Rapport explicatif

CH-UE⁶⁸ qui prévient les obstacles au commerce entre la Suisse et l’UE, harmoniser notre réglementation avec le droit européen et les schémas de certification en matière de cybersécurité notamment pour la 5G prévus par l’Agence de l’UE pour la cybersé- curité (Agence européenne chargée de la sécurité des réseaux et de l’information, ENISA).

Al. 1

L’al. 1 ancre dans la loi le principe fondamental de sécurité dès la conception et par défaut (Secured by Design and by Default) qui doit prévaloir en matière d’acquisition, de mise en service et d’exploitation des infrastructures de télécommunication. Il signifie que seuls les installations, équipements, produits et autres composants matériels ou logiciels qui sont à l’origine conçus, fabriqués et configurés de manière sécurisée peu- vent être intégrés dans les réseaux de télécommunication. Cela permet en définitive de réduire sans aucune intervention préalable des fournisseurs le risque de failles de sécurité et de protéger la confidentialité, l’intégrité et la disponibilité des informations. Si le principe peut se déduire de l’obligation générale de sécurité (cf. art. 48a) et du secret des télécommunications (cf. art. 43 LTC, 13, al. 1, Cst. et 321^terCP), l’al. 1 per- met d’en fixer la portée. La précision selon laquelle les paramètres de sécurité doivent non seulement être activés mais aussi configurés par défaut souligne que ces para- mètres ne doivent pas simplement être activés avec les valeurs d’usine, mais égale- ment correctement configurés en respectant les meilleures pratiques (Best Practices) en matière de sécurité. Il est par ailleurs essentiel que ces paramètres soient réguliè- rement entretenus et mis à jour. Les mesures et technologies matérielles et logicielles qui protègent la confidentialité, l’intégrité et la disponibilité des informations au sens de l’al. 1 doivent, dans la mesure du possible, s’orienter en fonction des normes et stan- dards internationaux en la matière.

Al. 2

L’al. 2 oblige les fournisseurs de services de télécommunication à suivre une stratégie « multifournisseurs ». Ils sont ainsi tenus d’acquérir, de mettre en service et d’exploiter dans leurs réseaux des composants d’infrastructures de télécommunication provenant de divers fabricants. Une telle stratégie doit être mise en place par chaque fournisseur pour son propre réseau de télécommunication. Elle renforce la sécurité par la multipli- cation des équipements, produits et autres composants matériels ou logiciels qui sont utilisés pour offrir des services de télécommunication, en évitant ainsi un environne- ment technologique uniforme qui favorise les cyberattaques. Il s’agit aussi de limiter le risque d’une dépendance majeure vis-à-vis d’un fabricant et de garantir une plus grande flexibilité et résilience à l’égard de la chaîne d’approvisionnement en infrastruc- tures de télécommunication, surtout que notre pays ne compte pas d’équipementiers majeurs. On entend par fabricant toute personne physique ou morale qui fabrique, con- çoit ou fait fabriquer une installation de télécommunication et la met sur le marché sous son nom ou sa marque (cf. dans ce sens art. 2 let. l, OIT).

Il convient de souligner que la plupart des fournisseurs, notamment dans le domaine de la radiocommunication mobile, suivent déjà de leur propre chef une stratégie multi- fournisseurs. L’obligation figurant à l’al. 2 concerne exclusivement les composants cri- tiques de l’infrastructure de télécommunication d’un fournisseur, à savoir les compo- sants dont la perturbation ou la défectuosité influence la disponibilité, l’intégrité, l’au-

68 RS 0.946.526.81