Ordonnance du 7 mars 2025 sur la cybersécurité (OCyS) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="fr" value="Ordonnance du 7 mars 2025 sur la cybersécurité (OCyS)" shortForm="OCyS"/><FRBRname xml:lang="it" value="Ordinanza del 7 marzo 2025 sulla cibersicurezza (OCS)" shortForm="OCS"/><FRBRname xml:lang="de" value="Verordnung vom 7. März 2025 über die Cybersicherheit (Cybersicherheitsverordnung, CSV)" shortForm="CSV"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/fr"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/fr/xml"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Chancellerie fédérale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/FRA" showAs="fr"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>128.51 </docNumber></p><p><docTitle>Ordonnance <br/>sur la cybersécurité</docTitle></p><p>(OCyS)</p><p>du 7 mars 2025 (État le 1<sup>er</sup> avril 2025)</p></preface><preamble><p>Le Conseil fédéral suisse,</p><p>vu les art. 74<i>c</i> et 84, al. 1, de la loi fédérale du 18 décembre 2020 sur la sécurité de l’information (LSI)<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>128</b></ref></p></authorialNote>,</p><p>arrête:</p></preamble><body><section eId="sec_1"><num>Section 1</num><heading>Objet</heading><article eId="art_1"><num><b>Art. 1</b></num><paragraph eId="art_1/para"><content><blockList><listIntroduction eId="art_1/para/listintro">La présente ordonnance règle:</listIntroduction><item eId="art_1/para/lbl_a"><num>a. </num><p>les grandes lignes et l’élaboration de la Cyberstratégie nationale (CSN);</p></item><item eId="art_1/para/lbl_b"><num>b. </num><p>les tâches de l’Office fédéral de la cybersécurité (OFCS);</p></item><item eId="art_1/para/lbl_c"><num>c. </num><p>l’échange d’informations entre l’OFCS et les autorités ou organisations chargées de la protection contre les cyberincidents et les cybermenaces;</p></item><item eId="art_1/para/lbl_d"><num>d. </num><p>l’obligation de signaler les cyberattaques.</p></item></blockList></content></paragraph></article></section><section eId="sec_2"><num>Section 2</num><heading>Cyberstratégie nationale</heading><article eId="art_2"><num><b>Art. 2</b></num><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> La CSN définit les points suivants: </listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>le cadre stratégique de la prévention dans le domaine de la cybersécurité;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>la détection précoce des cybermenaces;</p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p>les possibilités de réaction et la résilience en cas d’incident;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p>la lutte contre la cybercriminalité;</p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p>la coopération internationale.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2 </num><content><p>L’OFCS élabore la CSN en collaboration avec des représentants des cantons, de l’économie, des exploitants d’infrastructures critiques, des milieux scientifiques, de la société, des départements et de la Chancellerie fédérale.</p></content></paragraph></article></section><section eId="sec_3"><num>Section 3</num><heading>Tâches de l’OFCS</heading><article eId="art_3"><num><b>Art. 3</b></num><heading>Demande de renseignements sur les titulaires de nom de domaine</heading><paragraph eId="art_3/para"><content><p>Afin d’avertir les autorités, les organisations ou les personnes concernées en cas de cybermenace imminente ou de cyberattaque en cours, l’OFCS peut requérir les coordonnées des titulaires de noms de domaine auprès de l’exploitant du registre des noms de domaine qui relèvent de la compétence de la Confédération.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Analyse technique des cyberincidents et des cybermenaces</heading><paragraph eId="art_4/para_1"><num>1</num><content><blockList><listIntroduction eId="art_4/para_1/listintro"> L’OFCS gère une équipe nationale d’intervention en cas d’urgence informatique, qui assume notamment les tâches suivantes:</listIntroduction><item eId="art_4/para_1/lbl_a"><num>a. </num><p>le soutien dans la gestion technique des cyberincidents;</p></item><item eId="art_4/para_1/lbl_b"><num>b. </num><p>l’analyse des questions techniques;</p></item><item eId="art_4/para_1/lbl_c"><num>c. </num><p>l’identification et l’évaluation des cybermenaces.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Il exploite une infrastructure résiliente et indépendante du reste de l’informatique fédérale pour analyser les cyberincidents et les cybermenaces.</p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Priorités pour les conseils et l’assistance en cas de cyberattaque</heading><paragraph eId="art_5/para_1"><num>1 </num><content><p>En cas de cyberattaque, l’OFCS peut établir des priorités concernant le délai et l’étendue de ses conseils et de son assistance lorsque les demandes dépassent ses capacités.</p></content></paragraph><paragraph eId="art_5/para_2"><num>2 </num><content><p>Il prend alors en compte les impératifs de la sécurité et de l’ordre publics, du bien-être de la population et du fonctionnement de l’économie.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Annonce des vulnérabilités</heading><paragraph eId="art_6/para_1"><num>1</num><content><p> L’OFCS veille à ce que les vulnérabilités du matériel et des logiciels soient annoncées de manière coordonnée en tenant compte des normes internationalement reconnues.</p></content></paragraph><paragraph eId="art_6/para_2"><num>2 </num><content><p>Il fixe au fabricant du matériel informatique ou du logiciel concerné un délai de 90 jours pour éliminer les vulnérabilités.</p></content></paragraph><paragraph eId="art_6/para_3"><num>3 </num><content><blockList><listIntroduction eId="art_6/para_3/listintro">Il peut raccourcir ce délai si la vulnérabilité:</listIntroduction><item eId="art_6/para_3/lbl_a"><num>a. </num><p>met en péril le fonctionnement d’infrastructures critiques;</p></item><item eId="art_6/para_3/lbl_b"><num>b. </num><p>concerne des systèmes très répandus, ou</p></item><item eId="art_6/para_3/lbl_c"><num>c. </num><p>est exploitée pour une cyberattaque ou peut être très facilement utilisée à cette fin.</p></item></blockList></content></paragraph><paragraph eId="art_6/para_4"><num>4</num><content><p> Il peut prolonger le délai lorsque l’élimination de la vulnérabilité s’avère particulièrement compliquée.</p></content></paragraph><paragraph eId="art_6/para_5"><num>5</num><content><p> Il peut informer les exploitants d’infrastructures critiques de la présence de vulnérabilités avant même l’annonce ou l’élimination de celles-ci.</p></content></paragraph><paragraph eId="art_6/para_6"><num>6</num><content><p> Il informe immédiatement l’Office fédéral de la communication (OFCOM) des vulnérabilités relatives aux installations de télécommunication au sens de l’art. 3, let. d, de la loi du 30 avril 1997 sur les télécommunications<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.10</b></ref></p></authorialNote>. </p></content></paragraph><paragraph eId="art_6/para_7"><num>7</num><content><p> Les al. 1 à 4 ne s’appliquent pas aux vulnérabilités que l’OFCOM découvre et annonce à l’OFCS dans le cadre de ses contrôles de surveillance (art. 36 ss de l’ordonnance du 25 novembre 2015 sur les installations de télécommunication<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2016/24" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.101.2</b></ref></p></authorialNote>).</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Soutien aux autorités</heading><paragraph eId="art_7/para"><content><p>L’OFCS soutient les autorités de la Confédération et des cantons dans le développement, la mise en œuvre et l’examen de normes et de réglementations dans le domaine de la cybersécurité.</p></content></paragraph></article></section><section eId="sec_4"><num>Section 4</num><heading>Échange d’informations</heading><article eId="art_8"><num><b>Art. 8</b></num><heading>Système de communication pour l’échange sécurisé d’informations et systèmes d’échange automatique d’informations</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Les exploitants d’infrastructures critiques soumis à l’obligation de signaler les cyberattaques, les organisations ayant leur siège en Suisse et les autorités ont accès au système de communication pour l’échange sécurisé d’informations de l’OFCS.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> L’OFCS met à la disposition des exploitants d’infrastructures critiques les informations techniques visées à l’art. 74, al. 2, let. b, LSI, concernant les cybermenaces et les cyberincidents au moyen d’un système d’échange automatique d’informations.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> Il est responsable de la sécurité du système de communication et des systèmes d’information ainsi que de la légalité du traitement des données.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Enregistrement</heading><paragraph eId="art_9/para_1"><num>1</num><content><p> Les organisations et les autorités sont tenues de s’enregistrer avant de pouvoir utiliser le système de communication. Elles doivent communiquer sans délai toute modification de leurs données.</p></content></paragraph><paragraph eId="art_9/para_2"><num>2</num><content><blockList><listIntroduction eId="art_9/para_2/listintro"> L’enregistrement doit au moins comporter les informations suivantes:</listIntroduction><item eId="art_9/para_2/lbl_a"><num>a. </num><p>la raison sociale, le nom ou la désignation et l’adresse de l’organisation ou de l’autorité;</p></item><item eId="art_9/para_2/lbl_b"><num>b. </num><p>la personne de contact.</p></item></blockList></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Fournisseurs de prestations de cybersécurité</heading><paragraph eId="art_10/para_1"><num>1</num><content><p> Les exploitants d’infrastructures critiques peuvent annoncer à l’OFCS leurs fournisseurs de prestations de cybersécurité qui souhaitent participer à l’échange d’informations.</p></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Ces fournisseurs doivent s’enregistrer en indiquant leur raison sociale ou leur nom ainsi que les coordonnées de la personne de contact enregistrée.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Transmission et utilisation des informations</heading><paragraph eId="art_11/para_1"><num>1</num><content><p> Lorsque les organisations et les autorités enregistrées transmettent des informations, elles précisent à qui l’OFCS peut les transmettre dans le système de communication pour l’échange sécurisé d’informations, à moins que la transmission soit prévue par la loi.</p></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> L’OFCS décide s’il y a lieu de publier des informations autorisées.</p></content></paragraph><paragraph eId="art_11/para_3"><num>3</num><content><p> Les destinataires doivent garantir la protection des informations qu’ils reçoivent. </p></content></paragraph><paragraph eId="art_11/para_4"><num>4</num><content><p> Les fournisseurs de prestations de cybersécurité enregistrés des exploitants d’infrastructures critiques peuvent exploiter les informations qu’ils reçoivent exclusivement à des fins de protection desdites infrastructures.</p></content></paragraph></article></section><section eId="sec_5"><num>Section 5</num><heading>Obligation de signaler</heading><article eId="art_12"><num><b>Art. 12</b></num><heading>Exceptions à l’obligation de signaler</heading><paragraph eId="art_12/para_1"><num>1</num><content><blockList><listIntroduction eId="art_12/para_1/listintro"> Les autorités et les organisations ci-après sont exemptées de l’obligation de signaler lorsqu’elles remplissent les conditions suivantes: </listIntroduction><item eId="art_12/para_1/lbl_a"><num>a. </num><p>les hautes écoles au sens de l’art. 74<i>b </i>al. 1, let. a, LSI, pour autant qu’elles comptent moins de 2000 étudiants;</p></item><item eId="art_12/para_1/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_12/para_1/lbl_b/listintro">les entreprises visées à l’art. 74<i>b</i>, al. 1, let. d, LSI, pour autant qu’elles:</listIntroduction><item eId="art_12/para_1/lbl_b/lbl_1"><num>1. </num><p>ne soient pas tenues de respecter le niveau de protection A ou B en tant que gestionnaires de réseau, producteurs d’électricité, gestionnaires d’installations de stockage d’électricité ou prestataires visés à l’art. 5<i>a</i>, al. 1, et l’annexe 1<i>a</i> de l’ordonnance du 14 mars 2008 sur l’approvisionnement en électricité<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2008/226" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>734.71</b></ref></p></authorialNote>, ou </p></item><item eId="art_12/para_1/lbl_b/lbl_2"><num>2. </num><p>attestent, en tant qu’exploitants de gazoducs au sens de l’art. 2, al. 3, de l’ordonnance du 4 juin 2021 sur la sécurité des installations de transport par conduites<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2021/348" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>746.12</b></ref></p></authorialNote>, un transport annuel d’énergie de moins de 400 GWh en moyenne sur les cinq dernières années;</p></item></blockList></item><item eId="art_12/para_1/lbl_c"><num>c. </num><blockList><listIntroduction eId="art_12/para_1/lbl_c/listintro">les entreprises ferroviaires, les entreprises d’installations à câbles, de trolleybus, d’autobus et de navigation visées à l’art. 74<i>b</i>, al. 1, let. m, LSI, pour autant qu’elles:</listIntroduction><item eId="art_12/para_1/lbl_c/lbl_1"><num>1. </num><p>ne soient pas chargées de tâches systémiques (art. 37 de la loi fédérale du 20 décembre 1957 sur les chemins de fer [LCdF])<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1958/335_341_347" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>742.101</b></ref></p></authorialNote>,</p></item><item eId="art_12/para_1/lbl_c/lbl_2"><num>2. </num><p>disposent d’une concession de transport de voyageurs conformément à l’art. 6 de la loi du 20 mars 2009 sur le transport de voyageurs (LTV)<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2009/680" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>745.1</b></ref></p></authorialNote>, mais ne fournissent pas de prestations commandées conjointement par la Confédération et les cantons (art. 28 à 31<i>c</i> LTV),</p></item><item eId="art_12/para_1/lbl_c/lbl_3"><num>3. </num><p>disposent d’une concession d’infrastructure conformément à l’art. 5 LCdF, mais que celle-ci n’a pas été octroyée en raison d’un intérêt public à la construction et à l’exploitation de l’infrastructure (art. 6, al. 1, let. a, LCdF);</p></item></blockList></item><item eId="art_12/para_1/lbl_d"><num>d. </num><blockList><listIntroduction eId="art_12/para_1/lbl_d/listintro">les entreprises visées à l’art. 74<i>b</i>, al. 1, let. n, LSI, pour autant qu’elles:</listIntroduction><item eId="art_12/para_1/lbl_d/lbl_1"><num>1. </num><p>ne soient pas tenues d’installer un système de gestion de la sécurité de l’information conformément aux art. 2 et 4 et à l’annexe II du règlement d’exécution (UE) 2023/203<authorialNote><p>  Règlement d’exécution (UE) 2023/203 de la Commission du 27 octobre 2022 portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences en matière de gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne pour les organismes relevant des règlements (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 1321/2014, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 965/2012, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 1178/2011 et (UE) 2015/340 de la Commission, des règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission, et pour les autorités compétentes relevant des règlements (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 748/2012, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 1321/2014, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 965/2012, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 1178/2011, (UE) 2015/340 et (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 139/2014 de la Commission, des règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission, et modifiant les règlements (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 1178/2011, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 748/2012, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 965/2012, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 139/2014, (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 1321/2014 et (UE) 2015/340 de la Commission, et les règlements d’exécution (UE) 2017/373 et (UE) 2021/664 de la Commission, dans la version contraignante pour la Suisse selon le ch. 3 de l’annexe à l’Accord du 21 juin 1999 entre la Confédération suisse et la Communauté européenne sur le transport aérien (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>0.748.127.192.68</b></ref>).</p></authorialNote> ou à l’art. 2 et à l’annexe du règlement délégué (UE) 2022/1645<authorialNote><p>  Règlement délégué (UE) 2022/1645 de la Commission du 14 juillet 2022 portant modalités d’application du règlement (UE) 2018/1139 du Parlement européen et du Conseil en ce qui concerne les exigences relatives à la gestion des risques liés à la sécurité de l’information susceptibles d’avoir une incidence sur la sécurité aérienne imposées aux organismes relevant des règlements (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 748/2012 et (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 139/2014 de la Commission et modifiant les règlements (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 748/2012 et (UE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 139/2014 de la Commission, dans la version contraignante pour la Suisse selon le ch. 3 de l’annexe à l’Accord du 21 juin 1999 entre la Confédération suisse et la Communauté européenne sur le transport aérien (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>0.748.127.192.68</b></ref>).</p></authorialNote>,</p></item><item eId="art_12/para_1/lbl_d/lbl_2"><num>2. </num><p>ne soient pas tenues d’appliquer les conditions du ch. 1.7 de l’annexe du règlement d’exécution (UE) 2015/1998<authorialNote><p>  Règlement d’exécution (UE) 2015/1998 de la Commission du 5 novembre 2015 fixant des mesures détaillées pour la mise en œuvre des normes de base communes dans le domaine de la sûreté de l’aviation civile, dans la version contraignante pour la Suisse selon le ch. 4 de l’annexe à l’Accord du 21 juin 1999 entre la Confédération suisse et la Communauté européenne sur le transport aérien (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>0.748.127.192.68</b></ref>).</p></authorialNote> dans leur programme de sûreté visé aux art. 2, 12, 13 ou 14 du règlement (CE) n<sup>o</sup> 300/2008<authorialNote><p>  Règlement (CE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 300/2008 du Parlement européen et du Conseil du 11 mars 2008 relatif à l’instauration de règles communes dans le domaine de la sûreté de l’aviation civile et abrogeant le règlement (CE) n<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">o</sup> 2320/2002, dans la version contraignante pour la Suisse selon le ch. 4 de l’annexe à l’Accord du 21 juin 1999 entre la Confédération suisse et la Communauté européenne sur le transport aérien (<ref href="https://fedlex.data.admin.ch/eli/cc/2002/258" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>0.748.127.192.68</b></ref>).</p></authorialNote>;</p></item></blockList></item><item eId="art_12/para_1/lbl_e"><num>e. </num><p>les fournisseurs et les exploitants visés à l’art. 74<i>b</i>, al. 1, let. t, LSI qui ne fournissent pas de prestations, en tout ou en partie, à des tiers et contre rémunération.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> Les autorités et organisations visées à l’art. 74<i>b</i>, al. 1, let. g, h, l et p, LSI sont exemptées de l’obligation de signaler, pour autant qu’elles emploient moins de 50 personnes dans le domaine concerné et que leur chiffre d’affaires annuel ou la somme inscrite au bilan annuel ne dépasse pas 10 millions de francs dans le domaine concerné.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Remise de documents pour la clarification de l’obligation de signaler</heading><paragraph eId="art_13/para"><content><p>Les autorités et les organisations intéressées sont tenues de mettre à la disposition de l’OFCS tout document dont il a besoin pour fournir des renseignements sur la soumission à l’obligation de signaler.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Cyberattaques à signaler</heading><paragraph eId="art_14/para_1"><num>1</num><content><blockList><listIntroduction eId="art_14/para_1/listintro"> Le fonctionnement d’une infrastructure critique est mis en péril lorsque:</listIntroduction><item eId="art_14/para_1/lbl_a"><num>a. </num><p>des collaborateurs ou des tiers sont touchés par des interruptions de système, ou</p></item><item eId="art_14/para_1/lbl_b"><num>b. </num><p>l’organisation ou l’autorité touchée ne peut maintenir ses activités qu’à l’aide de plans d’urgence.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><blockList><listIntroduction eId="art_14/para_2/listintro"> Une manipulation ou une fuite d’informations est avérée:</listIntroduction><item eId="art_14/para_2/lbl_a"><num>a. </num><p>lorsque des personnes non autorisées consultent, modifient ou publient des informations importantes pour les affaires;</p></item><item eId="art_14/para_2/lbl_b"><num>b. </num><p>lorsqu’une violation de la sécurité de données est annoncée conformément à l’art. 24 de la loi fédérale du 25 septembre 2020 sur la protection des données<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote>.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><p> Une cyberattaque est considérée comme indétectée pendant une période prolongée si elle s’est produite plus de 90 jours auparavant.</p></content></paragraph><paragraph eId="art_14/para_4"><num>4</num><content><p> Une cyberattaque est considérée comme liée à des actes de chantage, de menace ou de contrainte lorsque de tels agissements sont dirigés contre une autorité ou une organisation soumise à l’obligation de signaler, ou contre des personnes travaillant pour celle-ci.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Contenu du signalement</heading><paragraph eId="art_15/para_1"><num>1</num><content><blockList><listIntroduction eId="art_15/para_1/listintro"> Outre les informations prévues à l’art. 74<i>e</i>, al. 2, LSI, le signalement d’une cyberattaque doit préciser:</listIntroduction><item eId="art_15/para_1/lbl_a"><num>a. </num><p>la date et l’heure de la constatation de l’attaque;</p></item><item eId="art_15/para_1/lbl_b"><num>b. </num><p>la date et l’heure de l’attaque;</p></item><item eId="art_15/para_1/lbl_c"><num>c. </num><p>les données sur l’attaquant.</p></item></blockList></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Il doit aussi indiquer si l’attaque est liée à un acte de chantage, de menace ou de contrainte et si elle a fait l’objet d’une dénonciation pénale.</p></content></paragraph><paragraph eId="art_15/para_3"><num>3</num><content><blockList><listIntroduction eId="art_15/para_3/listintro"> Il doit fournir les informations suivantes sur les conséquences de la cyberattaque:</listIntroduction><item eId="art_15/para_3/lbl_a"><num>a. </num><p>la gravité du préjudice sur la disponibilité, l’intégrité et la confidentialité des informations, et</p></item><item eId="art_15/para_3/lbl_b"><num>b. </num><p>les effets sur le fonctionnement de l’autorité ou de l’organisation.</p></item></blockList></content></paragraph><paragraph eId="art_15/para_4"><num>4</num><content><blockList><listIntroduction eId="art_15/para_4/listintro"> Dans le cas où le signalement n’est pas transmis au moyen du système de communication de l’OFCS, il doit aussi contenir les informations suivantes sur l’autorité ou l’organisation soumise à l’obligation de signaler:</listIntroduction><item eId="art_15/para_4/lbl_a"><num>a. </num><p>la raison sociale, le nom ou la désignation et l’adresse, et</p></item><item eId="art_15/para_4/lbl_b"><num>b. </num><p>les coordonnées de l’auteur du signalement.</p></item></blockList></content></paragraph></article><article eId="art_16"><num><b>Art. </b><b>16</b></num><heading>Délai de saisie du signalement</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> Si toutes les informations nécessaires ne sont pas connues dans les 24 heures suivant la détection de la cyberattaque, l’OFCS accorde à l’autorité ou à l’organisation concernée un délai de 14 jours pour compléter le signalement.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><p> Si les informations nécessaires n’ont pas toutes été fournies dans le délai accordé, l’OFCS demande à l’autorité ou à l’organisation concernée de les compléter immédiatement ou de confirmer que les informations ne sont pas disponibles.</p></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Transmission du signalement</heading><paragraph eId="art_17/para_1"><num>1</num><content><p> Dans le cas où le signalement n’est pas transmis au moyen du système de communication de l’OFCS, ce dernier informe la personne de contact visé à l’art. 9, al. 2, let. b, de la réception et du contenu du signalement.</p></content></paragraph><paragraph eId="art_17/para_2"><num>2</num><content><p> Une ou plusieurs autorités ou organisations soumises à l’obligation de signaler peuvent décider de confier le processus de signalement, individuellement ou collectivement, à une organisation tierce.</p></content></paragraph></article></section><section eId="sec_6"><num>Section 6</num><heading>Dispositions finales</heading><article eId="art_18"><num><b>Art. 18</b></num><heading>Modification d’autres actes</heading><paragraph eId="art_18/para"><content><p>La modification d’autres actes est réglée en annexe.</p></content></paragraph></article><article eId="art_19"><num><b>Art. 19</b></num><heading>Entrée en vigueur</heading><paragraph eId="art_19/para"><content><p>La présente ordonnance entre en vigueur le 1<sup>er</sup> avril 2025.</p></content></paragraph></article></section></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="fr" value="Ordonnance du 7 mars 2025 sur la cybersécurité (OCyS)" shortForm="OCyS"/><FRBRname xml:lang="it" value="Ordinanza del 7 marzo 2025 sulla cibersicurezza (OCS)" shortForm="OCS"/><FRBRname xml:lang="de" value="Verordnung vom 7. März 2025 über die Cybersicherheit (Cybersicherheitsverordnung, CSV)" shortForm="CSV"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/fr"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2025/169/20250401/fr/xml"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRdate date="2025-03-07" name="jolux:dateDocument"/><FRBRdate date="2025-04-01" name="jolux:dateEntryInForce"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Annexe</block></container></preface><mainBody><p>(art. 18)</p><level eId="annex_u1/lvl_u1"><heading>Modification d’autres actes</heading><content><p>Les actes mentionnés ci-après sont modifiés comme suit:</p><p>…<authorialNote><p> Les mod. peuvent être consultées au <ref href="https://fedlex.data.admin.ch/eli/oc/2025/169" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2025</b> 169</ref>.</p></authorialNote></p></content></level></mainBody></doc></component></components></act></akomaNtoso>