Rapport explicatif

Art. 48b Sécurité des infrastructures de télécommunication

Le rapport du Conseil fédéral donnant suite au postulat Pult (20.3984) « Infrastructure numérique. Réduire les risques géopolitiques »⁶⁶ a montré que, malgré les mesures déjà prises, des cybermenaces importantes demeurent. La Suisse court en effet des risques sécuritaires en raison de la gestion de nombre de processus économiques, sociaux ou politiques par des réseaux et systèmes numériques qui peuvent comporter des failles de sécurité ou faire l’objet de cyberattaques. L’infrastructure de télécommu- nication offre par ailleurs des opportunités de pirater ou de saboter d’autres infrastruc- tures critiques. Dans ce contexte, le Conseil fédéral a estimé nécessaire de renforcer la lutte contre les cybermenaces en adoptant des mesures qui imposent une diversifi- cation des fabricants d’équipements critiques pour les infrastructures de télécommuni- cation. Ces mesures sont prévues dans ce nouvel art. 48b et contribuent concrètement à garantir la sécurité et la résilience de ces infrastructures, comme le prévoit l’article définissant le but de la loi (cf. art. 1, al. 2, let. f).

La LTC organise fondamentalement l’offre des services de télécommunication en les soumettant à la libre concurrence (cf. art. 1 al. 1 et 2 let. c). Cette libre concurrence s’applique d’ailleurs aussi au niveau des infrastructures, la LTC laissant les fournis- seurs de services de télécommunication libres de choisir leurs équipementiers et les installations et autres infrastructures qu’ils souhaitent acquérir, mettre en place et ex- ploiter dans leur infrastructure de télécommunication. Le fait de restreindre le libre choix des fournisseurs en matière d’infrastructure de télécommunication doit donc être prévu dans la loi (cf. art. 36 al. 1 Cst.), dans la mesure où cela porte atteinte à leur liberté économique (cf. art. 27 Cst.) et à la garantie de propriété (cf. art. 26 Cst.). L’art. 48b constitue cette base légale formelle qui permet de restreindre le libre choix des four- nisseurs quant à leur infrastructure.

La réduction des cybermenaces, vulnérabilités et autres failles de sécurité pouvant por- ter atteinte à la confidentialité, à l’intégrité ou à la disponibilité des données dans les télécommunications passe par la sécurisation des produits et composants matériels ou logiciels intégrés dans l’infrastructure de télécommunication. Lorsqu’ils constituent des installations de télécommunication au sens de l’art. 3, let. d, ces produits et autres composants doivent se conformer aux exigences de cybersécurité et faire l’objet des procédures d’évaluation de conformité prévues par l’OIT et l’OOIT avant de pouvoir être offerts, mis sur le marché ou exploités en Suisse. Des exigences de cybersécurité peuvent ainsi être fixées dans ces ordonnances pour les installations qui sont destinées à être intégrées dans une infrastructure de télécommunication. La délégation de com- pétence prévue par l’art. 48a, al. 4 en matière d’infrastructures permet au Conseil fé- déral d’appliquer, respectivement d’étendre ce régime de l’OIT et de l’OOIT aux infras- tructures qui ne constituent pas stricto sensu des installations de télécommunication comme les logiciels, les équipements électriques ou encore les systèmes d’exploitation et autres systèmes de gestion de la cybersécurité.

Le fait que l’infrastructure de télécommunication au sens de l’art. 48a, al. 4, englobe largement tout produit comportant des éléments numériques au sens du règlement (UE) 2024/2847⁶⁷ permet de prendre en compte le fait que les exigences de cybersé- curité se conçoivent désormais largement de manière horizontale et indépendamment des secteurs d’activités concernés. Sur cette base, la Suisse peut se référer aux normes techniques des comités de normalisation européens et, compte tenu de l’ARM