SubmittedText

Alla fine del 2022 l’Unione europea ha adottato la legge sulla ciberresilienza («Cyber Resilience Act»), che rafforza le regole in materia di cibersicurezza al fine di garantire una maggiore sicurezza di hardware e software. Il progetto dovrebbe entrare in vigore nel primo trimestre del 2026.

Come è noto, la Svizzera non è impermeabile agli sviluppi legislativi europei. Per citare un esempio, l’«Organisation for Machine Automation and Control» (OMAC), di cui fanno parte numerose grandi imprese svizzere, ha istituito un gruppo di lavoro incaricato di redigere una guida pratica allo scopo di aiutare i dirigenti delle imprese, gli informatici e gli ingegneri a capire le misure che devono adottare per conformarsi alla legge sulla ciberresilienza.

La normativa avrà probabilmente degli effetti sull’industria meccanica svizzera, un settore che contribuisce notevolmente alle esportazioni.

Visto che la legislazione europea riguarderà molte imprese esportatrici, il Consiglio federale non intende anticipare gli effetti che produrrà l’adozione della legislazione europea? Il Consiglio federale ritiene che il settore della formazione sia abbastanza preparato per rispondere alle sfide di questa legislazione europea, ossia per offrire al mercato gli specialisti necessari?

FederalCouncilResponseText

Le Conseil fédéral a reconnu l’importance du projet de règlement concernant des exigences horizontales en matière de cybersécurité pour les produits comportant des éléments numériques, connu sous le nom de «loi sur la cyberrésilience», et suit de près son évolution. Cette loi fait l’objet du rapport du 15 mars 2023 du groupe interdépartemental de coordination chargé d’effectuer un monitorage régulier de la politique numérique de l’Union européenne (UE) et de mettre en lumière les incidences possibles de cette politique sur la Suisse. Le Conseil européen a déjà examiné le projet en première lecture, et c’est maintenant au Parlement européen d’en faire autant. La loi sur la cyberrésilience qu’il est prévu de mettre en place contraint les fabricants de produits comportant des éléments numériques à tenir compte des exigences de cybersécurité dès la phase de conception et tout au long du cycle de vie du produit. Il en ressort clairement que la Commission européenne entend appliquer à la cybersécurité les principes de la responsabilité du fait des produits.

Le projet de règlement opère une distinction entre les produits critiques et les autres produits. La grande majorité des produits destinés à la consommation ne sont pas jugés critiques. Par conséquent, les fabricants peuvent en évaluer eux-mêmes la conformité aux exigences de sécurité. Pour ce qui est des produits critiques, l’évaluation de la conformité doit être effectuée par un tiers, et les fabricants sont tenus de suivre la situation en matière de cybermenaces, de signaler les éventuelles vulnérabilités et de fournir les mises à jour de sécurité nécessaires. Sont par exemple considérés comme des produits critiques les navigateurs, les gestionnaires de mots de passe, les pare-feu destinés à un usage industriel, les routeurs, les cartes à puce et les lecteurs de cartes à puce.

L’UE étant le principal marché d’exportation pour de nombreuses industries suisses, il va de soi que son projet de règlement aura des incidences sur notre pays. Les exportateurs de produits jugés critiques devront être en mesure de prouver que les composants numériques utilisés répondent aux normes de sécurité et de présenter des évaluations de conformité.

Si elle est adoptée par le Conseil et le Parlement européens, la loi sur la cyberrésilience fera nettement augmenter les charges des entreprises. À noter toutefois que nombre de ces entreprises sont déjà actives dans des domaines très réglementés et qu’elles ont l’habitude de répondre aux exigences légales de marchés différents. Par ailleurs, la loi sur la cyberrésilience s’appuyant sur la directive 2014/53/UE du Conseil et du Parlement européens, l’industrie connaît déjà le système qu’il est prévu de mettre en place, tout au moins dans le domaine des équipements radioélectriques (par ex. wifi, appareils (radio) connectés).

Le Conseil fédéral est conscient de la pénurie de main-d’œuvre qualifiée à laquelle le secteur de la cybersécurité fait face. Il rappelle toutefois que la loi sur la cyberrésilience n’a pas encore été adoptée et que les normes applicables ne sont pas encore connues, si bien qu’il faudra suivre l’évolution du projet pour savoir quelles connaissances seront nécessaires à sa mise en œuvre. Dans l’ensemble, le Conseil fédéral estime cependant que le système éducatif suisse est suffisamment flexible pour pouvoir réagir à d’éventuels besoins de formation supplémentaires.