Rapport sur les résultats

30 participants à la consultation se sont exprimés sur le contenu du signalement et aucun n’a rejeté complètement cette disposition.

❖ Art. 19, al. 1 : contenu du signalement

 De nombreux participants à la consultation ont demandé des précisions dans le texte de l’ordon-

nance concernant l’étendue et la nature des informations à communiquer :

o BE et le PNR 77/EPFZ/UNIL proposent de remplacer « Angaben zum Verursacher » (données sur l’agresseur) par « Angaben zum Angreifer » (données sur l’attaquant).

o GE recommande de compléter l’art. 19, al. 1, let. e, par « lorsqu’elles sont disponibles ».

o Afin de tenir compte des attaques visant la chaîne d’approvisionnement et de permettre à l’OFCS d’évaluer correctement la menace nationale, ZH suggère d’ajouter l’information suivante au contenu du signalement : « les fournisseurs de prestations ou les autres tiers impliqués. ».

o Migros propose de regrouper les let. c et d qui se rapportent au « type d’attaque » et aux « méthodes d’attaque ».

o L’AES suggère d’ajouter « les systèmes attaqués » à la liste des informations à communiquer.

o Le PLR trouve que la liste des informations est trop longue et difficile à comprendre.

o Swiss Banking et Swiss FS-CSC recommandent de compléter l’article afin d’assouplir les exigences relatives au contenu du signalement et de se baser sur les connaissances dont on peut raisonnablement disposer.

o La Poste CH SA et digitalswitzerland considèrent qu’il est problématique de donner des informations sur l’agresseur. Elles proposent donc de les demander seulement s’il est possible de les déterminer sans recourir à des procédures forensiques complexes.

o NEDIK relève qu’il n’y a aucune indication quant à la classification à attribuer au signalement en vue de la transmission de l’information et recommande de la définir clairement dès le début.

o Primeo trouve qu’il faudrait également indiquer dans le signalement quel domaine des TO est concerné par l’attaque.

o Swissgrid propose de n’exiger des informations sur l’agresseur que « si elles sont connues » et d’inclure également dans le signalement des informations sur les systèmes attaqués.

 S’agissant des aspects relatifs à la protection des données et aux données personnelles, l’asut, Salt,

Switch et Sunrise font remarquer que le signalement peut aussi comprendre des données personnelles. Ils recommandent de concevoir les procédures de telle sorte que les données personnelles ne soient transmises qu’en cas d’incidents avérés.