Les cyberattaques font courir un risque consid\u00e9rable aux infrastructures critiques de notre pays, et donc \u00e9galement \u00e0 la population. En septembre 2023, le Parlement a adopt\u00e9 une r\u00e9vision de la loi sur la s\u00e9curit\u00e9 de l\u2019information (LSI) qui fait obligation, \u00e0 partir du 1er janvier 2025, de signaler les cyberattaques contre les infrastructures critiques. Le nouvel art. 73a LSI charge ainsi l\u2019Office f\u00e9d\u00e9ral de la cybers\u00e9curit\u00e9 (OFCS) de r\u00e9ceptionner et de traiter les signalements concernant les cyberincidents et les cybermenaces.
Le syst\u00e8me de sant\u00e9, en particulier les h\u00f4pitaux, est l\u2019une des infrastructures critiques les plus sensibles. Pour mieux prot\u00e9ger ce secteur, l\u2019OFCS a lanc\u00e9 le projet \u00ab Healthcare \u2013 Cyber Security Centre \u00bb, qui est en cours de mise en \u0153uvre. L\u2019objectif est de mieux prot\u00e9ger les h\u00f4pitaux contre les cyberattaques.
Dans ce contexte, je prie le Conseil f\u00e9d\u00e9ral de r\u00e9pondre aux questions suivantes :
1) En cr\u00e9ant l\u2019Office f\u00e9d\u00e9ral de la cybers\u00e9curit\u00e9 (OFCS), le Conseil f\u00e9d\u00e9ral a d\u00e9cid\u00e9 de renforcer la cybers\u00e9curit\u00e9 civile. Il a fortement augment\u00e9 les ressources en personnel de l\u2019OFCS. Depuis 2020, le nombre de collaboratrices et de collaborateurs est pass\u00e9 de 28 (au sein du Centre national de cybers\u00e9curit\u00e9 de l\u2019\u00e9poque) \u00e0 67 actuellement. Cette augmentation d\u2019effectif a d\u00e9j\u00e0 permis d\u2019anticiper les t\u00e2ches suppl\u00e9mentaires que l\u2019OFCS sera amen\u00e9 \u00e0 endosser avec la r\u00e9vision de la loi sur la s\u00e9curit\u00e9 de l\u2019information (LSI ; RS 128). Le Conseil f\u00e9d\u00e9ral examinera si l\u2019augmentation des ressources en personnel est suffisante pour que l\u2019OFCS puisse assumer pleinement ses t\u00e2ches.
2) Les h\u00f4pitaux font partie des infrastructures critiques de la Suisse, raison pour laquelle leur protection contre les cybermenaces constitue une priorit\u00e9 absolue. Au cours des cinq derni\u00e8res ann\u00e9es, les cyberattaques men\u00e9es contre des h\u00f4pitaux suisses n\u2019ont eu que des effets sporadiques. Durant la m\u00eame p\u00e9riode, d\u2019autres pays (p. ex. la France et l\u2019Angleterre) ont connu plusieurs cyberattaques entra\u00eenant des cons\u00e9quences directes sur le fonctionnement de grands h\u00f4pitaux. Cela montre que les h\u00f4pitaux suisses sont relativement bien prot\u00e9g\u00e9s. Toutefois, les d\u00e9fis restent importants et la protection contre les cybermenaces doit encore \u00eatre renforc\u00e9e.
3) Le projet \u00ab Healthcare - Cyber Security Center \u00bb du secteur de la sant\u00e9 rassemble les forces des h\u00f4pitaux suisses, de l\u2019OFCS et d\u2019autres acteurs pour renforcer la cybers\u00e9curit\u00e9. Le projet en est \u00e0 sa phase initiale, mais il montre d\u00e9j\u00e0 des progr\u00e8s prometteurs gr\u00e2ce \u00e0 la collaboration efficace de tous les participants.
4 et 5) Les normes et les bonnes pratiques sont des facteurs importants pour le renforcement de la cybers\u00e9curit\u00e9. Il en existe d\u00e9j\u00e0 pour le secteur de la sant\u00e9. Pour les h\u00f4pitaux, l\u2019association H+ a d\u00e9fini des lignes directrices fixant des exigences minimales pour la s\u00e9curit\u00e9 informatique des syst\u00e8mes tiers. L\u2019OFCS a \u00e9galement publi\u00e9 en 2022 des bonnes pratiques pour le secteur de la sant\u00e9, en concertation avec la Conf\u00e9rence suisse des directrices et directeurs de la sant\u00e9 (CDS).
La responsabilit\u00e9 de la cybers\u00e9curit\u00e9 incombe aux h\u00f4pitaux eux-m\u00eames. En vertu de l\u2019art. 74 de l\u2019ordonnance sur les dispositifs m\u00e9dicaux (RS 812.213), ils sont tenus de prot\u00e9ger les dispositifs pouvant \u00eatre mis en r\u00e9seau contre les cybermenaces, conform\u00e9ment \u00e0 l\u2019\u00e9tat de la technique. Les cantons \u00e9dictent des directives pour les h\u00f4pitaux r\u00e9pertori\u00e9s et peuvent s\u2019orienter sur les lignes directrices et les bonnes pratiques existantes recommand\u00e9es par les associations et l\u2019OFCS. Ainsi, des normes sont introduites tout en pr\u00e9servant les comp\u00e9tences existantes.
6) Oui, la r\u00e9partition des t\u00e2ches est r\u00e9gl\u00e9e et \u00e9tablie ind\u00e9pendamment de la situation : l\u2019OFCS soutient les h\u00f4pitaux \u00e0 titre subsidiaire en cas de cyberattaques (art. 74 LSI). Le Service de renseignement de la Conf\u00e9d\u00e9ration est responsable de la d\u00e9tection pr\u00e9coce et de la pr\u00e9vention des cybermenaces (art. 6, al. 1, let. a, ch. 4, LRens ; RS 121) et peut, en vertu des art. 26, al. 1, let. d, ch. 2, et 37, al. 2, LRens, prendre des mesures pour d\u00e9tecter les syst\u00e8mes informatiques utilis\u00e9s pour attaquer les exploitants d'infrastructures critiques. Les autorit\u00e9s cantonales ou, en cas de comp\u00e9tence f\u00e9d\u00e9rale en vertu des art. 23 et 24 du Code de proc\u00e9dure p\u00e9nale (RS 312), le Minist\u00e8re public de la Conf\u00e9d\u00e9ration, conjointement avec la Police judiciaire f\u00e9d\u00e9rale, sont comp\u00e9tents en mati\u00e8re de poursuite p\u00e9nale.