Rapport explicatif

2 Comparaison juridique, en particulier avec le droit européen

2.1 Sécurité

Infrastructures

L’Union européenne prend très au sérieux la sécurité de ses réseaux et systèmes d’in- formation numériques en tant qu’infrastructures vitales pour son économie et sa so- ciété. Le droit de l’UE cherche ainsi à créer un écosystème numérique sûr et résilient en imposant des obligations de sécurité aux acteurs clés, en favorisant la coopération entre les États membres et en mettant en place des mécanismes de certification, de supervision et de sanction. Il s’agit de protéger les citoyens, les entreprises et les ins- titutions contre les cybermenaces et de garantir le bon fonctionnement du marché unique numérique.

Les bases légales européennes forment un cadre juridique complet en matière de sé- curité des infrastructures numériques qui se divisent en 3 catégories : celles qui sont pleinement dédiées à la cybersécurité, celles qui contiennent des dispositions relatives à la cybersécurité et celles qui y font référence. Les dispositions déterminantes qui régissent la sécurité des infrastructures, des services et des appareils terminaux dé- coulent pour l’essentiel du règlement (UE) 2019/881 (Cybersecurity Act, CSA)²⁶, du règlement 2024/2847 (Cyber Resilience Act, CRA)²⁷, la directive (UE) 2022/2555 (di- rective SRI 2)²⁸ ainsi que de l’instrumentation de l’UE en matière de sécurité de la 5G (boîte à outils 5G)²⁹.

L’accord entre la Confédération suisse et l’UE relatif à la reconnaissance mutuelle en matière d’évaluation de la conformité (ARM CH-UE)³⁰ est un instrument visant à sup- primer les entraves techniques au commerce dans la commercialisation de nombreux produits industriels entre la Suisse et l’UE. Il est aussi applicable au secteur des instal- lations de radiocommunication et des équipements terminaux de télécommunications (chapitre 7). Pour que ce secteur puisse rester dans l’ARM, la législation suisse cor- respondante doit s’aligner sur celle de l’UE. La directive 2014/53/UE (directive RED)³¹ contient des exigences importantes concernant la cybersécurité, que la Commission peut activer au moyen d’un acte juridique délégué. Cet acte détermine quels produits doivent remplir ces exigences supplémentaires. En 2021, la Commission a publié un acte de ce type afin d’activer les exigences de cybersécurité pour certaines installations de radiocommunication. Ces dispositions ont été intégrées dans l’ordonnance de l’OFCOM du 26 mai 2016 sur les installations de télécommunication (OOIT)³² pour

²⁶Règlement (UE) 2019/881 du Parlement européen et du Conseil du 17 avril 2019 relatif à l’ENISA (Agence de l’Union européenne pour la cybersécurité) et à la certification de cybersécurité des technologies de l’information et des commu- nications, et abrogeant le règlement (UE) no 526/2013 (règlement sur la cybersécurité), JO L 151 du 7.6.2019, p. 15;

modifié par le règlement (UE) 2025/37, JO L, 2025/37, 15.1.2025.

²⁷Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant des exigences de cy- bersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE)

n°168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience), JO L, 2024/2847,

20.11.2024.

²⁸Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures desti- nées à assurer un niveau élevée commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) no 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2), JO L 333 du

27.12.2022, p. 80.

²⁹UE (2020)

30 RS 0.946.526.81

³¹Directive 2014/53/UE du Parlement européen et du Conseil du 16 avril 2014 relative à l’harmonisation des législations des États membres concernant la mise à disposition sur le marché d’équipements radioélectriques et abrogeant la direc- tive 1999/5/CE, JO L 153 du 22.5.2014, p. 62; modifié par la directive (UE) 2024/2839, JO L 2024/2839, 7.11.2024.

32 RS 784.101.21