Rapport sur les résultats

❖ Art. 19, al. 2 : informations supplémentaires

 GE propose une nouvelle formulation pour faciliter la compréhension : « ...des informations sur l’éventualité ou la réalité d’un chantage, ainsi que d’une dénonciation pénale. ».

 NEDIK fait observer que le signalement devrait également mentionner l’autorité auprès de laquelle une plainte pénale a été déposée.

 SwissICT conseille de supprimer l’art. 19, al. 2, sans le remplacer ou de demander ces informations de manière facultative dans le formulaire de signalement.

❖ Art. 19, al. 3 : conséquences de la cyberattaque

 L’UVS demande quelle est la différence entre « élevé » et « grave » dans le rapport explicatif et propose des formulations alternatives.

 L’aéroport de ZH recommande de mentionner que le signalement doit contenir la fonction des unités touchées.

 Swiss Banking et Swiss FS-CSC proposent de désigner globalement le degré de gravité de l’attaque par léger, moyen ou grave.

 economiesuisse et scienceindustries estiment que l’art. 19, al. 3, est trop rigide et va au-delà des dispositions légales. Ils demandent sa suppression.

 L’AES précise que l’art. 19, al. 3 se réfère aux « unités touchées de l’autorité ou de l’organisation » et que, par conséquent, les « systèmes attaqués » doivent aussi être ajoutés aux informations mentionnées à l’art. 19, al. 1.

 Migros conseille également de supprimer cet alinéa, vu que les informations pertinentes en cas d’urgence dépendent fortement du contexte.

❖ Art. 19, al. 4 : voie de signalement

 L’aéroport de ZH propose que les organisations soumises à l’obligation de signaler utilisent exclusivement le système de communication de l’OFCS pour émettre leur signalement et que les entreprises non assujetties à l’obligation de signaler puissent aussi signaler une cyberattaque à l’OFCS.

 GE recommande d’ajouter un al. 4 à la let. c, dont la formulation serait la suivante : les coordonnées de l’unité chargée de la cybersécurité au sein de l’organisation ou de l’autorité.

❖ Observations générales sur l’art. 19

 Pour garantir que seuls les incidents pertinents sont signalés à l’OFCS, LU recommande d’introduire des catégories de signalement basées sur les conséquences de l’événement : incident mineur (aucun signalement ou alors optionnel), incident moyen (signalement obligatoire dans la semaine) et incident majeur (signalement obligatoire dans les 24 heures).

 VS propose de centraliser les signalements des cyberattaques à l’OFCS afin d’éviter les signalements multiples à différents services fédéraux.