Rapport explicatif

fibre optique ou des stations relais ou encore la défaillance des systèmes de signali- sation ou de routage entraînant des communications erronées, retardées ou perdues à grande échelle. L’indisponibilité des systèmes d’alerte à la population (alertes SMS, sirènes, diffusion radio/TV) lors d’une catastrophe naturelle ou d’une menace immi- nente, empêchant d’informer et de protéger la population est un exemple d’atteinte à la sécurité publique.

Une installation de réseau est soumise aux exigences prévues par les art. 28b et 28c OIT si elle constitue une installation de réseau critique (l’OFCOM tient à jour une liste des installations de réseau critiques) et est destinée à être intégrée et exploitée au sein d’un réseau public de télécommunication.

Art. 28b Principes

L’art. 28b, al. 1, OIT détermine la procédure d’évaluation qui permet aux fabricants de se conformer aux exigences de sécurité applicables aux installations de réseau cri- tiques conformément à l`al. 2. Afin de ne pas leur compliquer la tâche, il est prévu d’appliquer une procédure sous la propre responsabilité des fabricants qui évaluent la conformité de leurs installations par rapport aux exigences de sécurité et dressent la documentation technique comportant entre autres une analyse des risques relatifs à la sécurité.

L’évaluation s’effectue en appliquant une méthodologie reconnue au niveau interna- tional, en particulier au niveau européen. C’est en particulier la boîte à outils 5G de l’UE qui peut servir de référence. Le fabricant soumet la documentation technique à l’appréciation d’un organisme d’évaluation de la conformité reconnu. Sur la base de la documentation technique reçue et de son analyse, l’organisme d’évaluation de la con- formité va déterminer si la conformité aux exigences de sécurité a été prouvée et déli- vrer le cas échéant un certificat de conformité qui complète la documentation tech- nique. Cette procédure qui s’approche d’un audit se base sur une procédure déjà ap- pliquée pour les installations de radiocommunication et a fait ses preuves. L’évalua- tion doit avoir lieu avant que l’installation ne soit mise sur le marché.

Selon l’al. 3 l’OFCOM peut déterminer, en tenant compte de la pratique internationale, dans l’OOIT quelles sont les installations de réseau critiques ainsi que de définir les exigences spécifiques en tenant compte des normes et de la pratique internationales reconnues. L’annexe 8 de l’OOIT liste ainsi les installations de réseau critiques néces- sitant une évaluation de la conformité en matière de sécurité. La délégation de compé- tence prévue par l’art. 48a, al. 2, LTC en matière d’infrastructure permet au Conseil fédéral d’appliquer, resp. d’étendre ce régime de l’OIT et de l’OOIT aux infrastructures qui ne constituent pas stricto sensu des installations de télécommunication comme les logiciels, les équipements électriques ou encore les systèmes d’exploitation et autres systèmes de gestion de la cybersécurité (voir l’annexe 8 de l’OOIT).

Art. 28c Evaluation de la conformité

Le fabricant qui procède à une évaluation de conformité selon l’art. 28b, al. 1, OIT se doit de conserver la documentation technique pour une période de dix ans et doit pouvoir la présenter sur demande de l’OFCOM. Cette durée standard pour la mise sur le marché de produits industriels découle du nouveau cadre réglementaire de l’UE («New Legislative Framework» [NLF]). La documentation technique démontre que le produit respecte les exigences essentielles posées par la législation. Pendant ces dix ans, les autorités peuvent demander au fabricant de prouver que le produit était