En se dotant d\u2019un r\u00e8glement sur la cyberr\u00e9silience, l\u2019Union europ\u00e9enne (UE) entend am\u00e9liorer la s\u00e9curit\u00e9 des consommateurs et des entreprises par la mise en place de normes sur la cybers\u00e9curit\u00e9 pour les produits comportant des \u00e9l\u00e9ments num\u00e9riques et l\u2019obligation faite aux fabricants et aux d\u00e9taillants de garantir la cybers\u00e9curit\u00e9 tout au long du cycle de vie des produits. De nos jours, nombre de produits comportant des \u00e9l\u00e9ments num\u00e9riques n\u2019offrent pas des garanties de s\u00e9curit\u00e9 suffisantes, et les mises \u00e0 jour de s\u00e9curit\u00e9 tardent \u00e0 arriver. En outre, il est difficile aux utilisateurs de savoir lesquels de ces produits sont vraiment s\u00fbrs et comment les configurer correctement. Le r\u00e8glement sur la cyberr\u00e9silience contribue \u00e0 faire en sorte que la cybers\u00e9curit\u00e9 soit prise en compte d\u00e8s la phase de conception des produits.
Dans sa r\u00e9ponse \u00e0 l\u2019interpellation 23.3719, le Conseil f\u00e9d\u00e9ral a expliqu\u00e9 qu\u2019il suivait de pr\u00e8s l\u2019\u00e9volution de la r\u00e9glementation europ\u00e9enne, mais qu\u2019il fallait attendre l\u2019entr\u00e9e en vigueur du r\u00e8glement pour en tirer des enseignements. Le r\u00e8glement sur la cyberr\u00e9silience est entr\u00e9 en vigueur le 10 d\u00e9cembre 2024. Les principales obligations qui en d\u00e9coulent s\u2019appliqueront \u00e0 compter du 11 d\u00e9cembre 2027.
Dans ce contexte, je prie le Conseil f\u00e9d\u00e9ral de r\u00e9ponse aux questions suivantes :
1. Le r\u00e8glement concernant des exigences de cybers\u00e9curit\u00e9 horizontales pour les produits comportant des \u00e9l\u00e9ments num\u00e9riques 2024/2874 (Cyber Resilience Act, CRA) de l\u2019Union europ\u00e9enne (UE) vise principalement \u00e0 am\u00e9liorer la cybers\u00e9curit\u00e9 de produits comportant des \u00e9l\u00e9ments num\u00e9riques pour r\u00e9duire le nombre de cyberincidents et les co\u00fbts qu\u2019ils engendrent, en obligeant les fabricants \u00e0 identifier et corriger les failles de s\u00e9curit\u00e9 et \u00e0 fournir des mises \u00e0 jour de s\u00e9curit\u00e9 en temps voulu pendant toute la dur\u00e9e de vie de leurs produits, ou au maximum pendant cinq ans. Il permet d\u2019harmoniser la r\u00e9glementation en mati\u00e8re de s\u00e9curit\u00e9 pour ces produits et de promouvoir la transparence aupr\u00e8s des consommatrices et des consommateurs. En outre, il doit contribuer \u00e0 renforcer la r\u00e9putation des fabricants europ\u00e9ens de produits comportant des \u00e9l\u00e9ments num\u00e9riques sur le march\u00e9 mondial, en mettant en avant la s\u00e9curit\u00e9 des appareils europ\u00e9ens, consid\u00e9r\u00e9e comme plus \u00e9lev\u00e9e que celle des appareils fabriqu\u00e9s par la concurrence.
2. Si la Suisse ne reprend pas le CRA, elle ne s\u2019exposera pas n\u00e9cessairement \u00e0 des risques en mati\u00e8re de cybers\u00e9curit\u00e9. Une grande partie des produits distribu\u00e9s en Suisse est \u00e9galement vendue sur le march\u00e9 europ\u00e9en et doit donc r\u00e9pondre aux exigences du CRA. Toutefois, les autorit\u00e9s doivent pouvoir emp\u00eacher la distribution de produits connect\u00e9s dont la cybers\u00e9curit\u00e9 est insuffisante. Aujourd'hui, c'est d\u00e9j\u00e0 possible pour les appareils sans fil connect\u00e9s \u00e0 Internet (\u00ab Internet des objets \u00bb) gr\u00e2ce \u00e0 l'ordonnance de l'Office f\u00e9d\u00e9ral de l'\u00e9nergie sur les installations de t\u00e9l\u00e9communication (OOIT ; RS 784.101.21) qui renvoie, via l'art. 7 de l'ordonnance sur les installations de t\u00e9l\u00e9communication (OOIT ; RS 784.101.2), aux exigences de l'ordonnance d\u00e9l\u00e9gu\u00e9e (UE) 2022/30 compl\u00e9tant la directive europ\u00e9enne 2014/53/UE relative aux \u00e9quipements radio\u00e9lectriques. La Commission europ\u00e9enne pr\u00e9voit d\u2019adapter ou d\u2019abroger ce texte l\u00e9gislatif lors de la mise en \u0153uvre du CRA. Si le projet est mis en \u0153uvre, la Suisse devra d\u00e9cider comment adapter l\u2019OOIT pour \u00e0 ce que la cybers\u00e9curit\u00e9 du pays ne soit pas menac\u00e9e par la distribution de produits non s\u00e9curis\u00e9s.
3. Toutes les entreprises suisses qui souhaitent exporter vers l\u2019UE des produits comportant des \u00e9l\u00e9ments num\u00e9riques seront tenues de respecter les exigences du droit europ\u00e9en. \u00c0 partir de d\u00e9cembre 2027, les produits import\u00e9s dans l\u2019UE devront mentionner les coordonn\u00e9es du fabricant suisse, soit directement sur le produit, soit dans la documentation jointe. En outre, les fabricants devront \u00e9valuer la cybers\u00e9curit\u00e9 au moyen d\u2019une auto-\u00e9valuation pour pr\u00e8s de 90 % des produits comportant des \u00e9l\u00e9ments num\u00e9riques (produits de consommation priv\u00e9e connect\u00e9s \u00e0 des r\u00e9seaux ou \u00e0 d\u2019autres appareils). Dans le cas de produits consid\u00e9r\u00e9s comme importants ou critiques par le CRA, ils devront faire contr\u00f4ler la marchandise par un organisme d\u2019\u00e9valuation de la conformit\u00e9 agr\u00e9\u00e9 par l\u2019UE, conform\u00e9ment \u00e0 la l\u00e9gislation europ\u00e9enne. Ces exigences incombent aux entreprises et la Conf\u00e9d\u00e9ration ne pr\u00e9voit aucune aide en la mati\u00e8re. Si la Suisse disposait d\u2019une l\u00e9gislation similaire, ces obstacles, comme l\u2019obligation de donner ses coordonn\u00e9es, pourraient \u00eatre lev\u00e9s au moyen d\u2019un accord avec l\u2019UE (reconnaissance de l\u2019\u00e9quivalence).
4. Le 4 septembre 2024, le Parlement a transmis la motion 24.3810 \u00ab R\u00e9alisation de contr\u00f4les de cybers\u00e9curit\u00e9 urgents et n\u00e9cessaires \u00bb, qui charge le Conseil f\u00e9d\u00e9ral de cr\u00e9er les bases l\u00e9gales n\u00e9cessaires aux contr\u00f4les de cybers\u00e9curit\u00e9. C\u2019est dans le cadre du traitement de cette motion que le Conseil f\u00e9d\u00e9ral prendra une d\u00e9cision de principe sur la reprise du CRA par la Suisse.
","FederalCouncilProposal":null,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1747180800000)\/","SubmittedBy":"Molina Fabian","BusinessStatus":203,"BusinessStatusText":"L\u2019avis relatif \u00e0 l\u2019intervention est disponible","BusinessStatusDate":"\/Date(1747241181657)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"D\u00e9partement de la d\u00e9fense, de la protection de la population et des sports","ResponsibleDepartmentAbbreviation":"DDPS","IsLeadingDepartment":true,"Tags":"9|10|34","Category":null,"Modified":"\/Date(1763089312183)\/","SubmissionDate":"\/Date(1742515200000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5207,"SubmissionLegislativePeriod":52,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique de s\u00e9curit\u00e9|Politique europ\u00e9enne|M\u00e9dias et communication"}}