Rapport explicatif

centres d’opération du réseau et des opérations de sécurité, un délai de 24 mois est prévu à compter de l’entrée en vigueur de la modification correspondante.

4.2 Ordonnance du 25 novembre 2015 sur les installations de télécommunica-

tion

Les articles 28b et 28c font partie de la nouvelle section 1a sur les installations de ré- seau critiques, qui relève du chapitre 4 de l’OIT («Dispositions particulières»).

Globalement, les nouvelles mesures de sécurité imposées par l’OIT aux installations de réseau critiques se limitent aux installations destinées à être exploitées au sein de réseaux de télécommunication publics qui servent à fournir des services aux clients finaux.

Le fait que l’infrastructure de télécommunication au sens de l’art. 48a al. 2 LTC en- globe largement tout produit comportant des éléments numériques au sens du règle- ment de l’UE sur la cyberrésilience (CRA) permet de considérer le fait que les exi- gences de cybersécurité se conçoivent désormais largement de manière horizontale et indépendamment des secteurs d’activités concernés. Dans ce contexte, il est judi- cieux de se référer également aux normes techniques des comités de normalisation européens et, compte tenu de l’ARM CH-UE qui prévient les obstacles au commerce entre la Suisse et l’UE, d’harmoniser notre législation sur les installations et infrastruc- tures de télécommunication avec le droit européen et les schémas de certification en matière de cybersécurité notamment pour la 5G prévus par l’Agence de l’UE pour la cybersécurité (European Network and Information Security Agency, ENISA).

Art. 2, al. 1, let. c et c^bisDéfinitions

En premier lieu, la notion existante de «installation terminale de télécommunication» à l’art. 2, la. 1, let. c, OIT est précisée : il peut s’agir soit d’une installation de radio- communication soit d`une installation filaire qui est destinée à être connectée directe- ment ou indirectement à des interfaces de réseau de télécommunication servant en- tièrement ou en partie à la fourniture de services de télécommunication. La référence à l’art. 3, let. b, LTC est supprimée car superflue.

Il s’agit ensuite de définir le terme nouveau d’«installation de réseau critique» à l’art. 2, al. 1, let. c^bis, OIT, qui fait l’objet des règles de cette nouvelle section. Il s’agit de toute installation de télécommunication faisant partie d’un réseau servant à la fourni- ture de services de télécommunication (cf. art. 3, let. b LTC) et dont la perturbation ou la défectuosité risque d’entraîner une défaillance ou une altération considérable du fonctionnement des infrastructures de télécommunication ou de mettre en danger la sécurité publique. Il est de la responsabilité du fabricant, lors de la mise sur le mar- ché, de définir l’usage prévu de son installation et de la responsabilité de l’opérateur du réseau d’utiliser des installations qui sont prévues pour être intégrées et exploitées dans un réseau.

Constituent en particulier des défaillances ou altération considérable des infrastruc- tures une panne généralisée du réseau mobile (4G/5G) empêchant les appels, SMS et l’accès à Internet sur une large zone géographique, l’interruption prolongée des ré- seaux d’urgence rendant impossible la communication avec les services de secours, les cyberattaques de grande ampleur (par ex. attaque par déni de service) paralysant les réseaux d’un opérateur de télécommunication, des dommages physiques majeurs (incendie, inondation, sabotage) affectant des centraux téléphoniques, des câbles de