Ordonnance
sur la protection contre les cyberrisques
dans l’administration fédérale
(Ordonnance sur les cyberrisques, OPCy)

Le Conseil fédéral assume les fonctions suivantes:

1. surveiller la mise en œuvre de la SNPC au moyen du contrôle de gestion stratégique et adopter des mesures si nécessaire;

2. décider, dans les limites de ses compétences, dans quels domaines il convient d’édicter ou de modifier des directives en matière de protection contre les cyberrisques;

3. édicter des instructions sur la protection de l’administration fédérale contre les cyberrisques;

4. autoriser des dérogations à ses directives.

Le Groupe Cyber se compose:

1. du délégué à la cybersécurité (art. 6a de l’ordonnance du 17 février 2010 sur l’organisation du Département fédéral des finances⁷), qui représente le Département fédéral des finances (DFF);

2. d’un représentant du Département fédéral de la défense, de la protection de la population et des sports (DDPS);

3. d’un représentant du Département fédéral de justice et police (DFJP);

4. d’un représentant des cantons, désigné par la conférence des gouvernements cantonaux compétente.

Il est présidé par le délégué à la cybersécurité.

Il informe les représentants des autres unités administratives actives dans le domaine des cyberrisques sur les points inscrits à l’ordre du jour et peut les inviter à assister à certaines de ses séances. S’agissant des aspects de politique extérieure, il fait appel au Département des affaires étrangères (DFAE). Il peut également recourir à des experts des milieux économiques et des hautes écoles.

Le Groupe Cyber assume notamment les tâches suivantes:

1. évaluer les cyberrisques et leur évolution probable au moyen d’informations relevant des domaines de la cybersécurité, de la cyberdéfense et de la poursuite pénale de la cybercriminalité;

2. évaluer en permanence les dispositifs existants dans les domaines de la cybersécurité, de la cyberdéfense et de la poursuite pénale de la cybercriminalité et vérifier leur adéquation à la situation;

3. accompagner, au besoin en collaboration avec d’autres services, la gestion interdépartementale des incidents;

4. informer le Groupe Sécurité de la Confédération des cyberincidents et des développements relevant de la politique extérieure et de la politique de sécurité.

Les trois départements représentés au sein du Groupe Cyber mettent à disposition les informations permettant une évaluation commune de la situation.

Le Service de renseignement de la Confédération (SRC) fournit au Groupe Cyber une vue d’ensemble de la situation en matière de cybermenace.

Le Conseil fédéral met en place un comité de pilotage de la stratégie nationale de protection de la Suisse contre les cyberrisques (CP SNPC).

Le CP SNPC se compose du délégué à la cybersécurité, de représentants des cantons désignés par la conférence des gouvernements cantonaux compétente, de représentants des milieux économiques et des hautes écoles ainsi que de représentants des unités administratives qui ont la haute main sur la mise en œuvre de mesures de la SNPC. Chaque département et la Chancellerie fédérale disposent au moins d’un représentant au sein du CP SNPC.

Le CP SNPC est présidé par le délégué à la cybersécurité.

Il assume les tâches suivantes:

1. veiller à la cohérence stratégique lors de la mise en œuvre des mesures de la SNPC et évaluer en permanence leur état d’avancement au moyen d’un contrôle de gestion stratégique;

2. proposer des mesures d’urgence en cas de mise en œuvre tardive ou incomplète des mesures de la SNPC;

3. assurer le développement continu de la SNPC en suivant l’évolution de la menace en concertation avec le Groupe Cyber et proposer au besoin des ajustements de la SNPC;

4. rendre compte chaque année au Conseil fédéral et au grand public de la mise en œuvre de la SNPC;

5. veiller à ce que les acteurs de la Confédération, des cantons, des milieux économiques et des hautes écoles adoptent une approche coordonnée dans la mise en œuvre des mesures de la SNPC;

6. veiller à ce que la mise en œuvre des mesures de la SNPC tienne compte de la politique de gestion des risques menée par la Confédération, de la stratégie nationale de protection des infrastructures critiques et des stratégies informatiques du Conseil fédéral.

Le comité pour la sécurité informatique (C-SI) se compose d’un représentant du Centre national pour la cybersécurité (NCSC⁸), des délégués à la sécurité informatique des départements et de la Chancellerie fédérale et du délégué à la sécurité informatique des services standard.

Il peut faire appel à d’autres personnes à titre consultatif.

Il est présidé par le représentant du NCSC.

Il est l’organe consultatif du NCSC pour les questions de sécurité informatique dans l’administration fédérale.

Le délégué à la cybersécurité assume les tâches suivantes:

1. diriger le NCSC;

2. veiller à une coordination optimale des travaux interdépartementaux des domaines de la cybersécurité, de la cyberdéfense et de la poursuite pénale de la cybercriminalité;

3. assurer la visibilité des activités de la Confédération dans le domaine des cyberrisques, contribuer à la création de conditions favorables à l’innovation dans le secteur de la cybersécurité, assumer le rôle d’interlocuteur de référence de la Confédération en matière de cyberrisques et représenter celle-ci au sein des commissions et groupes de travail concernés; veiller à une coordination optimale des travaux des cantons et de la Confédération afin d’assurer la protection de la Suisse contre les cyberrisques;

4. représenter le NCSC dans les états-majors de crise de la Confédération;

5. édicter des directives en matière de sécurité informatique;

6. ⁹décider de dérogations aux directives qu’il a édictées; si ces dérogations concernent également les directives de la Chancellerie fédérale concernant la transformation numérique et la gouvernance de l’informatique, il consulte cette dernière au préalable.

Il informe régulièrement le DFF, à l’intention du Conseil fédéral, de l’état de la sécurité informatique au sein des départements et de la Chancellerie fédérale.

Il peut participer à l’élaboration de directives informatiques de l’administration fédérale qui concernent la cybersécurité et à des projets informatiques ayant une incidence sur la sécurité. Il peut notamment demander des informations, se prononcer à ce sujet et formuler des modifications.

Il peut demander, après consultation du Contrôle fédéral des finances, des vérifications de la sécurité informatique.

Le NCSC est le centre de compétences de la Confédération en matière de cyberrisques et coordonne les travaux de la Confédération dans le domaine de la cybersécurité. Il assume les tâches suivantes:

1. exploiter le guichet unique suisse en matière de cyberrisques, qui centralise les notifications émanant de l’administration fédérale, des milieux économiques, des cantons et de la population, les analyse et peut émettre des recommandations;

2. fournir, en collaboration avec les partenaires compétents au sein de l’administration fédérale, un appui subsidiaire aux exploitants d’infrastructures critiques et encourager entre eux l’échange d’informations concernant les cyberrisques;

3. diriger l’équipe d’intervention en cas d’urgence informatique (Computer Emergency Response Team, GovCERT), qui est le service spécialisé national pour la gestion technique des cyberincidents, l’analyse des questions techniques, l’évaluation technique des menaces et l’appui technique au guichet unique suisse;

4. diriger le service spécialisé de sécurité informatique de la Confédération, qui élabore des directives en matière de sécurité informatique, conseille les unités administratives lors de leur application et vérifie le niveau de sécurité informatique au sein des départements et de la Chancellerie fédérale;

5. désigner les délégués à la sécurité informatique de la Confédération (DSIC);

6. coordonner la mise en œuvre de la SNPC, effectuer un contrôle de gestion stratégique de la SNPC et préparer les séances du Groupe Cyber et du CP SNPC;

7. disposer d’un pool d’experts chargés d’assister les offices spécialisés dans la mise en œuvre de mesures de la SNPC ainsi que dans le développement, la mise en œuvre et l’évaluation de normes et de réglementations en matière de cybersécurité;

8. contribuer à sensibiliser l’administration fédérale et le grand public aux cyberrisques au moyen d’informations ciblées, informer sur l’état de la situation et publier des instructions sur les mesures préventives ou réactives à prendre;

9. exploiter une infrastructure d’analyse et de communication résiliente qui fonctionne indépendamment du reste de l’informatique de la Confédération;

10. informer le Groupe Cyber des cyberincidents et, lorsque ceux-ci sont importants du point de vue de la politique extérieure et de la politique de sécurité, en informer également le Groupe Sécurité de la Confédération.

Il peut traiter les données relatives aux cyberincidents et aux flux de communication correspondants pour autant que ce traitement soit utile, directement ou indirectement, à la protection de l’administration fédérale contre les cyberrisques. Il peut communiquer ces données à des équipes de sécurité publiques ou privées si:

1. le fournisseur des données y consent; et

2. aucune obligation légale de garder le secret n’est enfreinte.

La communication de données personnelles à l’étranger n’est autorisée que si la législation fédérale sur la protection des données est respectée.

Les données sensibles ne peuvent être traitées que si une base légale autorise leur traitement par des moyens informatiques de la Confédération.

En concertation avec les services concernés de l’administration fédérale, le NCSC prend la haute main sur la gestion des cyberincidents présentant une menace pour le bon fonctionnement de l’administration fédérale. Le cas échéant, il assume les tâches et compétences suivantes:

1. il peut obtenir des fournisseurs et des bénéficiaires de prestations concernés toutes les informations nécessaires;

2. il peut ordonner des mesures d’urgence;

3. il informe de son action la direction des unités administratives concernées

Si les mesures prises à la suite d’un cyberincident ont permis de réduire à un niveau acceptable la menace pour la confidentialité ou le fonctionnement de l’administration fédérale et que les travaux de suivi nécessaires et leur financement ont été arrêtés, le NCSC rend la responsabilité de la gestion aux services concernés.

À la fin de chaque année, les départements et la Chancellerie fédérale informent le NCSC de l’état de la sécurité informatique.

Les fournisseurs de prestations internes visés à l’art. 9 OTNI¹⁰ rendent régulièrement compte au NCSC des failles de sécurité et des cyberincidents détectés ainsi que des mesures prises ou prévues pour y remédier.¹¹

Les départements et la Chancellerie fédérale désignent chacun un délégué à la sécurité informatique (DSID), qui agit sur mandat direct de la direction du département.¹²

Les DSID assument notamment les tâches suivantes:

1. coordonner les aspects de la sécurité informatique au sein du département ou de la Chancellerie fédérale ainsi qu’avec les services compétents en matière de coordination et de collaboration au niveau interdépartemental;

2. élaborer les bases nécessaires à la mise en œuvre des directives en matière de sécurité informatique et à l’organisation au niveau du département ou de la Chancellerie fédérale.¹³

Les départements et la Chancellerie fédérale règlent les relations entre le DSID et les délégués à la sécurité informatique des unités administratives (DSIO), notamment la conduite technique en matière de sécurité.¹⁴

Les unités administratives désignent chacune un DSIO, qui agit sur mandat direct de la direction de l’unité administrative. Le secteur Transformation numérique et gouvernance de l’informatique de la Chancellerie fédérale (secteur TNI de la ChF) désigne en outre un délégué à la sécurité informatique des services standard.

Les DSIO et le délégué à la sécurité informatique des services informatiques standard assument les tâches suivantes:

1. veiller à la mise en œuvre rapide des directives en matière de sécurité informatique et à l’application des procédures de sécurité dans les unités administratives (chap. 3a);

2. veiller à ce que les collaborateurs soient sensibilisés et formés aux enjeux de la sécurité informatique à leur entrée en fonction puis à intervalles réguliers, et à ce qu’ils connaissent, au niveau qui les concerne et selon leur fonction, les compétences et les procédures applicables en matière de sécurité informatique dans leur environnement de travail;

3. informer le responsable de leur unité administrative au moins tous les six mois de l’état de la sécurité informatique dans l’unité administrative.

Les unités administratives sont responsables de la sécurité de leurs objets informatiques à protéger. Elles assument les fonctions suivantes:

1. faire l’inventaire de leurs objets informatiques à protéger et prendre les mesures de sécurité nécessaires; veiller notamment à ce que ces mesures soient consignées sous une forme actualisée pour chaque objet informatique à protéger;

2. s’assurer du respect et de la mise en œuvre des directives en matière de sécurité informatique, des procédures de sécurité et des décisions du Conseil fédéral, du NCSC et des départements ou de la Chancellerie fédérale dans leurs domaines de compétence respectifs;

3. sous réserve de l’art. 12, al. 5, gérer tout cyberincident touchant leurs objets informatiques à protéger;

4. s’assurer qu’en cas d’acquisition de prestations auprès d’un fournisseur externe, les directives en matière de sécurité informatique font partie intégrante du contrat;

5. vérifier de manière appropriée que les directives en matière de sécurité informatique sont respectées par les fournisseurs externes;

6. veiller à ce que les responsabilités en matière de sécurité informatique soient définies au niveau opérationnel dans les accords de projets et les conventions de prestations conclus entre les fournisseurs et les bénéficiaires de prestations;

7. veiller à ce que les personnes non soumises à la présente ordonnance ne puissent accéder à l’infrastructure informatique de la Confédération que si elles s’engagent à respecter les directives en matière de sécurité informatique.

Les fournisseurs de prestations assument les fonctions suivantes:

1. transmettre aux bénéficiaires de prestations, à la demande de ceux-ci et sous une forme appropriée, toutes les informations nécessaires à la protection de leurs objets informatiques à protéger;

2. veiller à disposer des capacités nécessaires à l’analyse technique et à la gestion des cyberincidents qui les concernent ou qui concernent leurs bénéficiaires de prestations;

3. informer sans délai leurs bénéficiaires de prestations des failles et des incidents de sécurité détectés qui concernent leurs objets informatiques à protéger;

4. définir, en collaboration avec les bénéficiaires de prestations, un processus de gestion des cyberincidents; celui-ci règle en particulier les compétences décisionnelles dont relèvent les mesures d’urgence.

Si un cyberincident ne peut être géré dans le cadre du processus défini, les personnes concernées informent le NCSC afin de définir la marche à suivre.

Les unités administratives consultent le NCSC pour ce qui concerne les directives et projets informatiques ayant une incidence sur la sécurité.

Elles sont responsables du développement, de la mise en œuvre et de l’évaluation de normes et de réglementations en matière de cybersécurité dans leurs domaines respectifs. Le NCSC met à leur disposition, dans la mesure des possibilités, des experts du pool visé à l’art. 12, al. 1, let. g.

Les collaborateurs de l’administration fédérale qui utilisent des moyens informatiques sont responsables de leur utilisation conforme aux prescriptions.