Rapport sur les résultats

3.3.2.21 Art. 21 (Délai de saisie du signalement)

Art. 21 Délai de saisie du signalement

¹Si toutes les informations nécessaires ne sont pas communiquées dans les 24 heures, l’OFCS accorde à l’autorité ou à l’organisation concernée un délai de 14 jours pour compléter le signalement.

²Si les informations nécessaires n’ont pas toutes été fournies dans le délai accordé, l’OFCS demande à l’autorité ou à l’organisation concernée de les compléter immédiatement ou de confirmer que les informations ne sont pas disponibles.

Dix participants à la consultation se sont exprimés sur la disposition relative au délai de saisie du signalement et aucun ne l’a rejetée. Les prises de position contiennent des propositions de compléments et de précision.

❖ Délai de 24 heures pour le premier signalement

 Le PNR 77/EPFZ/UNIL recommande d’affiner la formulation « dans les 24 heures suivant la découverte de la cyberattaque » afin de faciliter la compréhension pour les autorités et les organisations assujetties à l’obligation de signaler.

 Switch estime que le délai de 24 heures entraînera une charge de travail disproportionnée, surtout pour les petites organisations. Il propose que le délai de 24 heures se réfère aux semaines de travail et aux heures de bureau.

 Swissgrid suggère de préciser dans l’ordonnance que le signalement doit s’effectuer dans les

24 heures suivant la découverte de la cyberattaque ou d’ajouter un renvoi direct à l’art. 74e, al. 1, LSI.

 swissuniversities attire l’attention sur le fait que les exigences concernant le délai de signalement de 24 heures représentent des défis importants pour les petites hautes écoles eu égard à la maturité des processus existants et au personnel engagé ou nécessaire.

❖ Délai de 14 jours pour les signalements ultérieurs

 LU indique de mentionner si le délai de 14 jours pour compléter le signalement concerne les jours ouvrables ou les jours de la semaine.

 SwissICT recommande de raccourcir le délai de 14 jours pour les signalements ultérieurs. Il propose par ailleurs de préciser ce que l’OFCS fait des informations recueillies.

❖ Adaptation des délais aux normes internationales

 economiesuisse et scienceindustries souhaitent que l’on aligne les obligations de signaler sur les normes internationales et que l’on adapte en conséquence les délais à ceux de la directive européenne NIS 2 (24 heures pour une alerte précoce, 72 heures pour le signalement d’un incident).

❖ Rôle de l’OFCS et aide à la collecte d’informations

 eAVS/AI propose de préciser à l’art. 21 que la collecte d’autres informations qui, le cas échéant, ne peuvent pas être recueillies directement s’effectue lors d’un échange et avec le soutien de l’OFCS.