En 2022, les r\u00e9sultats de l\u2019enqu\u00eate administrative Oberholzer sur les collectes d\u2019informations du Service de renseignement de la Conf\u00e9d\u00e9ration (SRC) dans le domaine Cyber ont donn\u00e9 lieu \u00e0 des comptes rendus m\u00e9diatiques. Juste avant, le Conseil f\u00e9d\u00e9ral avait d\u00e9cid\u00e9 de rattacher le Centre national pour la cybers\u00e9curit\u00e9 (NCSC) au DDPS \u00e0 partir du 1er janvier 2024.
Le rapport Oberholzer recommandait de r\u00e9fl\u00e9chir \u00e0 la possibilit\u00e9 de d\u00e9tacher compl\u00e8tement le domaine Cyber du SRC et de cr\u00e9er un pool d\u2019experts ind\u00e9pendant charg\u00e9 d\u2019analyser les donn\u00e9es issues du trafic r\u00e9seau. Il estimait judicieux de rattacher ce pool au NCSC et de le mettre \u00e0 la disposition de toutes les unit\u00e9s organisationnelles de la Conf\u00e9d\u00e9ration qui s\u2019occupent de cybers\u00e9curit\u00e9.
Le 7 d\u00e9cembre 2023, peu avant le transfert du NCSC au DDPS, des m\u00e9dias ont annonc\u00e9 une vague de d\u00e9missions parmi les experts : six des neuf sp\u00e9cialistes du groupe d\u2019intervention en cas d\u2019urgence informatique (GovCERT) ont d\u00e9cid\u00e9 de ne pas rejoindre le DDPS, 20 % des effectifs du NCSC ont pr\u00e9f\u00e9r\u00e9 d\u00e9missionner. Des conflits \u00e9thiques ont \u00e9t\u00e9 invoqu\u00e9s, \u00e9tant donn\u00e9 que les collaborateurs du NCSC s\u2019efforcent de combler les failles de s\u00e9curit\u00e9 pour la soci\u00e9t\u00e9 civile et l\u2019\u00e9conomie, alors que le SRC et le DDPS auraient un int\u00e9r\u00eat \u00e0 maintenir certaines failles qu\u2019ils veulent utiliser pour la collecte d\u2019informations.
Dans l\u2019enqu\u00eate administrative de 2022, on pouvait lire qu\u2019\u00e0 l\u2019\u00e9poque le chef du domaine Cyber du SRC avait fait preuve de peu de compr\u00e9hension pour les directives l\u00e9gales et les proc\u00e9dures institutionnalis\u00e9es au sein des services \u00e9tatiques et que son chef l\u2019avait laiss\u00e9 faire.
1) Le nouvel Office f\u00e9d\u00e9ral de la cybers\u00e9curit\u00e9 (OFCS) reprend sans changement les t\u00e2ches qui incombaient jusqu\u2019\u00e0 pr\u00e9sent au Centre national pour la cybers\u00e9curit\u00e9 (NCSC). Celles-ci sont compl\u00e9mentaires aux t\u00e2ches du Service de renseignement de la Conf\u00e9d\u00e9ration (SRC). Le SRC est un instrument d\u2019action pr\u00e9ventive de la politique de s\u00e9curit\u00e9. Il assure un service d\u2019alerte pr\u00e9coce et de pr\u00e9vention des menaces pour la s\u00fbret\u00e9 int\u00e9rieure ou ext\u00e9rieure de la Suisse, qui proviennent notamment des cyberattaques.
Le SRC et l\u2019OFCS sont tous deux plac\u00e9s sous la conduite directe de la cheffe du DDPS. Ils d\u00e9veloppent chacun leur culture d\u2019entreprise afin de remplir au mieux leurs t\u00e2ches dans le cadre de la Strat\u00e9gie nationale de protection de la Suisse contre les cyberrisques (SNPC).
Le SCR d\u00e9finit les responsabilit\u00e9s et les comp\u00e9tences de la soci\u00e9t\u00e9 civile, de l\u2019\u00e9conomie et de l\u2019\u00c9tat. Tous les d\u00e9partements et tous les offices de l\u2019administration f\u00e9d\u00e9rale travaillent de mani\u00e8re compl\u00e9mentaire, guid\u00e9s par le m\u00eame objectif : accro\u00eetre la protection de la population contre les cyberrisques. Cet objectif vaut aussi pour l\u2019OFCS et le SRC.
2) Le 29 septembre 2023, le Parlement a adopt\u00e9 la r\u00e9vision de la loi sur la s\u00e9curit\u00e9 de l\u2019information (LSI ; RS 128) qui porte sur l\u2019introduction d\u2019une obligation de signaler les cyberattaques contre les infrastructures critiques. Selon l\u2019art. 73b, al. 3, l\u2019OFCS est tenu \u00e0 l\u2019avenir d\u2019informer imm\u00e9diatement les fabricants de produits mat\u00e9riels ou logiciels s\u2019il a connaissance d\u2019une vuln\u00e9rabilit\u00e9 dans ces produits. La loi garantit ainsi que l\u2019OFCS met en \u0153uvre le processus de la divulgation coordonn\u00e9e des vuln\u00e9rabilit\u00e9s.
Les t\u00e2ches du SRC sont r\u00e9gl\u00e9es \u00e0 l\u2019art. 6 de la loi sur le renseignement (LRens ; RS 121). Toutes les activit\u00e9s de renseignement du SRC qui sont de nature offensive (p. ex. l\u2019utilisation de vuln\u00e9rabilit\u00e9s, cf. art. 26 LRens) se d\u00e9roulent selon une proc\u00e9dure soumise \u00e0 autorisation d\u00e9finie par la loi.
3) Aucun \u00e9change ne se fait automatiquement. En outre, le SRC n\u2019a pas acc\u00e8s aux informations de l\u2019OFCS sur des vuln\u00e9rabilit\u00e9s. L\u2019OFCS accorde au SRC l\u2019acc\u00e8s aux informations qui concernent l\u2019identit\u00e9 et le mode op\u00e9ratoire des agresseurs. La surveillance du traitement de l\u2019information par le SRC s\u2019effectue dans le cadre de la surveillance des activit\u00e9s du SRC. L\u2019\u00e9change de donn\u00e9es \u00e9tabli par le pass\u00e9 entre l\u2019OFCS (anciennement NCSC) et le SRC se poursuit sur le m\u00eame mode et il est \u00e9galement r\u00e9gl\u00e9 dans la LRens et dans la LSI r\u00e9vis\u00e9e. Le rattachement de l\u2019OFCS au DDPS ne change rien \u00e0 cette pratique.
4) La loi sur le personnel de la Conf\u00e9d\u00e9ration (LPers ; RS 172.220.1) r\u00e8gle \u00e0 l\u2019art. 22a les obligations et les droits de d\u00e9noncer de tous les employ\u00e9s de la Conf\u00e9d\u00e9ration. Ceux-ci sont tenus de d\u00e9noncer \u00e0 leurs sup\u00e9rieurs, aux autorit\u00e9s de poursuite p\u00e9nale ou au Contr\u00f4le f\u00e9d\u00e9ral des finances (CDF) tous les crimes et d\u00e9lits poursuivis d\u2019office dont ils ont eu connaissance ou qui leur ont \u00e9t\u00e9 signal\u00e9s dans l\u2019exercice de leur fonction (al. 1). L\u2019al. 4 int\u00e8gre un droit g\u00e9n\u00e9ral, selon lequel les employ\u00e9s ont aussi le droit de signaler au CDF les autres irr\u00e9gularit\u00e9s dont ils ont eu connaissance ou qui leur ont \u00e9t\u00e9 signal\u00e9es dans l\u2019exercice de leur fonction.
Le CDF a la possibilit\u00e9, en raison de sa fonction, dans le cadre de l\u2019exercice de son activit\u00e9 de surveillance, de v\u00e9rifier de mani\u00e8re discr\u00e8te et sur site, la plausibilit\u00e9 des reproches soulev\u00e9s. Il est tenu par la loi, lorsqu\u2019il constate, dans le cadre de l\u2019exercice de son activit\u00e9 de surveillance, des d\u00e9fauts dans l\u2019organisation, la gestion administrative ou dans l\u2019ex\u00e9cution des t\u00e2ches, d\u2019informer l\u2019unit\u00e9 administrative comp\u00e9tente ; celle-ci lui fait rapport des mesures qu\u2019elle a prises (art. 13, al. 2, de la loi sur le Contr\u00f4le des finances LCF ; RS 614.0).
Ce syst\u00e8me de signalement s\u2019applique \u00e0 tous les employ\u00e9s de la Conf\u00e9d\u00e9ration. Une possibilit\u00e9, pour les employ\u00e9s, d\u2019informer directement l\u2019AS-Rens ou la D\u00e9lCdG n\u2019est ni pr\u00e9vue ni n\u00e9cessaire.
","FederalCouncilProposal":null,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1708473600000)\/","SubmittedBy":"Schlatter Marionna","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1710510858000)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"D\u00e9partement de la d\u00e9fense, de la protection de la population et des sports","ResponsibleDepartmentAbbreviation":"DDPS","IsLeadingDepartment":true,"Tags":"4|9|34","Category":null,"Modified":"\/Date(1763097800030)\/","SubmissionDate":"\/Date(1703116800000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5201,"SubmissionLegislativePeriod":52,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique d'Etat|Politique de s\u00e9curit\u00e9|M\u00e9dias et communication"}}