Ordonnance
sur la protection contre les cyberrisques
dans l’administration fédérale
(Ordonnance sur les cyberrisques, OPCy)

¹ Le NC­SC est le centre de com­pétences de la Con­fédéra­tion en matière de cy­ber­risques et co­or­donne les travaux de la Con­fédéra­tion dans le do­maine de la cy­ber­sé­cur­ité. Il as­sume les tâches suivantes:

a.

ex­ploiter le guichet unique suisse en matière de cy­ber­risques, qui cent­ral­ise les no­ti­fic­a­tions éman­ant de l’ad­min­is­tra­tion fédérale, des mi­lieux économiques, des can­tons et de la pop­u­la­tion, les ana­lyse et peut émettre des re­com­manda­tions;

b.

fournir, en col­lab­or­a­tion avec les partenaires com­pétents au sein de l’ad­min­is­tra­tion fédérale, un ap­pui sub­sidi­aire aux ex­ploit­ants d’in­fra­struc­tures cri­tiques et en­cour­ager entre eux l’échange d’in­form­a­tions con­cernant les cy­ber­risques;

c.

di­ri­ger l’équipe d’in­ter­ven­tion en cas d’ur­gence in­form­atique (Com­puter Emer­gency Re­sponse Team, Gov­CERT), qui est le ser­vice spé­cial­isé na­tion­al pour la ges­tion tech­nique des cy­ber­in­cid­ents, l’ana­lyse des ques­tions tech­niques, l’évalu­ation tech­nique des men­aces et l’ap­pui tech­nique au guichet unique suisse;

d.

di­ri­ger le ser­vice spé­cial­isé de sé­cur­ité in­form­atique de la Con­fédéra­tion, qui élabore des dir­ect­ives en matière de sé­cur­ité in­form­atique, con­seille les unités ad­min­is­trat­ives lors de leur ap­plic­a­tion et véri­fie le niveau de sé­cur­ité in­form­atique au sein des dé­parte­ments et de la Chan­celler­ie fédérale;

e.

désign­er les délégués à la sé­cur­ité in­form­atique de la Con­fédéra­tion (DSIC);

f.

co­or­don­ner la mise en œuvre de la SN­PC, ef­fec­tuer un con­trôle de ges­tion straté­gique de la SN­PC et pré­parer les séances du Groupe Cy­ber et du CP SN­PC;

g.

dis­poser d’un pool d’ex­perts char­gés d’as­sister les of­fices spé­cial­isés dans la mise en œuvre de mesur­es de la SN­PC ain­si que dans le dévelop­pe­ment, la mise en œuvre et l’évalu­ation de normes et de régle­ment­a­tions en matière de cy­ber­sé­cur­ité;

h.

con­tribuer à sens­ib­il­iser l’ad­min­is­tra­tion fédérale et le grand pub­lic aux cy­ber­risques au moy­en d’in­form­a­tions ciblées, in­form­er sur l’état de la situ­ation et pub­li­er des in­struc­tions sur les mesur­es prévent­ives ou réact­ives à pren­dre;

i.

ex­ploiter une in­fra­struc­ture d’ana­lyse et de com­mu­nic­a­tion ré­si­li­ente qui fonc­tionne in­dépen­dam­ment du reste de l’in­form­atique de la Con­fédéra­tion;

j.

in­form­er le Groupe Cy­ber des cy­ber­in­cid­ents et, lor­sque ceux-ci sont im­port­ants du point de vue de la poli­tique ex­térieure et de la poli­tique de sé­cur­ité, en in­form­er égale­ment le Groupe Sé­cur­ité de la Con­fédéra­tion.

² Il peut traiter les don­nées re­l­at­ives aux cy­ber­in­cid­ents et aux flux de com­mu­nic­a­tion cor­res­pond­ants pour autant que ce traite­ment soit utile, dir­ecte­ment ou in­dir­ecte­ment, à la pro­tec­tion de l’ad­min­is­tra­tion fédérale contre les cy­ber­risques. Il peut com­mu­niquer ces don­nées à des équipes de sé­cur­ité pub­liques ou privées si:

a.

le fourn­is­seur des don­nées y con­sent; et

b.

aucune ob­lig­a­tion lé­gale de garder le secret n’est en­fre­inte.

³ La com­mu­nic­a­tion de don­nées per­son­nelles à l’étranger n’est autor­isée que si la lé­gis­la­tion fédérale sur la pro­tec­tion des don­nées est re­spectée.

⁴ Les don­nées sens­ibles ne peuvent être traitées que si une base lé­gale autor­ise leur traite­ment par des moy­ens in­form­atiques de la Con­fédéra­tion.

⁵ En con­cer­ta­tion avec les ser­vices con­cernés de l’ad­min­is­tra­tion fédérale, le NC­SC prend la haute main sur la ges­tion des cy­ber­in­cid­ents présent­ant une men­ace pour le bon fonc­tion­nement de l’ad­min­is­tra­tion fédérale. Le cas échéant, il as­sume les tâches et com­pétences suivantes:

a.

il peut ob­tenir des fourn­is­seurs et des béné­fi­ci­aires de presta­tions con­cernés toutes les in­form­a­tions né­ces­saires;

b.

il peut or­don­ner des mesur­es d’ur­gence;

c.

il in­forme de son ac­tion la dir­ec­tion des unités ad­min­is­trat­ives con­cernées

6 Si les mesur­es prises à la suite d’un cy­ber­in­cid­ent ont per­mis de ré­duire à un niveau ac­cept­able la men­ace pour la con­fid­en­ti­al­ité ou le fonc­tion­nement de l’ad­min­is­tra­tion fédérale et que les travaux de suivi né­ces­saires et leur fin­ance­ment ont été ar­rêtés, le NC­SC rend la re­sponsab­il­ité de la ges­tion aux ser­vices con­cernés.