Les infrastructures critiques, comme l\u2019approvisionnement \u00e9nerg\u00e9tique, le domaine de la sant\u00e9, le syst\u00e8me financier ou les transports, sont des cibles de choix pour les cyberattaques. Une norme informatique minimale actuelle pourrait garantir que les exploitants mettent en place les mesures de protection de base afin de r\u00e9duire les risques au maximum.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"S\u2019agissant de la standardisation, la Suisse adopte une approche d\u00e9centralis\u00e9e, qui fixe en fonction du secteur les normes en mati\u00e8re de cybers\u00e9curit\u00e9 et la fa\u00e7on de les appliquer. Il serait toutefois faux de dire que ces normes ne sont pas contraignantes pour les diff\u00e9rentes branches. Par exemple, en vertu de l\u2019ordonnance sur l\u2019approvisionnement en \u00e9lectricit\u00e9 (OApEl ; RS 734.71), la norme minimale TIC est contraignante depuis le 1er juillet 2024 pour beaucoup d\u2019entreprises qui assurent l\u2019approvisionnement en \u00e9lectricit\u00e9. D\u00e8s juillet 2025, ce sera aussi le cas pour les soci\u00e9t\u00e9s d\u2019approvisionnement en gaz. Dans d\u2019autres secteurs, les organes de surveillance se fondent \u00e9galement sur des normes pour \u00e9valuer la mise en \u0153uvre des dispositions g\u00e9n\u00e9rales relatives \u00e0 la s\u00e9curit\u00e9 et \u00e0 la gouvernance dans les lois correspondantes. L\u2019Autorit\u00e9 f\u00e9d\u00e9rale de surveillance des march\u00e9s financiers (FINMA) a notamment, dans plusieurs circulaires et communications, fait part de ses attentes concernant le respect des normes en mati\u00e8re de cybers\u00e9curit\u00e9. Quant \u00e0 l\u2019Office f\u00e9d\u00e9ral des transports (OFT), il se base pour ses t\u00e2ches de surveillance sur des normes existantes. Enfin, l\u2019ordonnance sur la s\u00e9curit\u00e9 de l\u2019information (OSI ; RS 128.1) fixe de mani\u00e8re contraignante les \u00e9l\u00e9ments centraux des normes pertinentes pour les unit\u00e9s administratives de l\u2019administration f\u00e9d\u00e9rale et l\u2019arm\u00e9e.
L\u2019avantage de cette approche d\u00e9centralis\u00e9e est qu\u2019il est possible de prendre en compte les sp\u00e9cificit\u00e9s de chaque secteur et de recourir aux processus de surveillance existants. Les organes comp\u00e9tents peuvent int\u00e9grer les contr\u00f4les relatifs \u00e0 la cybers\u00e9curit\u00e9 dans leurs pratiques. Sur le plan technique, ces organes b\u00e9n\u00e9ficient du soutien de l\u2019Office f\u00e9d\u00e9ral de la cybers\u00e9curit\u00e9 (OFCS), qui veille, via la norme minimale pour am\u00e9liorer la r\u00e9silience informatique, \u00e0 ce que la standardisation soit coordonn\u00e9e entre les diff\u00e9rents secteurs et \u00e0 ce que les normes soient d\u00e9velopp\u00e9es de concert avec les parties concern\u00e9es. L\u2019OFCS garantit \u00e9galement la conformit\u00e9 des prescriptions avec les normes internationales. Dans ce contexte, il n\u2019a pas besoin d\u2019\u00eatre dot\u00e9 d\u2019un pouvoir d\u2019instruction vu que cela reste de la comp\u00e9tence des autorit\u00e9s de surveillance.
Le Secr\u00e9tariat d\u2019\u00c9tat \u00e0 la politique de s\u00e9curit\u00e9 (SEPOS) et la FINMA ont en revanche un pouvoir d\u2019instruction direct par rapport aux unit\u00e9s administratives et \u00e0 l\u2019arm\u00e9e (secteur financier).
Vu l\u2019\u00e9volution dynamique de la situation en mati\u00e8re de cybermenaces, la r\u00e9silience des infrastructures critiques doit \u00eatre r\u00e9\u00e9valu\u00e9e en permanence dans les secteurs concern\u00e9s. Les indicateurs permettant une telle \u00e9valuation sont les suivants : mise en \u0153uvre de mesures de protection, temps de r\u00e9action pour rem\u00e9dier aux vuln\u00e9rabilit\u00e9s et nombre de cyberattaques r\u00e9ussies ainsi que leurs impacts. L\u2019obligation de signaler les cyberattaques port\u00e9es aux infrastructures critiques, entr\u00e9e en vigueur au 1er avril 2025, permettra \u00e0 l\u2019OFCS d\u2019avoir une meilleure vue d\u2019ensemble des cyberattaques r\u00e9ussies (dernier indicateur susmentionn\u00e9).
Les d\u00e9fis pos\u00e9s par les cybermenaces restent de taille pour tous les acteurs impliqu\u00e9s. Il n\u2019y a toutefois aucun signe indiquant que les entreprises suisses seraient, en comparaison internationale, moins bien prot\u00e9g\u00e9es. Dans le cadre de ses comp\u00e9tences, le Conseil f\u00e9d\u00e9ral continuera \u00e0 encourager l\u2019application de normes en mati\u00e8re de cybers\u00e9curit\u00e9. Il \u00e9value donc en continu la n\u00e9cessit\u00e9 d\u2019\u00e9dicter des prescriptions l\u00e9gales suppl\u00e9mentaires et d\u2019allouer davantage de moyens financiers aux services comp\u00e9tents de l\u2019OFCS. Dans le cadre de la mise en \u0153uvre de mesures de protection contre les cybermenaces, une collaboration \u00e9troite et empreinte de confiance entre les autorit\u00e9s et les entreprises est tout aussi importante que l\u2019introduction de normes et le contr\u00f4le de leur respect.
","FederalCouncilProposal":null,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1747180800000)\/","SubmittedBy":"Blunschy Dominik","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1758880935000)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"D\u00e9partement de la d\u00e9fense, de la protection de la population et des sports","ResponsibleDepartmentAbbreviation":"DDPS","IsLeadingDepartment":true,"Tags":"4|9|34","Category":null,"Modified":"\/Date(1763089941087)\/","SubmissionDate":"\/Date(1742342400000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5207,"SubmissionLegislativePeriod":52,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique d'Etat|Politique de s\u00e9curit\u00e9|M\u00e9dias et communication"}}