Donner suffisamment de moyens à la cybersécurité civile

Texte déposé

Le Conseil fédéral est chargé d’augmenter le budget 2026 de l’Office fédéral de la cybersécurité (OFCS) de 16,3 à 26,3 millions de francs. Il augmentera également le montant prévu dans la planification financière des années suivantes de 16,4 à 31,4 millions de francs. L’objectif est de donner à l’office les moyens dont il a besoin pour faire face à la forte augmentation des cybermenaces et pour gérer les tâches en lien avec la nouvelle obligation d’annoncer les cyberincidents qui découle de la révision de la loi sur la sécurité de l’information. Ces moyens supplémentaires accordés à l’OFCS seront compensés au sein du budget informatique de l’armée.

Développement

Le rapport semestriel Sécurité de l’information 2024/1 de l’OFCS montre une nette augmentation du nombre de cyberincidens. Jusqu’à la fin du mois d’octobre 2024, l’office a reçu en moyenne une annonce toutes les 8,5 minutes. Durant le premier semestre 2024, il a ainsi enregistré 34 789 incidents, soit presque deux fois plus que l’année précédente, sur la même période. Les annonces les plus fréquentes concernaient des tentatives d’escroquerie ; sur les 23 104 cas annoncés, 13 730 étaient de faux appels émanant prétendument des autorités. Le nombre de tentatives d’hameçonnage a également enregistré une hausse significative avec 6643 annonces ; il s’agissait en particulier de fausses annonces de livraison de colis et de prétendus remboursements fiscaux. Près de 90 % des annonces provenaient de particuliers et les 10 % restants d’entreprises. Jusqu’à présent, ces annonces étaient volontaires. À partir de 2025, les exploitants d’infrastructures critiques seront soumis à une obligation d’annoncer les cyberattaques.

La nette augmentation des cyberattaques, de plus en plus professionnelles et agressives, et les nouvelles tâches que le législateur assigne à l’OFCS sont en contradiction avec les moyens financiers octroyés à l’office. En effet ces prochaines années, les moyens prévus stagnent à 16 millions de francs, montant dont l’office a besoin indépendamment de ses tâches supplémentaires et de l’augmentation des menaces. C’est pourquoi, dans la première ébauche du budget 2025, une large majorité de la Commission des finances du Conseil national avait décidé d’augmenter le budget de l’OFCS de 10 millions de francs en 2025 et de 15 millions les années suivantes. Par la suite, cette modification, pourtant incontestée sur le fond, a été supprimée pour des motifs impérieux. La présente motion reprend donc cette demande.

Proposition du Conseil fédéral

Rejet

Avis du Conseil fédéral

Corrigé selon la lettre du Conseil fédéral au Bu-S du 13.6.2025

Les cybermenaces et les cyberincidents sont en constante augmentation. L'OFCS met en œuvre l’obligation de signaler les cyberattaques contre les infrastructures critiques et fait avancer le développement de l’échange d’informations sur les cybermenaces, la sensibilisation de la population, et la détection et l’élimination des vulnérabilités dans les produits et prestations numériques.

Les possibilités de l'OFCS sont toutefois limitées.

C’est pourquoi le Conseil fédéral est également de l’avis qu’il faut étudier la possibilité d’augmenter le budget de l’OFCS. Il entend analyser plus avant cette question dans le cadre des processus prévus à cet effet (cadre d’évolution du domaine propre, processus budgétaire) et de rechercher des solutions pour le financement.

Le Conseil fédéral rejette cependant la proposition de compensation intégrale au sein du budget informatique de l’armée. Les raisons sont les suivantes : d’une part, l’armée doit compenser en partie les augmentations des dépenses d’armement votées par le Parlement par des réductions des dépenses d’exploitation (dont fait également partie l’informatique) ; d’autre part, les dépenses informatiques augmentent en raison de la digitalisation croissante et du fait que les systèmes d’armement reposent de plus en plus sur les technologies informatiques. En outre, la majorité des dépenses informatiques de la Défense (qui ont une incidence sur le frein à l’endettement) sont utilisées pour des prestations du commandement Cyber. Il ne doit pas y avoir de réduction budgétaire importante dans ce domaine essentiel pour la sécurité.

Le Conseil fédéral propose de rejeter la motion.