Wortlaut

La sécurité et l'approvisionnement de la Suisse reposent notamment sur des infrastructures critiques en parfait état de fonctionnement. Les exploitants de ces infrastructures achètent des systèmes et des composants informatiques auprès de différents fournisseurs nationaux ou internationaux.

La complexité qui en résulte se traduit par des cyberrisques qui compromettent la disponibilité, la confidentialité et l'intégrité physique des infrastructures critiques et de la sécurité de l'approvisionnement du pays. Plus particulièrement, l'intégrité des acquisitions numériques (accès non signalés, vulnérabilités implantées intentionnellement) se révèle préoccupante.

Le Conseil fédéral est chargé d'analyser les standards nationaux et internationaux (par ex. référentiel cybersécurité du NIST américain, National Institute of Standards and Technology, normes ISO, critères communs, NIST 800-161, EU4, EU5, FIPS) applicables à la gestion des risques du fournisseur et à la sécurité des systèmes, surtout des systèmes interconnectés, et de rendre ses conclusions sous la forme d'un rapport. Ce rapport s'intéressera également à la validité des standards, à leur mise en application actuelle et à leur respect pour l'ensemble des aspects touchant aux infrastructures critiques du pays et aux équipements nécessaires à leur bon fonctionnement.

Une fois que le Conseil fédéral sera en possession de ces informations, il voudra bien indiquer si les mesures actuelles suffisent à ses yeux pour détecter les risques, les évaluer et les ramener à un niveau acceptable.

Antrag des Bundesrates

Le Conseil fédéral propose d'accepter le postulat.

Stellungnahme des Bundesrates

L'achat de prestations informatiques pour les infrastructures critiques joue un rôle important dans la gestion des risques des entreprises concernées. Dans le cadre du rapport "Investissements transfrontaliers et contrôles des investissements" donnant suite aux postulats Bischof 18.3376 du 16 mars 2018 et Stöckli 18.3233 du 15 mars 2018, le Conseil fédéral a chargé le Département fédéral de l'économie, de la formation et de la recherche le 13 février 2019 d'examiner d'ici à la fin de décembre 2019, en collaboration avec le Département fédéral de la défense, de la protection de la population et des sports et le Département fédéral des finances, comment la résilience de l'informatique des infrastructures critiques en Suisse peut être améliorée par des mesures ciblées pour faire face à des activités étrangères abusives, et de lui présenter ses conclusions dans un rapport. Le présent postulat peut être traité dans le cadre de ces travaux.

Le Conseil fédéral propose d'accepter le postulat.