Poursuites pénales en cas d'attaques DDoS (cyberattaques). Quel soutien la Confédération fournit-elle aux cantons, qui ne disposent pas toujours du savoir-faire requis?

Wortlaut

La Centrale d'enregistrement et d'analyse pour la sûreté de l'information Melani a indiqué dans son rapport de situation du 28 avril 2016 que le second semestre 2015 avait été marqué par des cyberincidents parfois spectaculaires. Ces incidents ont consisté notamment en attaques par déni de service distribué ("distributed denial of service", DDoS), en hameçonnages ("phishing") et en attaques contre des systèmes de contrôle industriels.

En 2013, la jurisprudence du Tribunal pénal fédéral a créé une compétence fédérale en matière de hameçonnage, première compétence attribuée à la Confédération dans le domaine de la cybercriminalité. Au cours du premier trimestre 2016, la Suisse a été victime d'attaques DDoS à large échelle qui ont paralysé de très nombreux commerces et sites web (CFF, Interdiscount, Le Shop, Digitec, Microspot, etc.). Les dommages ont atteint plusieurs millions de francs et des messages de chantage ont été envoyés. Les entreprises concernées ont porté plainte contre inconnu auprès de la justice cantonale, alors que les cantons ne disposent pas toujours du savoir-faire en la matière. Il ne semble pas y avoir de processus réglementé pour ce type de cas. La cybercriminalité se joue des frontières et déborde largement du cadre cantonal. Les possibilités d'investigation des cantons sont donc fortement limitées. À cela s'ajoute le fait que le savoir-faire et les moyens d'investigation varient beaucoup d'un canton à l'autre. Pour faire face à cette nouvelle menace, il faut mettre en commun les expériences et les capacités.

Le Conseil fédéral est prié de répondre aux questions suivantes afin d'optimiser les poursuites judiciaires en matière de cybercriminalité, dans le respect du système fédéral :

1. Les poursuites judiciaires pour attaque par déni de service distribué (DDoS), et le cas échéant pour chantage, ont une dimension internationale et non une dimension nationale ou cantonale. La mise en place d'un centre de compétences intercantonal ou l'instauration d'une compétence fédérale en matière d'attaques DDoS peuvent-elles améliorer la situation en matière de poursuites ?

2. Quelles mesures la Confédération peut-elle prendre pour améliorer et garantir la coordination et l'efficacité des poursuites dans tous les cantons en cas d'attaque DDoS ou de chantage, y compris lorsque le canton ne dispose pas du savoir-faire requis ?

3. Autres actes de cybercriminalité : y aurait-il lieu de confier à des centres de compétences le traitement d'actes de cybercriminalité autres que le hameçonnage ou les attaques DDoS ?

Stellungnahme des Bundesrates

1. La lutte contre la cybercriminalité incombe essentiellement aux autorités cantonales de poursuite pénale. Lorsqu'ils relèvent de la cybercriminalité, les faits à analyser peuvent être du ressort de plusieurs autorités de poursuite pénale. Le Code de procédure pénale (RS 312.0) prévoit aux articles 22 et suivants des règles permettant de résoudre ces conflits.

Une coordination nationale et internationale institutionnalisée est nécessaire pour lutter efficacement contre le phénomène généralisé de la cybercriminalité. La mesure 6 de la Stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC) tient compte de cette nécessité. Elle vise à établir une vue d'ensemble aussi large que possible des cas (infractions) au niveau national et à coordonner les cas complexes intercantonaux. Le DFJP a été chargé d'établir, en collaboration avec la Conférence des directrices et directeurs des départements cantonaux de justice et police, un projet relatif à la mesure 6 de la SNPC, qui devra être soumis au Conseil fédéral fin 2016.

La Conférence des commandants des polices cantonales de Suisse (CCPCS) a pour sa part été chargée de concevoir un dispositif national relatif à la cybercriminalité et à la forensique informatique. Ces travaux seront l'occasion de clarifier la question des besoins en termes d'organisation et d'infrastructure et celle de la poursuite pénale, au niveau suisse, de la cybercriminalité dans toute sa globalité. Il s'agira aussi de déterminer si la mise en place de centres concordataires ou d'un centre national de compétences sera à même d'assurer une poursuite pénale plus efficace des cas de cybercriminalité en Suisse. Cette analyse sera également la base sur laquelle se fonderont les réflexions quant à d'éventuelles modifications du droit.

Par ailleurs, le Service national de coordination de la lutte contre la criminalité sur Internet (SCOCI) de Fedpol, financé conjointement par la Confédération et les cantons, est un centre de compétences à la disposition des cantons depuis 2003 pour répondre à leurs questions au sujet de la cybercriminalité. Le SCOCI sert également d'interface entre les autorités nationales et internationales de poursuite pénale et effectue des analyses sur la cybercriminalité.

Enfin, la coordination internationale est un élément important de la lutte contre la cybercriminalité. La Suisse a ainsi adhéré à la Convention du Conseil de l'Europe sur la cybercriminalité en 2012. Fedpol travaille étroitement avec les organisations policières internationales que sont Interpol et Europol, le Centre européen de lutte contre la cybercriminalité (EC3) jouant un rôle important dans ce contexte.

2. En collaboration avec les autorités policières cantonales menant les enquêtes et avec la Centrale d'enregistrement et d'analyse pour la sûreté de l'information (Melani), Fedpol analyse depuis 2015 le phénomène spécifique des attaques DDoS et des messages de chantage qui y sont liés et assure dans ce contexte l'échange international d'informations avec Europol (Focal Point Cyborg) et Interpol. En février 2016, Fedpol a communiqué les conclusions nationales et internationales au sujet des incidents récents et convenu d'autres mesures avec les cantons concernés. En mars 2016, Fedpol a livré aux autorités cantonales de poursuite pénale un rapport analysant les modes opératoires et les cybercriminels. Tout canton manquant de savoir-faire ou rencontrant des difficultés dans ses enquêtes peut demander l'aide de Fedpol.

3. Les questions relatives à l'organisation et à l'infrastructure de la poursuite pénale de la cybercriminalité en Suisse sont, eu égard aux structures fédéralistes, l'objet du dispositif national relatif à la cybercriminalité et à la forensique informatique que la CCPCS et Fedpol sont en train d'élaborer.

Réponse du Conseil fédéral.