Le Parlement a décidé d’introduire une obligation de signaler les cyberattaques touchant des infrastructures critiques. L’ordonnance sur la cybersécurité (OCyS), réglera la mise en œuvre de la nouvelle obligation. Celle-ci entrera en vigueur au cours du premier semestre 2025.
Obligation de signaler inscrite dans la loi sur la sécurité de l’information
Un examen de la faisabilité d’introduire une obligation de signaler a déjà été exigé lors de l’établissement de la stratégie nationale de protection de la Suisse contre les cyberrisques pour les années 2018 à 2022. En 2021, le Conseil fédéral a décidé de créer les bases légales permettant d’introduire une telle obligation au moyen d’une adaptation de la loi sur la sécurité de l’information (LSI).
- Il a mis en consultation la modification de cette dernière le 12 janvier 2022. La procédure a montré que les milieux économiques, le secteur de la recherche et les cantons seraient en principe favorables à la nouvelle exigence.
- Le 2 décembre 2022, le Conseil fédéral a approuvé le message relatif à la modification de la LSI visant à mettre en place une obligation de signaler les cyberattaques contre les infrastructures critiques.
- Le Parlement a adopté la modification de la LSI le 29 septembre 2023.
Mise en œuvre réglée par l'ordonnance sur la cybersécurité
Avec l’OCyS, le Conseil fédéral montre comment il entend concrétiser l’obligation de signaler et désigne les organes qui en seront exemptés. Ainsi, l’OCyS fixe les exceptions à la nouvelle obligation pour les autorités et les organisations, définit les cyberattaques à signaler et précise les contenus devant être annoncés. Elle indique aussi les procédures permettant de remplir cette obligation et règle les délais et la conclusion des signalements.
- Le Conseil fédéral a mis l’OCyS en consultation le 22 mai 2024. La procédure a couru jusqu’au 13 septembre 2024.
Prochaines étapes :
Au premier trimestre 2025, l'ordonnance sur la cybersécurité sera soumise au Conseil fédéral. L'introduction de l'obligation de signaler les cyberattaques visant les infrastructures critiques devrait avoir lieu dans le courant du premier semestre 2025.
Informations complémentaires
Dernière modification 06.01.2025
