120.73   1   Ordonnance   sur la protection contre les cyberrisques   dans l’administration fédérale   (Ordonnance sur les cyberrisques, OPCy)   du 27 mai 2020 (Etat le 1er avril 2021)     Le Conseil fédéral suisse,   vu l’art. 30 de la loi fédérale du 21 mars 1997 instituant des mesures visant au  maintien de la sûreté intérieure1 et les art. 43, al. 2 et 3, 47, al. 2, et 55 de la loi du  21 mars 1997 sur l’organisation du gouvernement et de l’administration2,   arrête:   1 Chapitre 1 Dispositions générales   Art. 1 Objet   La présente ordonnance règle l’organisation de l’administration fédérale de manière  à assurer la protection contre les cyberrisques de même que les tâches et les compé- tences des différents offices dans le domaine de la cybersécurité.    Art. 2 Champ d’application   La présente ordonnance s’applique:    a. aux unités administratives de l’administration fédérale centrale au sens de  l’art. 7 de l’ordonnance du 25 novembre 1998 sur l’organisation du gouver- nement et de l’administration3;   b.4 aux autorités, organisations et personnes visées à l’art. 2, al. 2, de l’ordon- nance du 25 novembre 2020 sur la transformation numérique et l’infor- matique (OTNI)5 qui s’engagent à la respecter.   Art. 3 Définitions   Dans la présente ordonnance, on entend par:   a. cybersécurité: la situation dans laquelle le traitement des données, notam- ment l’échange de données entre les personnes et les organisations par        RO 2020 2107   1  RS 120  2  RS 172.010  3  RS 172.010.1  4 Nouvelle teneur selon l’annexe ch. 1 de l’O du 25 nov. 2020 sur la transformation numé-  rique et l’informatique, en vigueur depuis le 1er janv. 2021 (RO 2020 5871).  5  RS 172.010.58   120.73      Sécurité de la Confédération   2   120.73   l’intermédiaire d’infrastructures d’information et de communication, fonc- tionnent comme prévu;    b. cyberincident: tout événement nuisant à la confidentialité, à l’intégrité, à la  disponibilité ou à la traçabilité des données ou pouvant occasionner des dys- fonctionnements, qu’il soit accidentel ou provoqué intentionnellement par un  tiers non autorisé;   c. cyberrisque: le risque de survenance d’un cyberincident, son ampleur résul- tant du produit de la probabilité de survenance et de l’étendue des dom- mages;   d. résilience: l’aptitude d’un système, d’une organisation ou d’une société à  faire face à des perturbations internes ou externes et à maintenir son bon  fonctionnement ou à le rétablir aussi rapidement et complètement que pos- sible;   e. sécurité informatique: l’aspect de la cybersécurité qui concerne les systèmes  techniques;   f. directives en matière de sécurité informatique: les exigences de sécurité  concernant l’organisation, les processus, les prestations et la technique;   g. infrastructures critiques: les processus, systèmes et installations indispen- sables au fonctionnement de l’économie et au bien-être de la population;   h.6 objets informatiques à protéger: les applications, services, systèmes, ré- seaux, fichiers de données, infrastructures et produits relevant de  l’informatique; plusieurs objets identiques ou connexes peuvent être regrou- pés en un seul objet informatique à protéger.    Chapitre 2 Principes régissant la protection contre les cyberrisques   Art. 4 Objectifs   1 L’administration fédérale veille à ce que ses organes et ses systèmes présentent une  résilience appropriée face aux cyberrisques.    2 Elle collabore avec les cantons, les communes, les milieux économiques et scienti- fiques, la société et les partenaires internationaux, dans la mesure où cette collabora- tion est utile à la protection de ses intérêts en matière de sécurité; elle encourage  l’échange d’informations.    Art. 5 Stratégie nationale de protection de la Suisse contre les cyberrisques    La stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC)  définie par le Conseil fédéral établit le cadre stratégique régissant la prévention et la  détection précoce des cyberrisques, ainsi que la réaction et la résilience en cas de  cyberincident.       6 Introduite par le ch. I de l’O du 24 fév. 2021, en vigueur depuis le 1er avr. 2021   (RO 2021 132).     O sur les cyberrisques   3   120.73   Art. 6  Domaines   Les mesures de protection contre les cyberrisques sont subdivisées en trois do- maines:    a. domaine de la cybersécurité: ensemble des mesures visant à prévenir et à gé- rer les incidents et à améliorer la résilience face aux cyberrisques ainsi qu’à  développer la coopération internationale à cet effet;    b. domaine de la cyberdéfense: ensemble des mesures prises par les services de  renseignement et l’armée dans le but de protéger les systèmes critiques dont  dépend la défense nationale, de se défendre contre les cyberattaques, de ga- rantir la disponibilité opérationnelle de l’armée dans toutes les situations  ayant trait au cyberespace et de développer ses capacités et compétences afin  qu’elle puisse apporter un appui subsidiaire aux autorités civiles; ce domaine  inclut également des mesures visant à identifier les menaces et les attaquants  ainsi qu’à entraver et à bloquer les attaques;   c. domaine de la poursuite pénale de la cybercriminalité: ensemble des mesures  prises par la police et les ministères publics de la Confédération et des can- tons pour lutter contre la cybercriminalité.     Chapitre 3 Organisation et compétences   Section 1 Collaboration interdépartementale   Art. 7 Conseil fédéral   Le Conseil fédéral assume les fonctions suivantes:   a. surveiller la mise en œuvre de la SNPC au moyen du contrôle de gestion  stratégique et adopter des mesures si nécessaire;    b. décider, dans les limites de ses compétences, dans quels domaines il con- vient d’édicter ou de modifier des directives en matière de protection contre  les cyberrisques;    c. édicter des instructions sur la protection de l’administration fédérale contre  les cyberrisques;    d. autoriser des dérogations à ses directives.   Art. 8 Groupe Cyber   1 Le Groupe Cyber se compose:   a. du délégué à la cybersécurité (art. 6a de l’ordonnance du 17 février 2010 sur  l’organisation du Département fédéral des finances7), qui représente le Dé- partement fédéral des finances (DFF);       7  RS 172.215.1     Sécurité de la Confédération   4   120.73   b. d’un représentant du Département fédéral de la défense, de la protection de  la population et des sports (DDPS);   c. d’un représentant du Département fédéral de justice et police (DFJP);   d. d’un représentant des cantons, désigné par la conférence des gouvernements  cantonaux compétente.   2 Il est présidé par le délégué à la cybersécurité.   3 Il informe les représentants des autres unités administratives actives dans le do- maine des cyberrisques sur les points inscrits à l’ordre du jour et peut les inviter à  assister à certaines de ses séances. S’agissant des aspects de politique extérieure, il  fait appel au Département des affaires étrangères (DFAE). Il peut également recourir  à des experts des milieux économiques et des hautes écoles.    4 Le Groupe Cyber assume notamment les tâches suivantes:   a. évaluer les cyberrisques et leur évolution probable au moyen d’informations  relevant des domaines de la cybersécurité, de la cyberdéfense et de la pour- suite pénale de la cybercriminalité;   b. évaluer en permanence les dispositifs existants dans les domaines de la cy- bersécurité, de la cyberdéfense et de la poursuite pénale de la cybercrimina- lité et vérifier leur adéquation à la situation;   c. accompagner, au besoin en collaboration avec d’autres services, la gestion  interdépartementale des incidents;   d. informer le Groupe Sécurité de la Confédération des cyberincidents et des  développements relevant de la politique extérieure et de la politique de sécu- rité.   5 Les trois départements représentés au sein du Groupe Cyber mettent à disposition  les informations permettant une évaluation commune de la situation.   6 Le Service de renseignement de la Confédération (SRC) fournit au Groupe Cyber  une vue d’ensemble de la situation en matière de cybermenace.   Art. 9 Comité de pilotage de la stratégie nationale de protection de la  Suisse contre les cyberrisques    1 Le Conseil fédéral met en place un comité de pilotage de la stratégie nationale de  protection de la Suisse contre les cyberrisques (CP SNPC).    2 Le CP SNPC se compose du délégué à la cybersécurité, de représentants des can- tons désignés par la conférence des gouvernements cantonaux compétente, de repré- sentants des milieux économiques et des hautes écoles ainsi que de représentants des  unités administratives qui ont la haute main sur la mise en œuvre de mesures de la  SNPC. Chaque département et la Chancellerie fédérale disposent au moins d’un  représentant au sein du CP SNPC.    3 Le CP SNPC est présidé par le délégué à la cybersécurité.     O sur les cyberrisques   5   120.73   4 Il assume les tâches suivantes:   a. veiller à la cohérence stratégique lors de la mise en œuvre des mesures de la  SNPC et évaluer en permanence leur état d’avancement au moyen d’un con- trôle de gestion stratégique;    b. proposer des mesures d’urgence en cas de mise en œuvre tardive ou incom- plète des mesures de la SNPC;   c. assurer le développement continu de la SNPC en suivant l’évolution de la  menace en concertation avec le Groupe Cyber et proposer au besoin des  ajustements de la SNPC;    d. rendre compte chaque année au Conseil fédéral et au grand public de la mise  en œuvre de la SNPC;    e. veiller à ce que les acteurs de la Confédération, des cantons, des milieux  économiques et des hautes écoles adoptent une approche coordonnée dans la  mise en œuvre des mesures de la SNPC;    f. veiller à ce que la mise en œuvre des mesures de la SNPC tienne compte de  la politique de gestion des risques menée par la Confédération, de la straté- gie nationale de protection des infrastructures critiques et des stratégies in- formatiques du Conseil fédéral.    Art. 10 Comité pour la sécurité informatique    1 Le comité pour la sécurité informatique (C-SI) se compose d’un représentant du  Centre national pour la cybersécurité (NCSC8), des délégués à la sécurité informa- tique des départements et de la Chancellerie fédérale et du délégué à la sécurité  informatique des services standard.   2 Il peut faire appel à d’autres personnes à titre consultatif.   3 Il est présidé par le représentant du NCSC.    4 Il est l’organe consultatif du NCSC pour les questions de sécurité informatique  dans l’administration fédérale.   Art. 11 Délégué à la cybersécurité   1 Le délégué à la cybersécurité assume les tâches suivantes:   a. diriger le NCSC;    b. veiller à une coordination optimale des travaux interdépartementaux des  domaines de la cybersécurité, de la cyberdéfense et de la poursuite pénale de  la cybercriminalité;   c. assurer la visibilité des activités de la Confédération dans le domaine des  cyberrisques, contribuer à la création de conditions favorables à l’innovation  dans le secteur de la cybersécurité, assumer le rôle d’interlocuteur de réfé- rence de la Confédération en matière de cyberrisques et représenter celle-ci       8  National Cyber Security Centre     Sécurité de la Confédération   6   120.73   au sein des commissions et groupes de travail concernés; veiller à une coor- dination optimale des travaux des cantons et de la Confédération afin  d’assurer la protection de la Suisse contre les cyberrisques;   d. représenter le NCSC dans les états-majors de crise de la Confédération;   e. édicter des directives en matière de sécurité informatique;    f.9 décider de dérogations aux directives qu’il a édictées; si ces dérogations  concernent également les directives de la Chancellerie fédérale concernant la  transformation numérique et la gouvernance de l’informatique, il consulte  cette dernière au préalable.   2 Il informe régulièrement le DFF, à l’intention du Conseil fédéral, de l’état de la  sécurité informatique au sein des départements et de la Chancellerie fédérale.    3 Il peut participer à l’élaboration de directives informatiques de l’administration  fédérale qui concernent la cybersécurité et à des projets informatiques ayant une  incidence sur la sécurité. Il peut notamment demander des informations, se pronon- cer à ce sujet et formuler des modifications.    4 Il peut demander, après consultation du Contrôle fédéral des finances, des vérifica- tions de la sécurité informatique.   Section 2 Organes du domaine de la cybersécurité   Art. 12 Centre national pour la cybersécurité   1 Le NCSC est le centre de compétences de la Confédération en matière de cyber- risques et coordonne les travaux de la Confédération dans le domaine de la cybersé- curité. Il assume les tâches suivantes:    a. exploiter le guichet unique suisse en matière de cyberrisques, qui centralise  les notifications émanant de l’administration fédérale, des milieux écono- miques, des cantons et de la population, les analyse et peut émettre des re- commandations;    b. fournir, en collaboration avec les partenaires compétents au sein de  l’administration fédérale, un appui subsidiaire aux exploitants  d’infrastructures critiques et encourager entre eux l’échange d’informations  concernant les cyberrisques;   c. diriger l’équipe d’intervention en cas d’urgence informatique (Computer  Emergency Response Team, GovCERT), qui est le service spécialisé natio- nal pour la gestion technique des cyberincidents, l’analyse des questions  techniques, l’évaluation technique des menaces et l’appui technique au gui- chet unique suisse;   d. diriger le service spécialisé de sécurité informatique de la Confédération, qui  élabore des directives en matière de sécurité informatique, conseille les uni-      9 Nouvelle teneur selon l’annexe ch. 1 de l’O du 25 nov. 2020 sur la transformation numé- rique et l’informatique, en vigueur depuis le 1er janv. 2021 (RO 2020 5871).     O sur les cyberrisques   7   120.73   tés administratives lors de leur application et vérifie le niveau de sécurité in- formatique au sein des départements et de la Chancellerie fédérale;   e. désigner les délégués à la sécurité informatique de la Confédération (DSIC);   f. coordonner la mise en œuvre de la SNPC, effectuer un contrôle de gestion  stratégique de la SNPC et préparer les séances du Groupe Cyber et du  CP SNPC;   g. disposer d’un pool d’experts chargés d’assister les offices spécialisés dans la  mise en œuvre de mesures de la SNPC ainsi que dans le développement, la  mise en œuvre et l’évaluation de normes et de réglementations en matière de  cybersécurité;   h. contribuer à sensibiliser l’administration fédérale et le grand public aux cy- berrisques au moyen d’informations ciblées, informer sur l’état de la situa- tion et publier des instructions sur les mesures préventives ou réactives à  prendre;   i. exploiter une infrastructure d’analyse et de communication résiliente qui  fonctionne indépendamment du reste de l’informatique de la Confédération;   j. informer le Groupe Cyber des cyberincidents et, lorsque ceux-ci sont impor- tants du point de vue de la politique extérieure et de la politique de sécurité,  en informer également le Groupe Sécurité de la Confédération.    2 Il peut traiter les données relatives aux cyberincidents et aux flux de communica- tion correspondants pour autant que ce traitement soit utile, directement ou indirec- tement, à la protection de l’administration fédérale contre les cyberrisques. Il peut  communiquer ces données à des équipes de sécurité publiques ou privées si:   a. le fournisseur des données y consent; et   b. aucune obligation légale de garder le secret n’est enfreinte.   3 La communication de données personnelles à l’étranger n’est autorisée que si la  législation fédérale sur la protection des données est respectée.   4 Les données sensibles ne peuvent être traitées que si une base légale autorise leur  traitement par des moyens informatiques de la Confédération.    5 En concertation avec les services concernés de l’administration fédérale, le NCSC  prend la haute main sur la gestion des cyberincidents présentant une menace pour le  bon fonctionnement de l’administration fédérale. Le cas échéant, il assume les  tâches et compétences suivantes:    a. il peut obtenir des fournisseurs et des bénéficiaires de prestations concernés  toutes les informations nécessaires;   b. il peut ordonner des mesures d’urgence;   c. il informe de son action la direction des unités administratives concernées   6 Si les mesures prises à la suite d’un cyberincident ont permis de réduire à un ni- veau acceptable la menace pour la confidentialité ou le fonctionnement de  l’administration fédérale et que les travaux de suivi nécessaires et leur financement  ont été arrêtés, le NCSC rend la responsabilité de la gestion aux services concernés.     Sécurité de la Confédération   8   120.73   Art. 13 Départements et Chancellerie fédérale   1 À la fin de chaque année, les départements et la Chancellerie fédérale informent le  NCSC de l’état de la sécurité informatique.   2 Les fournisseurs de prestations internes visés à l’art. 9 OTNI10 rendent régulière- ment compte au NCSC des failles de sécurité et des cyberincidents détectés ainsi que  des mesures prises ou prévues pour y remédier.11   3 Les départements et la Chancellerie fédérale désignent chacun un délégué à la  sécurité informatique (DSID), qui agit sur mandat direct de la direction du départe- ment.12   4 Les DSID assument notamment les tâches suivantes:    a.  coordonner les aspects de la sécurité informatique au sein du département ou  de la Chancellerie fédérale ainsi qu’avec les services compétents en matière  de coordination et de collaboration au niveau interdépartemental;    b.  élaborer les bases nécessaires à la mise en œuvre des directives en matière  de sécurité informatique et à l’organisation au niveau du département ou de  la Chancellerie fédérale.13   5 Les départements et la Chancellerie fédérale règlent les relations entre le DSID et  les délégués à la sécurité informatique des unités administratives (DSIO), notam- ment la conduite technique en matière de sécurité.14   Art. 1415 Unités administratives et fournisseurs de prestations   1 Les unités administratives désignent chacune un DSIO, qui agit sur mandat direct  de la direction de l’unité administrative. Le secteur Transformation numérique et  gouvernance de l’informatique de la Chancellerie fédérale (secteur TNI de la ChF)  désigne en outre un délégué à la sécurité informatique des services standard.    2 Les DSIO et le délégué à la sécurité informatique des services informatiques  standard assument les tâches suivantes:   a. veiller à la mise en œuvre rapide des directives en matière de sécurité infor- matique et à l’application des procédures de sécurité dans les unités adminis- tratives (chap. 3a);   b. veiller à ce que les collaborateurs soient sensibilisés et formés aux enjeux de  la sécurité informatique à leur entrée en fonction puis à intervalles réguliers,  et à ce qu’ils connaissent, au niveau qui les concerne et selon leur fonction,       10  RS 172.010.58  11 Nouvelle teneur selon l’annexe ch. 1 de l’O du 25 nov. 2020 sur la transformation numé-  rique et l’informatique, en vigueur depuis le 1er janv. 2021 (RO 2020 5871).  12 Nouvelle teneur selon le ch. I de l’O du 24 fév. 2021, en vigueur depuis le 1er avr. 2021   (RO 2021 132).  13 Introduit par le ch. I de l’O du 24 fév. 2021, en vigueur depuis le 1er avr. 2021    (RO 2021 132).  14 Introduit par le ch. I de l’O du 24 fév. 2021, en vigueur depuis le 1er avr. 2021    (RO 2021 132).  15 Nouvelle teneur selon le ch. I de l’O du 24 fév. 2021, en vigueur depuis le 1er avr. 2021   (RO 2021 132).     O sur les cyberrisques   9   120.73   les compétences et les procédures applicables en matière de sécurité infor- matique dans leur environnement de travail;   c. informer le responsable de leur unité administrative au moins tous les  six mois de l’état de la sécurité informatique dans l’unité administrative.   3 Les unités administratives sont responsables de la sécurité de leurs objets informa- tiques à protéger. Elles assument les fonctions suivantes:    a. faire l’inventaire de leurs objets informatiques à protéger et prendre les me- sures de sécurité nécessaires; veiller notamment à ce que ces mesures soient  consignées sous une forme actualisée pour chaque objet informatique à pro- téger;    b. s’assurer du respect et de la mise en œuvre des directives en matière de sécu- rité informatique, des procédures de sécurité et des décisions du Conseil fé- déral, du NCSC et des départements ou de la Chancellerie fédérale dans  leurs domaines de compétence respectifs;    c. sous réserve de l’art. 12, al. 5, gérer tout cyberincident touchant leurs objets  informatiques à protéger;   d. s’assurer qu’en cas d’acquisition de prestations auprès d’un fournisseur ex- terne, les directives en matière de sécurité informatique font partie intégrante  du contrat;   e. vérifier de manière appropriée que les directives en matière de sécurité in- formatique sont respectées par les fournisseurs externes;   f. veiller à ce que les responsabilités en matière de sécurité informatique soient  définies au niveau opérationnel dans les accords de projets et les conventions  de prestations conclus entre les fournisseurs et les bénéficiaires de presta- tions;   g. veiller à ce que les personnes non soumises à la présente ordonnance ne  puissent accéder à l’infrastructure informatique de la Confédération que si  elles s’engagent à respecter les directives en matière de sécurité informa- tique.   4 Les fournisseurs de prestations assument les fonctions suivantes:   a. transmettre aux bénéficiaires de prestations, à la demande de ceux-ci et sous  une forme appropriée, toutes les informations nécessaires à la protection de  leurs objets informatiques à protéger;   b. veiller à disposer des capacités nécessaires à l’analyse technique et à la ges- tion des cyberincidents qui les concernent ou qui concernent leurs bénéfi- ciaires de prestations;   c. informer sans délai leurs bénéficiaires de prestations des failles et des inci- dents de sécurité détectés qui concernent leurs objets informatiques à proté- ger;   d. définir, en collaboration avec les bénéficiaires de prestations, un processus  de gestion des cyberincidents; celui-ci règle en particulier les compétences  décisionnelles dont relèvent les mesures d’urgence.      Sécurité de la Confédération   10   120.73   5 Si un cyberincident ne peut être géré dans le cadre du processus défini, les per- sonnes concernées informent le NCSC afin de définir la marche à suivre.    6 Les unités administratives consultent le NCSC pour ce qui concerne les directives  et projets informatiques ayant une incidence sur la sécurité.   7 Elles sont responsables du développement, de la mise en œuvre et de l’évaluation  de normes et de réglementations en matière de cybersécurité dans leurs domaines  respectifs. Le NCSC met à leur disposition, dans la mesure des possibilités, des  experts du pool visé à l’art. 12, al. 1, let. g.   Art. 14a16 Collaborateurs   Les collaborateurs de l’administration fédérale qui utilisent des moyens informa- tiques sont responsables de leur utilisation conforme aux prescriptions.    Chapitre 3a17 Procédures de sécurité   Art. 14b Analyse des besoins de protection   1 Les unités administratives s’assurent qu’une analyse actuelle des besoins de pro- tection est disponible pour tous les objets informatiques à protéger. Les projets  informatiques doivent faire l’objet d’une telle analyse avant d’être validés.   2 Lors de l’analyse des besoins de protection, les unités administratives évaluent les  aspects de la confidentialité, de la disponibilité, de l’intégrité, de la traçabilité et du  risque d’espionnage par des services de renseignement.   Art. 14c Protection de base   Les unités administratives mettent en œuvre les règles de protection de base pour  tous les objets informatiques à protéger et documentent cette mise en œuvre.   Art. 14d Protection accrue    1 Si l’analyse révèle des besoins de protection accrus, les unités administratives  définissent, en plus de la mise en œuvre des directives en matière de sécurité rele- vant de la protection de base, d’autres mesures de sécurité sur la base d’une analyse  des risques, documentent ces mesures et les mettent en œuvre.   2 Les unités administratives mettent en évidence les risques qui ne peuvent être  réduits ou qui ne peuvent l’être que de manière insuffisante (risques résiduels) et  documentent ces risques. Le mandant du projet, le responsable du processus  d’affaires et le responsable de l’unité administrative prennent connaissance des  risques résiduels et confirment par écrit qu’ils l’ont fait.       16 Introduit par le ch. I de l’O du 24 fév. 2021, en vigueur depuis le 1er avr. 2021   (RO 2021 132).   17 Introduit par le ch. I de l’O du 24 fév. 2021, en vigueur depuis le 1er avr. 2021   (RO 2021 132).     O sur les cyberrisques   11   120.73   3 La décision d’assumer ou non les risques résiduels connus appartient au respon- sable de l’unité administrative compétente.   Art. 14e Périodicité   1 Les procédures de sécurité doivent être exécutées au moins tous les cinq ans.   2 Elles doivent être exécutées sans délai si l’objet informatique à protéger ou la  situation en matière de menace subissent des modifications ayant une incidence sur  la sécurité.   Chapitre 3b18 Coûts décentralisés   Art. 14f    1 Les coûts décentralisés de la sécurité informatique font partie des coûts de projet et  d’exploitation.   2 Ils doivent être suffisamment pris en compte lors de la planification.   Chapitre 4 Dispositions finales   Art. 15 Modification d’autres actes   La modification d’autres actes est réglée en annexe.   Art. 16 Disposition transitoire relative à l’art. 2, let. b   1 Les autorités et offices qui, avant l’entrée en vigueur de la présente ordonnance, se  sont engagées par le biais d’un accord avec l’Unité de pilotage informatique de la  Confédération (UPIC) à respecter les dispositions de l’ordonnance du 9 décembre  2011 sur l’informatique dans l’administration fédérale (OIAF)19 sont soumises  jusqu’au 31 décembre 2021 aux obligations de la présente ordonnance dans la me- sure de l’ancien droit.20   2 Ils sont soumis à la présente ordonnance à partir du 1er janvier 2022 pour autant  que l’accord n’ait pas été résilié avant cette date.    Art. 17 Disposition transitoire relative à l’art. 11, al. 1, let. e   1 Si l’UPIC a édicté des directives en matière de sécurité informatique et approuvé  des dérogations à ces directives avant l’entrée en vigueur de la présente ordonnance,  ces directives et dérogations conservent leur validité.        18 Introduit par le ch. I de l’O du 24 fév. 2021, en vigueur depuis le 1er avr. 2021   (RO 2021 132).   19  RO 2011 6093; 2015 4873; 2016 1783, 3445; 2018 1093; 2020 2107  20 Nouvelle teneur selon l’annexe ch. 1 de l’O du 25 nov. 2020 sur la transformation numé-  rique et l’informatique, en vigueur depuis le 1er janv. 2021 (RO 2020 5871).     Sécurité de la Confédération   12   120.73   2 Le NCSC décide des éventuelles modifications des directives et des dérogations à  ces directives.   Art. 18 Entrée en vigueur   La présente ordonnance entre en vigueur le 1er juillet 2020.     O sur les cyberrisques   13   120.73   Annexe  (art. 15)   Modification d’autres actes   Les ordonnances suivantes sont modifiées comme suit:   ...21       21 Les mod. peuvent être consultées au RO 2020 2107.     Sécurité de la Confédération   14   120.73       	1 Chapitre 1 Dispositions générales 	Art. 1 Objet 	Art. 2 Champ d’application 	Art. 3 Définitions  	Chapitre 2 Principes régissant la protection contre les cyberrisques 	Art. 4 Objectifs 	Art. 5 Stratégie nationale de protection de la Suisse contre les cyberrisques 	Art. 6  Domaines  	Chapitre 3 Organisation et compétences 	Section 1 Collaboration interdépartementale 	Art. 7 Conseil fédéral 	Art. 8 Groupe Cyber 	Art. 9 Comité de pilotage de la stratégie nationale de protection de la Suisse contre les cyberrisques 	Art. 10 Comité pour la sécurité informatique 	Art. 11 Délégué à la cybersécurité  	Section 2 Organes du domaine de la cybersécurité 	Art. 12 Centre national pour la cybersécurité 	Art. 13 Départements et Chancellerie fédérale 	Art. 14  Unités administratives et fournisseurs de prestations 	Art. 14a  Collaborateurs   	Chapitre 3a  Procédures de sécurité 	Art. 14b Analyse des besoins de protection 	Art. 14c Protection de base 	Art. 14d Protection accrue 	Art. 14e Périodicité  	Chapitre 3b  Coûts décentralisés 	Chapitre 4 Dispositions finales 	Art. 15 Modification d’autres actes 	Art. 16 Disposition transitoire relative à l’art. 2, let. b 	Art. 17 Disposition transitoire relative à l’art. 11, al. 1, let. e 	Art. 18 Entrée en vigueur  	Annexe 	Modification d’autres actes