Rapport explicatif

thenticité ou la confidentialité des informations transportées et peut entraîner une dé- faillance ou une altération considérable du fonctionnement des infrastructures de télé- communication ou menacer la sécurité publique. Le Conseil fédéral ne devrait a priori intervenir en faisant usage de sa compétence de fixer les catégories, parties, parts ou pourcentages minimaux d’infrastructures critiques concernées que s’il constate un manque particulier de diversité dans des parties essentielles des systèmes de télécom- munication comme des éléments du cœur des réseaux mobiles (Core Network) ou des réseaux d’accès radio (Radio Access Network, RAN).

Dans tous les cas, au minimum l’un des fabricants choisis par le fournisseur doit être domicilié dans un État dont la législation garantit un niveau de protection des don- nées adéquat (cf. art. 8 et 16 LPD ainsi que l’annexe 1 de l’ordonnance du 31 août 2022 sur la protection des données [OLPD]⁶⁹). Ce type de fabricants est présumé se conformer aux exigences de confidentialité, d’intégrité et de disponibilité de l’informa- tion pour ses produits, installations et autres équipements destinés aux infrastructures de télécommunication conformément aux engagements de son Etat de domicile en matière de sphère privée. Ce qui limite grandement le risque qu’un tel fabricant tombe sous le coup de l’art. 48c du fait qu’il serait jugé problématique pour la sécurité de notre pays ou détenu, contrôlé ou sous l’influence d’un Etat étranger présentant un risque géopolitique pour le pays. Est considérée comme fabricant au sens de la pré- sente disposition la société mère, respectivement la personne morale ou physique exerçant le contrôle, indépendamment des marques utilisées ou des filiales.

Al. 3

Au regard de l’importance des infrastructures de télécommunication pour le fonction- nement de notre pays et des cybermenaces auxquelles elles sont confrontées, il s’avère nécessaire de renforcer la réglementation dans ce domaine, à l’instar de ce que prévoit la boîte à outil 5G de l’UE⁷⁰ et la plupart des législations nationales des Etats membres de l’UE. L’al. 3 prévoit ainsi que l’OFCOM peut obliger les fournisseurs de services de télécommunication à ne pas mettre en service ou à retirer de leurs ré- seaux les composants critiques qui sont soupçonnés, sur la base de raisons fondées, de faire courir un risque de sécurité particulièrement grave. Le risque particulier pour la sécurité concerne les composants critiques ou la transmission intégrale et confiden- tielle des informations, ainsi que leur disponibilité. L’obligation porte avant tout sur les parties essentielles des réseaux de télécommunication telles que les éléments cen- traux des réseaux mobiles (Core Network) ou les réseaux d’accès radio (RAN). Le risque particulier pour la sécurité de l’infrastructure de télécommunication ou pour la transmission des informations désigne un risque de cybersécurité qui, en raison de ses caractéristiques techniques, pourrait très probablement provoquer un incident suscep- tible d’avoir des conséquences graves et entraîner des pertes matérielles ou immaté- rielles importantes ou des perturbations.

L’OFCOM détermine concrètement dans une liste, qui est publiée, les composants cri- tiques d’infrastructures dont l’utilisation et l’exploitation sont interdites. La liste est cons- tamment adaptée et mise à jour compte tenu de l’évolution permanente des technolo- gies, des infrastructures et des cybermenaces. Elle prend la forme d’une annexe d’or- donnance, ce qui permet une actualisation périodique. Pour déterminer un tel risque de sécurité, l’OFCOM s’appuie sur les informations et données que les fournisseurs de services de télécommunication (cf. art. 48a, al. 3) et les fabricants d’infrastructures de