Ordonnance
sur la cyberdéfense militaire
(OCMil)

¹ La présente or­don­nance règle les mesur­es à pren­dre dans le do­maine de la cy­ber­défense con­cernant l’auto­pro­tec­tion et l’autodéfense de l’armée et de l’ad­min­is­tra­tion milit­aire en cas d’at­taque contre leurs sys­tèmes d’in­form­a­tion et leurs réseaux in­form­atiques.

² La cy­ber­défense milit­aire com­prend l’en­semble des ac­tions menées dans le cy­ber­es­pace aux éch­el­ons de con­duite mil­it­aro-straté­gique et opérat­if vis­ant à as­surer l’auto­pro­tec­tion et l’autodéfense des sys­tèmes d’in­form­a­tion et des réseaux in­form­atiques milit­aires, not­am­ment:

a.

la cy­ber­défense: ac­tion menée dans le cyberespace vis­ant à iden­ti­fi­er les at­taques et la cyber­ex­plor­a­tion et à protéger les res­sources de l’Armée suisse;

b.

la cyber­ex­plor­a­tion: ac­tion menée dans le cyberespace vis­ant à y ac­quérir des in­form­a­tions;

c.

la cy­ber­at­taque: ac­tion menée dans le cyberespace vis­ant à per­turber, à en­traver ou à ralentir les res­sources ou ca­pa­cités de l’ad­ver­saire dans ou à tra­vers le cyberespace.

¹ Les mesur­es qui ex­i­gent de pénétrer dans des sys­tèmes ou réseaux in­form­atiques de tiers dans le cadre d’une ac­tion menée dans le cy­ber­es­pace sont sou­mises à autor­isa­tion.

² Les mesur­es qui n’ex­i­gent pas de pénétrer dans des sys­tèmes ou réseaux in­form­atiques de tiers dans le cadre d’une ac­tion menée dans le cyberespace ne sont pas sou­mises à autor­isa­tion.

Les de­mandes de mesur­es sou­mises à autor­isa­tion doivent être motivées par écrit et con­tenir les in­form­a­tions suivantes:

a.

le but de l’ac­tion à men­er dans le cy­ber­sespace;

b.

la péri­ode dur­ant laquelle l’ac­tion doit être menée dans le cyberespace;

c.

les sys­tèmes ou réseaux in­form­atiques con­cernés;

d.

le nombre max­im­al de pénétra­tions dans les sys­tèmes ou réseaux in­form­atiques con­cernés;

e.

la preuve de la légal­ité, not­am­ment de la pro­por­tion­nal­ité, ain­si que l’évalua­tion des risques liés à l’ac­tion à men­er dans le cyberespace.

¹ La cy­ber­défense milit­aire in­combe à la Base d’aide au com­mandement (BAC) qui l’as­sure avec ses pro­pres res­sources, celles qui lui sont sub­or­don­nées et celles qui lui sont at­tribuées.

² Les tâches de la BAC sont les suivantes:

a.

ex­écuter des mis­sions con­sist­ant à men­er des ac­tions dans le cyberespace;

b.

pren­dre des mesur­es prévent­ives d’auto­pro­tec­tion des sys­tèmes d’in­forma­tion et des réseaux in­form­atiques milit­aires;

c.

con­trôler la légal­ité et la fais­ab­il­ité de nou­velles ac­tions av­ant de les men­er dans le cyberespace;

d.

blo­quer l’ac­cès aux sys­tèmes d’in­form­a­tion et aux réseaux in­form­atiques milit­aires;

e.

veiller, de man­ière autonome, à dis­poser des in­form­a­tions tech­niques né­ces­saires à l’ac­com­p­lisse­ment des tâches;

f.

évalu­er les sys­tèmes et les réseaux in­form­atiques mis en sûreté qui ont été util­isés ou dé­tournés à des fins d’at­taque;

g.

en­tre­t­enir, en co­ordin­a­tion avec les autor­ités re­spons­ables de la Con­fédéra­tion, des con­tacts dir­ects avec des ser­vices tech­niques sis en Suisse ou à l’étranger;

h.

sout­enir l’en­gage­ment et la form­a­tion dans le do­maine de la cy­ber­défense milit­aire;

i.

doc­u­menter les mesur­es sou­mises à autor­isa­tion dans le cadre d’une ac­tion menée dans le cyberespace.

³ Les mesur­es sou­mises à autor­isa­tion prises dans le cadre d’une ac­tion menée dans le cyberespace sont mises en œuvre ex­clus­ive­ment par le Centre des opéra­tions élec­tro­niques de la BAC.

¹ Le chef de l’Armée con­fie les mis­sions con­cernant les ac­tions dans le cyberespace.

² Il sou­met au préal­able les de­mandes de mesur­es sou­mises à autor­isa­tion au chef du Dé­parte­ment fédéral de la défense, de la pro­tec­tion de la pop­u­la­tion et des sports (DDPS) pour ex­a­men.

³ Lors d’un ser­vice ac­tif au sens de l’art. 76, al. 1, LAAM, le chef de l’Armée ou le com­mand­ant en chef de l’armée peut ap­prouver des mesur­es sou­mises à autor­isa­tion. Il peut déléguer cette com­pétence.

Le chef du DDPS statue sur les de­mandes du chef de l’Armée.

Le Con­seil fédéral ap­prouve les mesur­es sou­mises à autor­isa­tion.

¹ Le Secrétari­at général du DDPS as­sure la sur­veil­lance de la cy­ber­défense milit­aire au niveau dé­parte­ment­al, fait régulière­ment rap­port au Con­seil fédéral et in­forme les or­ganes char­gés de la haute sur­veil­lance par­le­mentaire.

² Le chef de l’Armée chapeaute et règle la sur­veil­lance de la cy­ber­défense milit­aire au sein de l’armée.

La BAC peut sign­er des con­ven­tions de coopéra­tion avec des in­sti­tuts de recher­che et des hautes écoles, en ac­cord et en co­ordin­a­tion avec les unités ad­min­is­trat­ives com­pétentes du DDPS.

Le chef du DDPS ex­écute la présente or­don­nance et édicte des dir­ect­ives sur l’en­gage­ment et la form­a­tion. Il peut en déléguer l’ex­écu­tion au chef de l’Armée.

La présente or­don­nance entre en vi­gueur le 1^er mars 2019.