Ordonnance
sur la protection contre les cyberrisques
dans l’administration fédérale
(Ordonnance sur les cyberrisques, OPCy)

La présente or­don­nance règle l’or­gan­isa­tion de l’ad­min­is­tra­tion fédérale de man­ière à as­surer la pro­tec­tion contre les cy­ber­risques de même que les tâches et les com­pétences des différents of­fices dans le do­maine de la cy­ber­sé­cur­ité.

La présente or­don­nance s’ap­plique:

a.

aux unités ad­min­is­trat­ives de l’ad­min­is­tra­tion fédérale cent­rale au sens de l’art. 7 de l’or­don­nance du 25 novembre 1998 sur l’or­gan­isa­tion du gouverne­ment et de l’ad­min­is­tra­tion³;

b.⁴

aux autor­ités, or­gan­isa­tions et per­sonnes visées à l’art. 2, al. 2, de l’or­don­nance du 25 novembre 2020 sur la trans­form­a­tion numérique et l’in­for­matique (OTNI)⁵ qui s’en­ga­gent à la re­specter.

Dans la présente or­don­nance, on en­tend par:

a.

cy­ber­sé­cur­ité: la situ­ation dans laquelle le traite­ment des don­nées, not­am­ment l’échange de don­nées entre les per­sonnes et les or­gan­isa­tions par l’in­ter­mé­di­aire d’in­fra­struc­tures d’in­form­a­tion et de com­mu­nic­a­tion, fonc­tionnent comme prévu;

b.

cy­ber­in­cid­ent: tout événe­ment nuis­ant à la con­fid­en­ti­al­ité, à l’in­té­grité, à la dispon­ib­il­ité ou à la traç­ab­il­ité des don­nées ou pouv­ant oc­ca­sion­ner des dys­fonc­tion­ne­ments, qu’il soit ac­ci­den­tel ou pro­voqué in­ten­tion­nelle­ment par un tiers non autor­isé;

c.

cyber­risque: le risque de sur­ven­ance d’un cy­ber­in­cid­ent, son ampleur ré­sult­ant du produit de la prob­ab­il­ité de sur­ven­ance et de l’éten­due des dom­mages;

d.

ré­si­li­ence: l’aptitude d’un sys­tème, d’une or­gan­isa­tion ou d’une so­ciété à faire face à des per­turb­a­tions in­ternes ou ex­ternes et à main­tenir son bon fonc­tion­nement ou à le ré­t­ab­lir aus­si rap­idement et com­plète­ment que pos­sible;

e.

sé­cur­ité in­form­atique: l’as­pect de la cy­ber­sé­cur­ité qui con­cerne les sys­tèmes tech­niques;

f.

dir­ect­ives en matière de sé­cur­ité in­form­atique: les ex­i­gences de sé­cur­ité con­cernant l’or­gan­isa­tion, les pro­ces­sus, les presta­tions et la tech­nique;

g.

in­frastructures cri­tiques: les pro­ces­sus, sys­tèmes et in­stall­a­tions in­dis­pens­ables au fonc­tion­nement de l’économie et au bi­en-être de la pop­u­la­tion;

h.⁶

ob­jets in­form­atiques à protéger: les ap­plic­a­tions, ser­vices, sys­tèmes, réseaux, fichiers de don­nées, in­fra­struc­tures et produits rel­ev­ant de l’in­form­atique; plusieurs ob­jets identiques ou con­nexes peuvent être re­groupés en un seul ob­jet in­form­atique à protéger.

¹ L’ad­min­is­tra­tion fédérale veille à ce que ses or­ganes et ses sys­tèmes présen­tent une ré­si­li­ence ap­pro­priée face aux cy­ber­risques.

² Elle col­labore avec les can­tons, les com­munes, les mi­lieux économiques et sci­en­ti­fiques, la so­ciété et les partenaires in­ter­na­tionaux, dans la mesure où cette col­lab­or­a­tion est utile à la pro­tec­tion de ses in­térêts en matière de sé­cur­ité; elle en­cour­age l’échange d’in­form­a­tions.

La straté­gie na­tionale de pro­tec­tion de la Suisse contre les cy­ber­risques (SN­PC) définie par le Con­seil fédéral ét­ablit le cadre straté­gique ré­gis­sant la préven­tion et la détec­tion pré­coce des cy­ber­risques, ain­si que la réac­tion et la ré­si­li­ence en cas de cy­ber­in­cid­ent.

Les mesur­es de pro­tec­tion contre les cy­ber­risques sont sub­divisées en trois do­maines:

a.

do­maine de la cy­ber­sé­cur­ité: en­semble des mesur­es vis­ant à prévenir et à gérer les in­cid­ents et à améliorer la ré­si­li­ence face aux cy­ber­risques ain­si qu’à dévelop­per la coopéra­tion in­ter­na­tionale à cet ef­fet;

b.

do­maine de la cy­ber­défense: en­semble des mesur­es prises par les ser­vices de ren­sei­gne­ment et l’armée dans le but de protéger les sys­tèmes cri­tiques dont dépend la défense na­tionale, de se défendre contre les cy­ber­at­taques, de garantir la dispon­ib­il­ité opéra­tion­nelle de l’armée dans toutes les situ­ations ay­ant trait au cyberespace et de dévelop­per ses ca­pa­cités et com­pétences afin qu’elle puisse ap­port­er un ap­pui sub­sidi­aire aux autor­ités civiles; ce do­maine in­clut égale­ment des mesur­es vis­ant à iden­ti­fi­er les men­aces et les at­taquants ain­si qu’à en­traver et à blo­quer les at­taques;

c.

do­maine de la pour­suite pénale de la cy­ber­crimin­al­ité: en­semble des mesur­es prises par la po­lice et les min­istères pub­lics de la Con­fédéra­tion et des can­tons pour lut­ter contre la cy­ber­crimin­al­ité.

Le Con­seil fédéral as­sume les fonc­tions suivantes:

a.

sur­veiller la mise en œuvre de la SN­PC au moy­en du con­trôle de ges­tion straté­gique et ad­op­ter des mesur­es si né­ces­saire;

b.

dé­cider, dans les lim­ites de ses com­pétences, dans quels do­maines il con­vi­ent d’édicter ou de mod­i­fi­er des dir­ect­ives en matière de pro­tec­tion contre les cy­ber­risques;

c.

édicter des in­struc­tions sur la pro­tec­tion de l’ad­min­is­tra­tion fédérale contre les cy­ber­risques;

d.

autor­iser des dérog­a­tions à ses dir­ect­ives.

¹ Le Groupe Cy­ber se com­pose:

a.

du délégué à la cy­ber­sé­cur­ité (art. 6a de l’or­don­nance du 17 fév­ri­er 2010 sur l’or­gan­isa­tion du Dé­parte­ment fédéral des fin­ances⁷), qui re­présente le Dé­parte­ment fédéral des fin­ances (DFF);

b.

d’un re­présent­ant du Dé­parte­ment fédéral de la défense, de la pro­tec­tion de la pop­u­la­tion et des sports (DDPS);

c.

d’un re­présent­ant du Dé­parte­ment fédéral de justice et po­lice (DFJP);

d.

d’un re­présent­ant des can­tons, désigné par la con­férence des gouverne­ments can­tonaux com­pétente.

² Il est présidé par le délégué à la cy­ber­sé­cur­ité.

³Il in­forme les re­présent­ants des autres unités ad­min­is­trat­ives act­ives dans le do­maine des cy­ber­risques sur les points in­scrits à l’or­dre du jour et peut les in­viter à as­sister à cer­taines de ses séances. S’agis­sant des as­pects de poli­tique ex­térieure, il fait ap­pel au Dé­parte­ment des af­faires étrangères (DFAE). Il peut égale­ment re­courir à des ex­perts des mi­lieux économiques et des hautes écoles.

⁴ Le Groupe Cy­ber as­sume not­am­ment les tâches suivantes:

a.

évalu­er les cy­ber­risques et leur évolu­tion prob­able au moy­en d’in­form­a­tions rel­ev­ant des do­maines de la cy­ber­sé­cur­ité, de la cy­ber­défense et de la pour­suite pénale de la cy­ber­crimin­al­ité;

b.

évalu­er en per­man­ence les dis­pos­i­tifs existants dans les do­maines de la cy­ber­sé­cur­ité, de la cy­ber­défense et de la pour­suite pénale de la cy­ber­crimin­al­ité et véri­fi­er leur adéqua­tion à la situ­ation;

c.

ac­com­pag­n­er, au be­soin en col­lab­or­a­tion avec d’autres ser­vices, la ges­tion in­ter­dé­parte­mentale des in­cid­ents;

d.

in­form­er le Groupe Sé­cur­ité de la Con­fédéra­tion des cy­ber­in­cid­ents et des dévelop­pe­ments rel­ev­ant de la poli­tique ex­térieure et de la poli­tique de sé­cur­ité.

⁵ Les trois dé­parte­ments re­présentés au sein du Groupe Cy­ber mettent à dis­pos­i­tion les in­form­a­tions per­met­tant une évalu­ation com­mune de la situ­ation.

⁶ Le Ser­vice de ren­sei­gne­ment de la Con­fédéra­tion (SRC) fournit au Groupe Cy­ber une vue d’en­semble de la situ­ation en matière de cy­ber­men­ace.

¹ Le Con­seil fédéral met en place un comité de pi­lot­age de la straté­gie na­tionale de pro­tec­tion de la Suisse contre les cy­ber­risques (CP SN­PC).

² Le CP SN­PC se com­pose du délégué à la cy­ber­sé­cur­ité, de re­présent­ants des can­tons désignés par la con­férence des gouverne­ments can­tonaux com­pétente, de re­présent­ants des mi­lieux économiques et des hautes écoles ain­si que de re­présent­ants des unités ad­min­is­trat­ives qui ont la haute main sur la mise en œuvre de mesur­es de la SN­PC. Chaque dé­parte­ment et la Chan­celler­ie fédérale dis­posent au moins d’un re­présent­ant au sein du CP SN­PC.

³ Le CP SN­PC est présidé par le délégué à la cy­ber­sé­cur­ité.

⁴ Il as­sume les tâches suivantes:

a.

veiller à la cohérence straté­gique lors de la mise en œuvre des mesur­es de la SN­PC et évalu­er en per­man­ence leur état d’avance­ment au moy­en d’un con­trôle de ges­tion straté­gique;

b.

pro­poser des mesur­es d’ur­gence en cas de mise en œuvre tar­dive ou in­com­plète des mesur­es de la SN­PC;

c.

as­surer le dévelop­pe­ment con­tinu de la SN­PC en suivant l’évolu­tion de la men­ace en con­cer­ta­tion avec le Groupe Cy­ber et pro­poser au be­soin des ajuste­ments de la SN­PC;

d.

rendre compte chaque an­née au Con­seil fédéral et au grand pub­lic de la mise en œuvre de la SN­PC;

e.

veiller à ce que les ac­teurs de la Con­fédéra­tion, des can­tons, des mi­lieux économiques et des hautes écoles ad­op­tent une ap­proche co­or­don­née dans la mise en œuvre des mesur­es de la SN­PC;

f.

veiller à ce que la mise en œuvre des mesur­es de la SN­PC tienne compte de la poli­tique de ges­tion des risques menée par la Con­fédéra­tion, de la straté­gie na­tionale de pro­tec­tion des in­fra­struc­tures cri­tiques et des straté­gies in­form­atiques du Con­seil fédéral.

¹ Le comité pour la sé­cur­ité in­form­atique (C-SI) se com­pose d’un re­présent­ant du Centre na­tion­al pour la cy­ber­sé­cur­ité (NC­SC⁸), des délégués à la sé­cur­ité in­form­atique des dé­parte­ments et de la Chan­celler­ie fédérale et du délégué à la sé­cur­ité in­form­atique des ser­vices stand­ard.

² Il peut faire ap­pel à d’autres per­sonnes à titre con­sultatif.

³ Il est présidé par le re­présent­ant du NC­SC.

⁴ Il est l’or­gane con­sultatif du NC­SC pour les ques­tions de sé­cur­ité in­form­atique dans l’ad­min­is­tra­tion fédérale.

¹ Le délégué à la cy­ber­sé­cur­ité as­sume les tâches suivantes:

a.

di­ri­ger le NC­SC;

b.

veiller à une co­ordin­a­tion op­ti­male des travaux in­ter­dé­parte­men­taux des do­maines de la cy­ber­sé­cur­ité, de la cy­ber­défense et de la pour­suite pénale de la cy­ber­crimin­al­ité;

c.

as­surer la vis­ib­il­ité des activ­ités de la Con­fédéra­tion dans le do­maine des cy­ber­risques, con­tribuer à la créa­tion de con­di­tions fa­vor­ables à l’in­nov­a­tion dans le sec­teur de la cy­ber­sé­cur­ité, as­sumer le rôle d’in­ter­locuteur de référence de la Con­fédéra­tion en matière de cy­ber­risques et re­présenter celle-ci au sein des com­mis­sions et groupes de trav­ail con­cernés; veiller à une co­ordin­a­tion op­ti­male des travaux des can­tons et de la Con­fédéra­tion afin d’as­surer la pro­tec­tion de la Suisse contre les cy­ber­risques;

d.

re­présenter le NC­SC dans les états-ma­jors de crise de la Con­fédéra­tion;

e.

édicter des dir­ect­ives en matière de sé­cur­ité in­form­atique;

f.⁹

dé­cider de dérog­a­tions aux dir­ect­ives qu’il a édictées; si ces dérog­a­tions con­cernent égale­ment les dir­ect­ives de la Chan­celler­ie fédérale con­cernant la trans­form­a­tion numérique et la gouvernance de l’in­form­atique, il con­sulte cette dernière au préal­able.

² Il in­forme régulière­ment le DFF, à l’in­ten­tion du Con­seil fédéral, de l’état de la sé­cur­ité in­form­atique au sein des dé­parte­ments et de la Chan­celler­ie fédérale.

³ Il peut par­ti­ciper à l’élab­or­a­tion de dir­ect­ives in­form­atiques de l’ad­min­is­tra­tion fédérale qui con­cernent la cy­ber­sé­cur­ité et à des pro­jets in­form­atiques ay­ant une in­cid­ence sur la sé­cur­ité. Il peut not­am­ment de­mander des in­form­a­tions, se pro­non­cer à ce sujet et for­muler des modi­fic­a­tions.

⁴ Il peut de­mander, après con­sulta­tion du Con­trôle fédéral des fin­ances, des véri­fic­a­tions de la sé­cur­ité in­form­atique.

¹ Le NC­SC est le centre de com­pétences de la Con­fédéra­tion en matière de cy­ber­risques et co­or­donne les travaux de la Con­fédéra­tion dans le do­maine de la cy­ber­sé­cur­ité. Il as­sume les tâches suivantes:

a.

ex­ploiter le guichet unique suisse en matière de cy­ber­risques, qui cent­ral­ise les no­ti­fic­a­tions éman­ant de l’ad­min­is­tra­tion fédérale, des mi­lieux économiques, des can­tons et de la pop­u­la­tion, les ana­lyse et peut émettre des re­com­manda­tions;

b.

fournir, en col­lab­or­a­tion avec les partenaires com­pétents au sein de l’ad­min­is­tra­tion fédérale, un ap­pui sub­sidi­aire aux ex­ploit­ants d’in­fra­struc­tures cri­tiques et en­cour­ager entre eux l’échange d’in­form­a­tions con­cernant les cy­ber­risques;

c.

di­ri­ger l’équipe d’in­ter­ven­tion en cas d’ur­gence in­form­atique (Com­puter Emer­gency Re­sponse Team, Gov­CERT), qui est le ser­vice spé­cial­isé na­tion­al pour la ges­tion tech­nique des cy­ber­in­cid­ents, l’ana­lyse des ques­tions tech­niques, l’évalu­ation tech­nique des men­aces et l’ap­pui tech­nique au guichet unique suisse;

d.

di­ri­ger le ser­vice spé­cial­isé de sé­cur­ité in­form­atique de la Con­fédéra­tion, qui élabore des dir­ect­ives en matière de sé­cur­ité in­form­atique, con­seille les unités ad­min­is­trat­ives lors de leur ap­plic­a­tion et véri­fie le niveau de sé­cur­ité in­form­atique au sein des dé­parte­ments et de la Chan­celler­ie fédérale;

e.

désign­er les délégués à la sé­cur­ité in­form­atique de la Con­fédéra­tion (DSIC);

f.

co­or­don­ner la mise en œuvre de la SN­PC, ef­fec­tuer un con­trôle de ges­tion straté­gique de la SN­PC et pré­parer les séances du Groupe Cy­ber et du CP SN­PC;

g.

dis­poser d’un pool d’ex­perts char­gés d’as­sister les of­fices spé­cial­isés dans la mise en œuvre de mesur­es de la SN­PC ain­si que dans le dévelop­pe­ment, la mise en œuvre et l’évalu­ation de normes et de régle­ment­a­tions en matière de cy­ber­sé­cur­ité;

h.

con­tribuer à sens­ib­il­iser l’ad­min­is­tra­tion fédérale et le grand pub­lic aux cy­ber­risques au moy­en d’in­form­a­tions ciblées, in­form­er sur l’état de la situ­ation et pub­li­er des in­struc­tions sur les mesur­es prévent­ives ou réact­ives à pren­dre;

i.

ex­ploiter une in­fra­struc­ture d’ana­lyse et de com­mu­nic­a­tion ré­si­li­ente qui fonc­tionne in­dépen­dam­ment du reste de l’in­form­atique de la Con­fédéra­tion;

j.

in­form­er le Groupe Cy­ber des cy­ber­in­cid­ents et, lor­sque ceux-ci sont im­port­ants du point de vue de la poli­tique ex­térieure et de la poli­tique de sé­cur­ité, en in­form­er égale­ment le Groupe Sé­cur­ité de la Con­fédéra­tion.

² Il peut traiter les don­nées re­l­at­ives aux cy­ber­in­cid­ents et aux flux de com­mu­nic­a­tion cor­res­pond­ants pour autant que ce traite­ment soit utile, dir­ecte­ment ou in­dir­ecte­ment, à la pro­tec­tion de l’ad­min­is­tra­tion fédérale contre les cy­ber­risques. Il peut com­mu­niquer ces don­nées à des équipes de sé­cur­ité pub­liques ou privées si:

a.

le fourn­is­seur des don­nées y con­sent; et

b.

aucune ob­lig­a­tion lé­gale de garder le secret n’est en­fre­inte.

³ La com­mu­nic­a­tion de don­nées per­son­nelles à l’étranger n’est autor­isée que si la lé­gis­la­tion fédérale sur la pro­tec­tion des don­nées est re­spectée.

⁴ Les don­nées sens­ibles ne peuvent être traitées que si une base lé­gale autor­ise leur traite­ment par des moy­ens in­form­atiques de la Con­fédéra­tion.

⁵ En con­cer­ta­tion avec les ser­vices con­cernés de l’ad­min­is­tra­tion fédérale, le NC­SC prend la haute main sur la ges­tion des cy­ber­in­cid­ents présent­ant une men­ace pour le bon fonc­tion­nement de l’ad­min­is­tra­tion fédérale. Le cas échéant, il as­sume les tâches et com­pétences suivantes:

a.

il peut ob­tenir des fourn­is­seurs et des béné­fi­ci­aires de presta­tions con­cernés toutes les in­form­a­tions né­ces­saires;

b.

il peut or­don­ner des mesur­es d’ur­gence;

c.

il in­forme de son ac­tion la dir­ec­tion des unités ad­min­is­trat­ives con­cernées

6 Si les mesur­es prises à la suite d’un cy­ber­in­cid­ent ont per­mis de ré­duire à un niveau ac­cept­able la men­ace pour la con­fid­en­ti­al­ité ou le fonc­tion­nement de l’ad­min­is­tra­tion fédérale et que les travaux de suivi né­ces­saires et leur fin­ance­ment ont été ar­rêtés, le NC­SC rend la re­sponsab­il­ité de la ges­tion aux ser­vices con­cernés.

¹ À la fin de chaque an­née, les dé­parte­ments et la Chan­celler­ie fédérale in­for­ment le NC­SC de l’état de la sé­cur­ité in­form­atique.

² Les fourn­is­seurs de presta­tions in­ternes visés à l’art. 9 OTNI¹⁰ rendent régulière­ment compte au NC­SC des failles de sé­cur­ité et des cy­ber­in­cid­ents détectés ain­si que des mesur­es prises ou prévues pour y re­médi­er.¹¹

³ Les dé­parte­ments et la Chan­celler­ie fédérale désignent chacun un délégué à la sé­cur­ité in­form­atique (DSID), qui agit sur man­dat dir­ect de la dir­ec­tion du dé­parte­ment.¹²

⁴ Les DSID as­sument not­am­ment les tâches suivantes:

a.

co­or­don­ner les as­pects de la sé­cur­ité in­form­atique au sein du dé­parte­ment ou de la Chan­celler­ie fédérale ain­si qu’avec les ser­vices com­pétents en matière de co­ordin­a­tion et de col­lab­or­a­tion au niveau in­ter­dé­parte­ment­al;

b.

élaborer les bases né­ces­saires à la mise en œuvre des dir­ect­ives en matière de sé­cur­ité in­form­atique et à l’or­gan­isa­tion au niveau du dé­parte­ment ou de la Chan­celler­ie fédérale.¹³

⁵ Les dé­parte­ments et la Chan­celler­ie fédérale règlent les re­la­tions entre le DSID et les délégués à la sé­cur­ité in­form­atique des unités ad­min­is­trat­ives (DSIO), not­am­ment la con­duite tech­nique en matière de sé­cur­ité.¹⁴

¹ Les unités ad­min­is­trat­ives désignent chacune un DSIO, qui agit sur man­dat dir­ect de la dir­ec­tion de l’unité ad­min­is­trat­ive. Le sec­teur Trans­form­a­tion numérique et gouvernance de l’in­form­atique de la Chan­celler­ie fédérale (sec­teur TNI de la ChF) désigne en outre un délégué à la sé­cur­ité in­form­atique des ser­vices stand­ard.

² Les DSIO et le délégué à la sé­cur­ité in­form­atique des ser­vices in­form­atiques stand­ard as­sument les tâches suivantes:

a.

veiller à la mise en œuvre rap­ide des dir­ect­ives en matière de sé­cur­ité in­form­atique et à l’ap­plic­a­tion des procé­dures de sé­cur­ité dans les unités ad­min­is­trat­ives (chap. 3a);

b.

veiller à ce que les col­lab­or­at­eurs soi­ent sens­ib­il­isés et formés aux en­jeux de la sé­cur­ité in­form­atique à leur en­trée en fonc­tion puis à in­ter­valles réguli­ers, et à ce qu’ils con­nais­sent, au niveau qui les con­cerne et selon leur fonc­tion, les com­pétences et les procé­dures ap­plic­ables en matière de sé­cur­ité in­form­atique dans leur en­viron­nement de trav­ail;

c.

in­form­er le re­spons­able de leur unité ad­min­is­trat­ive au moins tous les six mois de l’état de la sé­cur­ité in­form­atique dans l’unité ad­min­is­trat­ive.

³ Les unités ad­min­is­trat­ives sont re­spons­ables de la sé­cur­ité de leurs ob­jets in­form­atiques à protéger. Elles as­sument les fonc­tions suivantes:

a.

faire l’in­ventaire de leurs ob­jets in­form­atiques à protéger et pren­dre les mesur­es de sé­cur­ité né­ces­saires; veiller not­am­ment à ce que ces mesur­es soi­ent con­signées sous une forme ac­tu­al­isée pour chaque ob­jet in­form­atique à protéger;

b.

s’as­surer du re­spect et de la mise en œuvre des dir­ect­ives en matière de sé­cur­ité in­form­atique, des procé­dures de sé­cur­ité et des dé­cisions du Con­seil fédéral, du NC­SC et des dé­parte­ments ou de la Chan­celler­ie fédérale dans leurs do­maines de com­pétence re­spec­tifs;

c.

sous réserve de l’art. 12, al. 5, gérer tout cy­ber­in­cid­ent touchant leurs ob­jets in­form­atiques à protéger;

d.

s’as­surer qu’en cas d’ac­quis­i­tion de presta­tions auprès d’un fourn­is­seur ex­terne, les dir­ect­ives en matière de sé­cur­ité in­form­atique font partie in­té­grante du con­trat;

e.

véri­fi­er de man­ière ap­pro­priée que les dir­ect­ives en matière de sé­cur­ité in­form­atique sont re­spectées par les fourn­is­seurs ex­ternes;

f.

veiller à ce que les re­sponsab­il­ités en matière de sé­cur­ité in­form­atique soi­ent définies au niveau opéra­tion­nel dans les ac­cords de pro­jets et les con­ven­tions de presta­tions con­clus entre les fourn­is­seurs et les béné­fi­ci­aires de presta­tions;

g.

veiller à ce que les per­sonnes non sou­mises à la présente or­don­nance ne puis­sent ac­céder à l’in­fra­struc­ture in­form­atique de la Con­fédéra­tion que si elles s’en­ga­gent à re­specter les dir­ect­ives en matière de sé­cur­ité in­form­atique.

⁴ Les fourn­is­seurs de presta­tions as­sument les fonc­tions suivantes:

a.

trans­mettre aux béné­fi­ci­aires de presta­tions, à la de­mande de ceux-ci et sous une forme ap­pro­priée, toutes les in­form­a­tions né­ces­saires à la pro­tec­tion de leurs ob­jets in­form­atiques à protéger;

b.

veiller à dis­poser des ca­pa­cités né­ces­saires à l’ana­lyse tech­nique et à la ges­tion des cy­ber­in­cid­ents qui les con­cernent ou qui con­cernent leurs béné­fi­ci­aires de presta­tions;

c.

in­form­er sans délai leurs béné­fi­ci­aires de presta­tions des failles et des in­cid­ents de sé­cur­ité détectés qui con­cernent leurs ob­jets in­form­atiques à protéger;

d.

définir, en col­lab­or­a­tion avec les béné­fi­ci­aires de presta­tions, un pro­ces­sus de ges­tion des cy­ber­in­cid­ents; ce­lui-ci règle en par­ticuli­er les com­pétences dé­cision­nelles dont relèvent les mesur­es d’ur­gence.

⁵ Si un cy­ber­in­cid­ent ne peut être géré dans le cadre du pro­ces­sus défini, les per­sonnes con­cernées in­for­ment le NC­SC afin de définir la marche à suivre.

⁶ Les unités ad­min­is­trat­ives con­sul­tent le NC­SC pour ce qui con­cerne les dir­ect­ives et pro­jets in­form­atiques ay­ant une in­cid­ence sur la sé­cur­ité.

⁷ Elles sont re­spons­ables du dévelop­pe­ment, de la mise en œuvre et de l’évalu­ation de normes et de régle­ment­a­tions en matière de cy­ber­sé­cur­ité dans leurs do­maines re­spec­tifs. Le NC­SC met à leur dis­pos­i­tion, dans la mesure des pos­sib­il­ités, des ex­perts du pool visé à l’art. 12, al. 1, let. g.

Les col­lab­or­at­eurs de l’ad­min­is­tra­tion fédérale qui utilis­ent des moy­ens in­form­atiques sont re­spons­ables de leur util­isa­tion con­forme aux pre­scrip­tions.

¹ Les unités ad­min­is­trat­ives s’as­surent qu’une ana­lyse ac­tuelle des be­soins de pro­tec­tion est dispon­ible pour tous les ob­jets in­form­atiques à protéger. Les pro­jets in­form­atiques doivent faire l’ob­jet d’une telle ana­lyse av­ant d’être val­idés.

² Lors de l’ana­lyse des be­soins de pro­tec­tion, les unités ad­min­is­trat­ives évalu­ent les as­pects de la con­fid­en­ti­al­ité, de la dispon­ib­il­ité, de l’in­té­grité, de la traç­ab­il­ité et du risque d’es­pi­on­nage par des ser­vices de ren­sei­gne­ment.

Les unités ad­min­is­trat­ives mettent en œuvre les règles de pro­tec­tion de base pour tous les ob­jets in­form­atiques à protéger et doc­u­mentent cette mise en œuvre.

¹ Si l’ana­lyse révèle des be­soins de pro­tec­tion ac­crus, les unités ad­min­is­trat­ives défin­is­sent, en plus de la mise en œuvre des dir­ect­ives en matière de sé­cur­ité rel­ev­ant de la pro­tec­tion de base, d’autres mesur­es de sé­cur­ité sur la base d’une ana­lyse des risques, doc­u­mentent ces mesur­es et les mettent en œuvre.

² Les unités ad­min­is­trat­ives mettent en évid­ence les risques qui ne peuvent être ré­duits ou qui ne peuvent l’être que de man­ière in­suf­f­is­ante (risques résiduels) et doc­u­mentent ces risques. Le mand­ant du pro­jet, le re­spons­able du pro­ces­sus d’af­faires et le re­spons­able de l’unité ad­min­is­trat­ive prennent con­nais­sance des risques résiduels et con­firment par écrit qu’ils l’ont fait.

³ La dé­cision d’as­sumer ou non les risques résiduels con­nus ap­par­tient au re­spons­able de l’unité ad­min­is­trat­ive com­pétente.

¹ Les procé­dures de sé­cur­ité doivent être ex­écutées au moins tous les cinq ans.

² Elles doivent être ex­écutées sans délai si l’ob­jet in­form­atique à protéger ou la situ­ation en matière de men­ace subis­sent des modi­fic­a­tions ay­ant une in­cid­ence sur la sé­cur­ité.

La modi­fic­a­tion d’autres act­es est réglée en an­nexe.

¹ Les autor­ités et of­fices qui, av­ant l’en­trée en vi­gueur de la présente or­don­nance, se sont en­gagées par le bi­ais d’un ac­cord avec l’Unité de pi­lot­age in­form­atique de la Con­fédéra­tion (UP­IC) à re­specter les dis­pos­i­tions de l’or­don­nance du 9 décembre 2011 sur l’in­form­atique dans l’ad­min­is­tra­tion fédérale (OIAF)¹⁹ sont sou­mises jusqu’au 31 décembre 2021 aux ob­lig­a­tions de la présente or­don­nance dans la mesure de l’an­cien droit.²⁰

² Ils sont sou­mis à la présente or­don­nance à partir du 1^er jan­vi­er 2022 pour autant que l’ac­cord n’ait pas été ré­silié av­ant cette date.

1 Si l’UP­IC a édicté des dir­ect­ives en matière de sé­cur­ité in­form­atique et ap­prouvé des dérog­a­tions à ces dir­ect­ives av­ant l’en­trée en vi­gueur de la présente or­don­nance, ces dir­ect­ives et dérog­a­tions con­ser­vent leur valid­ité.

2 Le NC­SC dé­cide des éven­tuelles modi­fic­a­tions des dir­ect­ives et des dérog­a­tions à ces dir­ect­ives.

La présente or­don­nance entre en vi­gueur le 1^er juil­let 2020.