Rapport sur les résultats

o Migros affirme que toutes les interruptions de système ne mettent pas en péril le fonctionnement d’une infrastructure critique. Aussi, elle propose de ne signaler que les interruptions d’un « système critique pour l’entreprise. ».

 Certains participants à la consultation exigent de prendre en compte le degré de gravité. Ainsi, digi-

talswitzerland, la SUVA et la Poste CH SA suggèrent de tenir compte du degré de gravité d’une cyberattaque à signaler, afin de réduire le travail administratif.

 Les participants à la consultation demandent également la précision de certains termes :

o NEDIK affirme que l’ordonnance devrait définir et délimiter plus précisément ce que l’on entend par « défaillance du système ».

o GE propose de préciser dans le rapport explicatif ce qu’il faut comprendre par « part importante ».

o GL recommande d’indiquer plus clairement dans le rapport explicatif que les interruptions de système ne doivent être signalées à l’OFCS que dans le cadre d’une cyberattaque.

❖ Art. 18, al. 2 : manipulation ou fuite d’informations

 Le BFC fait remarquer qu’il est possible de détecter une fuite d’informations avant que les informa-

tions ne soient publiées par des personnes non autorisées.

 Le PNR 77/EPFZ/UNIL trouve que le renvoi à la LPD n’est pas idéal. En effet, la LPD prévoit aussi

le signalement des violations non intentionnelles de la sécurité des données.

 S’agissant de l’art. 18, al. 1, let. a, l’ASA estime que seules les interruptions de système provoquées

intentionnellement devraient être signalées et qu’il faudrait ainsi ajouter à l’art. 18, al. 2, qu’il y a manipulation ou fuite d’informations lorsque des informations importantes pour les affaires sont modifiées, publiées et, dans ce cadre, « dérobées, détruites, désactivées ou traitées d’une autre manière par des personnes non autorisées, ce qui a des répercussions à moyen ou long terme sur des applications ou des systèmes essentiels. ». Elle propose par ailleurs de compléter l’art. 18, al. 2, let. c, par une dernière partie de phrase « qui entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. ».

 Swiss Banking et Swiss FS-CSC suggèrent de préciser les formulations afin de se concentrer systé-

matiquement sur les cyberattaques et de laisser de côté d’autres aspects comme ceux qui ont trait à la protection des données.

❖ Art. 18, al. 3 : délai de 90 jours

 ZH pense qu’il serait souhaitable d’avoir une réglementation de base qui indique quels fichiers log

peuvent être conservés et pendant combien de temps.

❖ Art. 18, al. 4 : obligation de signaler en cas d’extorsion, de menace ou de contrainte

 BE propose d’étendre l’obligation de signaler aux anciens responsables et aux anciens collabora-

teurs d’une autorité ou d’une organisation assujettie à l’obligation de signaler en cas d’extorsion, de menace ou de contrainte ou de renoncer complètement à cette catégorie de personnes.