Rapport sur les résultats

1 Contexte

Le 22 mai 2024, le Conseil fédéral a adopté le projet d’ordonnance sur la cybersécurité (OCyS) et le rapport explicatif. Il a chargé le Département fédéral de la défense, de la protection de la population et des sports (DDPS) de mener une procédure de consultation. Celle-ci a duré du 22 mai 2024 au 13 septembre 2024. La liste de tous les participants à la consultation, avec les abréviations utilisées ci-après, se trouve en annexe.

69 prises de position ont été données :

69 Total des avis reçus

23 Gouvernements cantonaux

3 Conférences cantonales et commissions fédérales

4 Partis

2 Associations faîtières des communes et des villes œuvrant au niveau national

19 Associations œuvrant au niveau national

12 Entreprises concernées

7 Autres milieux concernés

Les prises de position sont mises en ligne sur la plateforme de publication du droit fédéral « Fedlex »¹.

2 Objet du projet soumis à consultation

Le 11 décembre 2020, le Conseil fédéral a chargé le Département fédéral des finances (DFF) d’élaborer les bases légales nécessaires à l’introduction d’une obligation de signaler les cyberattaques visant les infrastructures critiques. Le Conseil fédéral a ensuite adopté le 2 décembre 2022 le projet concernant ces bases légales et le message relatif à la modification de la loi du 18 décembre 2020 sur la sécurité de l’information (LSI)² établi à l’intention du Parlement. Ce dernier a ensuite approuvé les modifications de la LSI le 29 septembre 2023³; le délai référendaire a expiré le 18 janvier 2024 sans avoir été utilisé.

Le projet d’ordonnance faisant l’objet du présent rapport contient d’une part les dispositions d’exécution du chapitre 5 de la LSI dans sa version révisée concernant l’obligation de signaler les cyberattaques menées contre les infrastructures critiques. D’autre part, il règle des aspects organisationnels en rapport avec la cybersécurité. Il est prévu que l’ordonnance entre en vigueur en même temps que le chapitre 5 révisé de la LSI le 1^erjanvier 2025.

La LSI est entrée en vigueur le 1^erjanvier 2024 – sans le chapitre révisé susmentionné concernant les tâches du nouvel Office fédéral de la cybersécurité (OFCS) et l’obligation de signaler les cyberattaques visant les infrastructures critiques. L’ordonnance du 27 mai 2020 sur les cyberrisques (OPCy)⁴ a également été abrogée à cette date⁵. Les dispositions qu’elle contenait ont été en partie transférées dans la LSI révisée (notamment les définitions). Les dispositions de l’OPCy qui portaient sur la sécurité informatique de la Confédération ont été reprises dans l’ordonnance du 8 novembre 2023 sur la sécurité de l’information

(OSI)⁶. Les tâches du Centre national pour la cybersécurité (NCSC) définies dans l’OPCy – notamment celles relatives à l’économie et à la population – ne sont pas ancrées dans l’OSI, car la révision de la LSI leur donne une nouvelle base légale. Par ailleurs, le NCSC a été transféré à l’OFCS au sein du DDPS le 1^erjanvier 2024. Pour cette raison, des dispositions organisationnelles sur l’OFCS figurent à l’art. 15a, al. 1

²RS 128

³FF 2023 2296

4 RS 120.73

⁵RO 2023 735 (annexe 2, ch. I)

6 RS 128.1