorsque ces dernières n’ont qu’un impact mineur sur les activités des établissements financiers. Cette exception pourrait être formulée comme suit dans l’al. 1,

let. d^bis: « d^bisles entreprises visées à l’art. 74b, al. 1, let. e, LSI, pour autant que les cyberattaques n’aient qu’un impact mineur sur l’activité de l’entreprise et qu’il ne s’agisse pas, en particulier, d’attaques réussies ou partiellement réussies contre des fonctions critiques dont la défaillance ou la perturbation affecterait fortement la protection des clients ou le fonctionnement des marchés. ». Cette disposition peut être concrétisée par une ordonnance de la FINMA ou par une autoréglementation des associations compétentes.

 Les CFF sont d’avis qu’ils faudrait reconsidérer les exceptions prévues pour les petits chemins de

fer, les exploitants de gazoducs et les entreprises d’électricité, étant donné que ceux-ci peuvent également être touchés par des attaques en rapport avec la sécurité.

 CH++ et H+ estiment que les hôpitaux devraient être soumis à l’obligation de signaler, quelle que

soit leur taille.

 L’ASIP demande un élargissement des exceptions à l’obligation de signaler pour toutes les institu-

tions de prévoyance enregistrées et non enregistrées (avec ou sans prestations réglementaires) gérant jusqu’à 30 000 assurés. Elle estime que la responsabilité de la cybersécurité devrait incomber à l’organe suprême de l’institution de prévoyance et ne pas être inutilement limitée par des dispositions légales.

 Swissgrid souhaite que les fournisseurs de prestations gérant des systèmes de mesure et de com-

mande intelligents soient aussi concernés, pour autant qu’ils remplissent certaines valeurs limites.

❖ Art. 16, al. 2 : exceptions pour les petites structures

 Le BFC s’interroge sur la pertinence de la notion de « petites structures » comme critère d’exception

à l’obligation de signaler et pense qu’il serait indiqué de prendre en compte d’autres éléments comme la taille de la clientèle concernée.

 economiesuisse, scienceindustries et Swico suggèrent que les entreprises et autres organisations

de droit privé employant moins de 250 collaborateurs soient exemptées de l’obligation de signaler. Elles proposent de modifier l’art. 16, al. 2, comme suit : «² Les entreprises visées à l’art. 74b, al. 1, let. f, g, h, l et p, LSI, auxquelles l’al. 1 n’est pas applicable, sont exemptées de l’obligation de signaler pour autant qu’elles emploient moins de 50 personnes dans le domaine concerné et si leur chiffre d’affaires annuel ou le total de leur bilan annuel dans le domaine concerné n’excède pas 10 millions de francs emploient moins de 250 collaborateurs au 1^erjanvier de chaque année. ».

 SwissICT recommande de supprimer les exceptions basées sur le nombre de collaborateurs et le

chiffre d’affaires d’une entreprise. En effet, elles pourraient compromettre le sens et l’objectif de l’obligation de signaler.