Rapport sur les résultats

b. une violation de la sécurité de données est signalée conformément à l’art. 24 de la loi fédérale du 25 septembre 2020 sur la protection des données.

³Une cyberattaque est considérée comme étant indétectée pendant une période prolongée si elle s’est produite plus de 90 jours auparavant.

⁴Une cyberattaque est considérée comme étant liée à d’actes de chantage, de menace ou de contrainte lorsque de tels agissements sont dirigés contre une autorité ou une organisation assujettie à l’obligation de signaler, leurs responsables ou leurs collaborateurs, en poste ou anciens, ou contre des personnes agissant pour elle.

33 participants à la consultation ont donné leur avis sur les cyberattaques à signaler. Aucun d’entre eux n’a rejeté l’art. 18 et les opinions exprimées contiennent pour la plupart des propositions de précision, d’extension ou d’adaptation de l’article.

❖ Art. 18, al. 1 : définition des cyberattaques à signaler

 De nombreux participants à la consultation ont demandé des précisions relatives à l’obligation de signaler :

o L’asut et Salt proposent de limiter l’obligation de signaler aux incidents qui ont un impact direct sur le fonctionnement de l’infrastructure critique.

o L’aéroport de ZH demande que seules les cyberattaques réussies ayant des répercussions fonctionnelles soient signalées.

o economiesuisse et scienceindustries relèvent qu’il ne faudrait signaler que les attaques réussies entraînant des répercussions fonctionnelles.

o S’agissant de l’art. 18, al. 1, let. a, BL fait remarquer qu’il convient de préciser la notion d’« interruptions de système ». En effet, une interruption du système comptable due à l’utilisation d’une IA n’aura par exemple guère d’impact sur le fonctionnement principal du système.

o H+ trouve que la formulation est trop générale et qu’elle devrait être spécifiée.

o GR demande de définir plus précisément le moment auquel une cyberattaque est avérée et de mentionner explicitement les principaux signes d’une attaque sur le point de survenir.

o L’ACS souhaite des précisions concernant la définition des cyberattaques à signaler.

o Les CFF critiquent les formulations qu’ils jugent trop génériques et trop globales et demandent qu’elles soient précisées et limitées.

o L’ASA estime qu’il ne faudrait signaler que les interruptions de système déclenchées intentionnellement.

o Swico propose d’indiquer clairement qu’il doit s’agir d’événements menaçant directement le fonctionnement de l’infrastructure.

o SwissICT suggère de pondérer la définition de la mise en péril du fonctionnement, qu’il considère trop générale.