Rapport sur les résultats

 Les CFF demandent de limiter la portée de l’art. 18, al. 4, afin de ne signaler que les cyberattaques pénalement répréhensibles et crédibles.

❖ Autres observations relatives à l’art. 18

 Le MPC recommande que l’OFCS signale automatiquement aux autorités de poursuite pénale les cyberattaques susceptibles de constituer des infractions.

 ISSS critique le fait que les différents alinéas ne contiennent pas de termes tels que « notamment » ou d’autres formulations similaires qui indiqueraient une énumération non exhaustive.

 Le Centre précise que le cercle des destinataires doit être suffisamment large pour que l’obligation de signaler puisse déployer tous ses effets.

 SH trouve que la formulation de l’art. 18 est trop courte. Il désapprouve le fait que l’obligation de signaler ne soit pas explicitement mentionnée.

 UR estime que les communes ayant une petite population intégrées dans l’un des deux réseaux de centres de calcul ne devraient pas être exemptées de l’obligation de signaler.

 La CMP propose d’ajouter un al. 5 qui indiquerait que l’OFCS est tenu de dénoncer au moins les cas visés à l’al. 4 aux autorités de poursuite pénale compétentes.

 swissuniversities attire l’attention sur le fait que les hautes écoles doivent se coordonner avec

Switch-CERT en cas de signalement à l’OFCS.

3.3.2.19 Art. 19 (Contenu du signalement)

Art. 19 Contenu du signalement

¹Le signalement d’une cyberattaque contient les informations suivantes:

a. la date et l’heure de la constatation de l’attaque;

b. la date et l’heure de l’attaque;

c. le type d’attaque;

d. les méthodes d’attaque, et

e. les données sur l’agresseur.

²Il contient aussi des informations sur l’éventualité d’un chantage, d’une menace ou d’une contrainte en lien avec l’attaque et d’une dénonciation pénale.

³Il contient des informations sur les conséquences de la cyberattaque, à savoir:

a. les unités touchées de l’autorité ou de l’organisation;

b. la gravité du préjudice sur la disponibilité, l’intégrité et la confidentialité des informations propres et de celles de tiers, et

c. les effets sur le fonctionnement des unités touchées de l’autorité ou de l’organisation.

⁴Dans le cas où le signalement n’est pas transmis au moyen du système de communication de l’OFCS, il doit aussi contenir des informations sur l’autorité ou l’organisation assujettie à l’obligation de signaler, à savoir:

a. la raison sociale, le nom ou la désignation et l’adresse, et

b. les coordonnées de l’auteur du signalement.