Ordonnance du 30 janvier 2019 sur la cyberdéfense militaire (OCMil) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101"/><FRBRdate date="2019-01-30" name="jolux:dateDocument"/><FRBRdate date="2019-03-01" name="jolux:dateEntryInForce"/><FRBRdate date="2024-01-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value="510.921"/><FRBRname xml:lang="de" value="Verordnung vom 30. Januar 2019 über die militärische Cyberabwehr (MCAV)" shortForm="MCAV"/><FRBRname xml:lang="fr" value="Ordonnance du 30 janvier 2019 sur la cyberdéfense militaire (OCMil)" shortForm="OCMil"/><FRBRname xml:lang="it" value="Ordinanza del 30 gennaio 2019 sulla ciberdifesa militare (OCDM)" shortForm="OCDM"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/fr"/><FRBRdate date="2019-01-30" name="jolux:dateDocument"/><FRBRdate date="2019-03-01" name="jolux:dateEntryInForce"/><FRBRdate date="2024-01-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/fr/xml"/><FRBRdate date="2019-01-30" name="jolux:dateDocument"/><FRBRdate date="2019-03-01" name="jolux:dateEntryInForce"/><FRBRdate date="2024-01-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.5"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Chancellerie fédérale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/FRA" showAs="fr"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>510.921 </docNumber></p><p><docTitle>Ordonnance <br/>sur la cyberdéfense militaire</docTitle></p><p>(OCMil)</p><p>du 30 janvier 2019 (État le 1<sup>er</sup> janvier 2024)</p></preface><preamble><p>Le Conseil fédéral suisse,</p><p>vu l’art. 100, al. 4, de la loi du 3 février 1995 sur l’armée (LAAM)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/4093_4093_4093" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>510.10</b></ref></p></authorialNote>,</p><p>arrête:</p></preamble><body><article eId="art_1"><num><b>Art. 1</b></num><heading>Objet</heading><paragraph eId="art_1/para_1"><num>1</num><content><p> La présente ordonnance règle les mesures à prendre dans le cadre de la cyberdéfense à des fins d’autoprotection et d’autodéfense de l’armée et de l’administration militaire en cas d’attaque contre les prestations informatiques qui doivent impérativement être à la disposition de l’armée (prestations informatiques indispensables aux engagements de l’armée).<authorialNote><p> Nouvelle teneur selon le ch. II 9 de l’O du 22 nov. 2023, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/746" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 746</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_1/para_2"><num>2</num><content><blockList><listIntroduction eId="art_1/para_2/listintro"> La cyberdéfense militaire comprend l’ensemble des actions menées dans le cyberespace dans le but de protéger et de défendre, aux échelons de conduite militaro-stratégique et opératif, les prestations informatiques indispensables aux engagements de l’armée, notamment:<authorialNote><p> Nouvelle teneur selon le ch. II 9 de l’O du 22 nov. 2023, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/746" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 746</ref>).</p></authorialNote></listIntroduction><item eId="art_1/para_2/lbl_a"><num>a. </num><p>la cyberdéfense: action menée dans le cyberespace visant à identifier les attaques et la cyberexploration et à protéger les ressources de l’Armée suisse;</p></item><item eId="art_1/para_2/lbl_b"><num>b. </num><p>la cyberexploration: action menée dans le cyberespace visant à y acquérir des informations;</p></item><item eId="art_1/para_2/lbl_c"><num>c. </num><p>la cyberattaque: action menée dans le cyberespace visant à perturber, à entraver ou à ralentir les ressources ou capacités de l’adversaire dans ou à travers le cyberespace.</p></item></blockList></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Mesures soumises à autorisation et mesures non soumises à autorisation</heading><paragraph eId="art_2/para_1"><num>1</num><content><p> Les mesures qui exigent de pénétrer dans des systèmes ou réseaux informatiques de tiers dans le cadre d’une action menée dans le cyberespace sont soumises à autorisation.</p></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><p> Les mesures qui n’exigent pas de pénétrer dans des systèmes ou réseaux informatiques de tiers dans le cadre d’une action menée dans le cyberespace ne sont pas soumises à autorisation.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Demandes de mesures soumises à autorisation</heading><paragraph eId="art_3/para"><content><blockList><listIntroduction eId="art_3/para/listintro">Les demandes de mesures soumises à autorisation doivent être motivées par écrit et contenir les informations suivantes:</listIntroduction><item eId="art_3/para/lbl_a"><num>a. </num><p>le but de l’action à mener dans le cybersespace;</p></item><item eId="art_3/para/lbl_b"><num>b. </num><p>la période durant laquelle l’action doit être menée dans le cyberespace;</p></item><item eId="art_3/para/lbl_c"><num>c. </num><p>les systèmes ou réseaux informatiques concernés;</p></item><item eId="art_3/para/lbl_d"><num>d. </num><p>le nombre maximal de pénétrations dans les systèmes ou réseaux informatiques concernés;</p></item><item eId="art_3/para/lbl_e"><num>e. </num><p>la preuve de la légalité, notamment de la proportionnalité, ainsi que l’évaluation des risques liés à l’action à mener dans le cyberespace.</p></item></blockList></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b><authorialNote><p> Nouvelle teneur selon le ch. II 9 de l’O du 22 nov. 2023, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/746" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 746</ref>).</p></authorialNote></num><heading>Compétences du commandement Cyber</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> Le commandement Cyber (cdmt Cyber) est compétent en matière de cyberdéfense militaire.</p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><blockList><listIntroduction eId="art_4/para_2/listintro"> Il assume les tâches suivantes:</listIntroduction><item eId="art_4/para_2/lbl_a"><num>a. </num><p>exécuter des missions consistant à mener des actions dans le cyberespace;</p></item><item eId="art_4/para_2/lbl_b"><num>b. </num><p>prendre des mesures préventives d’autoprotection des prestations informatiques indispensables aux engagements de l’armée;</p></item><item eId="art_4/para_2/lbl_c"><num>c. </num><p>contrôler la légalité et la faisabilité de nouvelles actions avant de les mener dans le cyberespace;</p></item><item eId="art_4/para_2/lbl_d"><num>d. </num><p>bloquer l’accès aux prestations informatiques indispensables aux engagements de l’armée;</p></item><item eId="art_4/para_2/lbl_e"><num>e. </num><p>veiller, de manière autonome, à disposer des informations techniques nécessaires à l’accomplissement des tâches;</p></item><item eId="art_4/para_2/lbl_f"><num>f. </num><p>évaluer les systèmes et les réseaux informatiques mis en sûreté qui ont été utilisés ou détournés à des fins d’attaque;</p></item><item eId="art_4/para_2/lbl_g"><num>g. </num><p>entretenir, en coordination avec les autorités compétentes de la Confédération, des contacts directs avec des services spécialisés en Suisse ou à l’étranger;</p></item><item eId="art_4/para_2/lbl_h"><num>h. </num><p>soutenir l’engagement et l’instruction dans le domaine de la cyberdéfense militaire;</p></item><item eId="art_4/para_2/lbl_i"><num>i. </num><p>documenter les mesures soumises à autorisation dans le cadre d’une action menée dans le cyberespace.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_3"><num>3 </num><content><p>Il accomplit ses tâches avec ses propres ressources, avec celles qui lui sont subordonnées ou avec celles qui lui sont attribuées.</p></content></paragraph><paragraph eId="art_4/para_4"><num>4</num><content><p> Les mesures soumises à autorisation prises dans le cadre d’une action menée dans le cyberespace sont mises en œuvre exclusivement par le service Actions dans le cyberespace et dans l’espace électromagnétique.</p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Compétences du chef de l’Armée</heading><paragraph eId="art_5/para_1"><num>1</num><content><p> Le chef de l’Armée confie les missions concernant les actions dans le cyberespace.</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><p> Il soumet au préalable les demandes de mesures soumises à autorisation au chef du Département fédéral de la défense, de la protection de la population et des sports (DDPS) pour examen.</p></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><p> Lors d’un service actif au sens de l’art. 76, al. 1, LAAM, le chef de l’Armée ou le commandant en chef de l’armée peut approuver des mesures soumises à autorisation. Il peut déléguer cette compétence.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Compétences du chef du DDPS</heading><paragraph eId="art_6/para"><content><p>Le chef du DDPS statue sur les demandes du chef de l’Armée.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Compétences du Conseil fédéral</heading><paragraph eId="art_7/para"><content><p>Le Conseil fédéral approuve les mesures soumises à autorisation.</p></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Surveillance</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Le Secrétariat général du DDPS assure la surveillance de la cyberdéfense militaire au niveau départemental, fait régulièrement rapport au Conseil fédéral et informe les organes chargés de la haute surveillance parlementaire.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Le chef de l’Armée chapeaute et règle la surveillance de la cyberdéfense militaire au sein de l’armée.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b><authorialNote><p> Nouvelle teneur selon le ch. II 9 de l’O du 22 nov. 2023, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/746" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 746</ref>).</p></authorialNote></num><heading>Recherche</heading><paragraph eId="art_9/para"><content><p>Le cdmt Cyber peut, en accord avec les unités administratives compétentes du DDPS, signer des conventions de coopération avec des instituts de recherche et des hautes écoles.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Exécution</heading><paragraph eId="art_10/para"><content><p>Le chef du DDPS exécute la présente ordonnance et édicte des directives sur l’engagement et la formation. Il peut en déléguer l’exécution au chef de l’Armée.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Entrée en vigueur</heading><paragraph eId="art_11/para"><content><p>La présente ordonnance entre en vigueur le 1<sup>er</sup> mars 2019.</p></content></paragraph></article></body></act></akomaNtoso>