Rapport sur les résultats

 La FER relève que l’évaluation des conséquences des cyberattaques peut être subjective et varier d’une organisation à l’autre.

 Selon ISSS, il faudrait faire une distinction entre le contenu du signalement initial et, selon la classification de l’incident, les autres contenus.

 Les CFF considèrent que les informations demandées sont en partie illusoires et irréalistes. Ils demandent que l’article soit adapté de sorte qu’un signalement puisse se faire même si toutes les données ne sont pas disponibles.

 L’ASA recommande d’harmoniser le seuil d’entrée des signalements entre la LSI et la LPD.

 L’aéroport de ZH exige que l’OFCS ne puisse pas transmettre des informations aux autorités de poursuite pénale et à d’autres autorités sans l’accord de l’autorité ou de l’organisation soumise à l’obligation de signaler.

 Switch propose de concrétiser la disposition à plusieurs égards, notamment en fixant une limite temporelle et une limite relative au nombre de personnes concernées.

3.3.2.20 Art. 20 (Transmission du signalement)

Art. 20 Transmission du signalement

Dans le cas où le signalement n’est pas transmis au moyen du système de communication de l’OFCS, ce dernier informe la personne de contact visée à l’art. 13, al. 2, let. b, de la réception et du contenu du signalement.

Cinq participants à la consultation se sont exprimés sur la transmission du signalement et aucun n’a rejeté la disposition. Les prises de position contiennent des demandes de compléments et de précision.

❖ Signalement par l’intermédiaire d’organisations tierces

 Switch propose qu’une ou plusieurs entreprises puissent décider, individuellement ou conjointement, de transmettre leurs signalements par l’intermédiaire d’une organisation tierce spécialisée qui prendrait également en charge la réponse aux incidents.

 swissuniversities conseille d’ajouter à l’art. 20 un alinéa mentionnant qu’une ou plusieurs entreprises peuvent décider individuellement ou conjointement de signaler des incidents par le biais d’une organisation tierce spécialisée. Ils proposent une formulation concrète à cet effet : «² Une ou plusieurs autorités ou organisations assujetties à l’obligation de signaler peuvent décider d’externaliser, individuellement ou collectivement, le processus de signalement à une organisation tierce spécialisée. ».

❖ Anonymat des signalements

 economiesuisse, scienceindustries et digitalswitzerland proposent d’adapter la formulation afin de garantir l’anonymat des signalements de tiers. Ils recommandent également une formulation n’autorisant la communication des coordonnées que dans les cas où cela est nécessaire pour protéger la cybersécurité : « Dans le cas où un signalement n’est pas transmis au moyen du système de communication de l’OFCS, ce dernier informe la personne de contact visée à l’art. 13, al. 2, let b, d’une organisation enregistrée et concernée par le signalement de la réception et du contenu du signalement, sans toutefois dévoiler les coordonnées de l’organisation ou de la personne ayant effectué le signalement, à moins que ces coordonnées ne soient également nécessaires pour protéger la cybersécurité. ».