Lors de sa séance du 13 décembre 2019, le Conseil fédéral a adopté le rapport «Obligation de déclarer les incidents graves affectant la sécurité des infrastructures critiques: solutions possibles». Ce rapport décrit les principales questions qui se posent au sujet de l’introduction d’obligations de déclarer et présente plusieurs modèles possibles pour la mise en œuvre de telles obligations. Le Conseil fédéral se fondera sur les résultats de ce rapport pour prendre, d’ici à fin 2020, des décisions de principe sur l’introduction d’obligations de déclarer.
En Suisse, il n’existe pas d’obligation générale de signaler les cyberincidents. Les informations sur les cyberincidents concernant des infrastructures critiques telles que l’approvisionnement en énergie, la télécommunication et les secteurs des finances et des assurances s’échangent sur une base volontaire par l’intermédiaire de la Centrale d’enregistrement et d’analyse pour la sûreté de l’information (MELANI). Vu l’évolution rapide des cyberrisques, il faut se demander si cet échange volontaire est suffisant pour identifier à temps les menaces dans tous les secteurs. C’est pourquoi la Stratégie nationale de protection de la Suisse contre les cyberrisques prévoit l’examen d’obligations de notifier dans ce domaine. En outre, le Parlement a transmis un postulat (17.3475 Graf-Litscher) qui charge le Conseil fédéral de présenter un rapport sur les possibilités d’introduire des obligations de signaler les incidents de sécurité affectant les infrastructures critiques.
Source : Bund