Rapport sur les résultats

❖ Autres propositions et observations

 L’UVS demande s’il est prévu de compléter les « Conditions générales pour les prestations TIC ». Elle relève que le rapport explicatif est difficile à comprendre en ce qui concerne cet article.

 BE propose de préciser la phrase introductive afin de distinguer les exploitants d’infrastructures critiques des autorités et des organisations : « Les autorités, organisations et exploitants d’infrastructures critiques suivants sont exemptés de l’obligation de signaler aux conditions ci-après : ... . ».

 GE fait remarquer qu’il n’est pas clair à l’art. 16, al. 1, let. b, si les deux conditions sont cumulatives ou alternatives.

 GR recommande de tenir compte, lors de la définition de la taille des institutions, du risque d’effets en cascade d’un incident lié aux données.

 SO trouve que les exceptions à l’obligation de signaler prévues sont cohérentes et compréhensibles.

 VS propose d’inverser l’ordre des let. c et d de l’art. 16, al. 1, pour qu’il corresponde à celui de la LSI.

 Swiss Banking et Swiss FS-CSC conseillent d’éviter les renvois directs à la législation de l’UE (cf. art. 16, al. 1, let. c, ch. 1 et 2, P-OCyS). Comme celle-ci est souvent adaptée, les renvois ne sont pas pertinents, ce qui entraîne un flou juridique.

 CH++ déplore l’absence de réglementation sur la gestion des risques cumulés.

3.3.2.17 Art. 17 (Obligation de documenter en cas de demande de renseignements sur l’as-

sujettissement à l’obligation de signaler)

Art. 17 Obligation de documenter en cas de demande de renseignements sur l’assujettissement à l’obligation de signaler

Les autorités et les organisations intéressées sont tenues de mettre à la disposition de l’OFCS tout document dont il a besoin pour fournir des renseignements sur l’assujettissement à l’obligation de signaler.

Un participant s’est exprimé sur cette disposition et sur la formulation de l’art. 17 qu’il juge imprécise.

 Le PNR 77/EPFZ/UNIL désapprouve la formulation peu claire du titre de l’art. 17, du moins dans la version française. Il propose d’utiliser des formulations alternatives telles que « Obligation de mettre à disposition des informations », « Obligation de collaborer » ou « Obligation d’information ».

3.3.2.18 Art. 18 (Cyberattaques à signaler)

Art. 18 Cyberattaques à signaler

¹Le fonctionnement d’une infrastructure critique est mis en péril lorsque:

a. des collaborateurs ou des tiers sont touchés par des interruptions de système, ou

b. l’organisation ou l’autorité touchée ne peut maintenir ses activités qu’à l’aide de plans d’urgence.

²Une manipulation ou une fuite d’informations est avérée lorsque:

a. des informations importantes pour les affaires sont modifiées ou publiées par des personnes non autorisées;