Politiques publiques
Points saillants de l'obligation de signaler les cyberattaques
Les cyber-attaques sont aujourd'hui une réalité largement répandue. Les prestataires de services pour les personnes ayant besoin de soutien traitent souvent des données sensibles, en général sous forme électronique. Les institutions médicalisées comptent au nombre des infrastructures critiques, pour lesquelles s'applique une obligation de signaler toute cyberattaque. En voici les points essentiels.
Un cadre et une obligation alors que les risques cybernétiques s’accroissent
La loi fédérale sur la sécurité de l'information impose une obligation de signaler les cyberattaques visant des infrastructures critiques. Par «infrastructures critiques», on entend les systèmes de services et d'approvisionnement qui sont essentiels à l'économie et aux moyens de subsistance de la population.
Pourquoi une obligation d’annonce?
L'obligation d'annonce a pour objectif de renforcer la cybersécurité en Suisse:
- Elle permet à l’Office fédéral de la cybersécurité (OFCS) d'identifier à temps les modes d'attaques contre des infrastructures critiques et d'avertir les entreprises et les entités administratives susceptibles d’être touchées.
- Les signalements permettent également à l’OFCS de recommander des mesures de prévention et de protection appropriées aux entreprises et aux entités administratives.
Une partie des fournisseurs de prestations pour les personnes ayant besoin de soutien comptent au nombre des infrastructures critiques
L'obligation d’annonce s'applique également aux institutions pour personnes ayant besoin de soutien lorsqu'elles:
- ont été inscrites par les autorités cantonales sur la liste des hôpitaux et autres établissements médicalisés, car elles constituent alors un pan des infrastructures critiques de la Suisse;
- sont considérées en vertu du droit cantonal comme des organes d'exécution des autorités, par exemple parce qu’elles ont signé un contrat de prestations avec les autorités cantonales.
L’obligation d'annonce en bref
Les points clés de l'obligation de signaler les cyber-attaques sont les suivants:
- l’OFCS constitue l’instance auprès de laquelle il faudra annoncer les cyber-attaques;
- l’annonce doit être effectuée dans les 24 heures suivant la découverte de la cyber-attaque;
- en signalant une cyberattaque, l’entreprise visée a droit au soutien de l’OFCS dans la gestion de l'incident;
- l’annonce peut être faite par voie électronique via le site web de l’OFCS, comme c’est déjà le cas aujourd’hui;
- les incidents peuvent ne pas être annoncés s’ils n’entraînent que des dysfonctionnements mineurs.
Plateforme ad hoc pour un échange d'informations sécurisé
Les établissements soumis à l’obligation d'annonce ont en outre accès à une plateforme électronique mise en place par l’OFCS afin de permettre un échange d'informations sécurisé. Pour y accéder, les établissements doivent s'enregistrer. Ils peuvent ainsi accéder à des informations actualisées sur les menaces informatiques et signaler rapidement et efficacement toute cyber-attaque.
Sur requête, l’OFCS indique aux établissements s’ils sont effectivement soumis à l'obligation d’annonce, mais toute attaque peut quoi qu’il en soit être signalées volontairement.
