Cybersécurité au sein de l'administration fédérale. La coopération est-elle suffisamment efficace ?

La cybersécurité revêt une importance croissante pour la résilience de l’État, de l’économie et de la société. Les cyberattaques peuvent nuire aux services publics essentiels, aux infrastructures stratégiques et à la confiance dans les institutions.

Au sein de l’administration fédérale, divers services relevant de différents départements et offices ont des tâches liées à la cybersécurité, notamment au sein du DDPS, du DFAE, du DFF et du DFJP. Cette répartition des tâches peut se justifier d’un point de vue pratique, mais elle comporte également des risques : problèmes d’interface, doublons, cloisonnement des connaissances et ralentissement de la circulation de l’information.

Une cyberdéfense efficace suppose un partage rapide, systématique et au niveau approprié des enseignements tirés des incidents, des informations sur les vulnérabilités, des modes d’attaque et des mesures de protection. Dans le domaine de la cybersécurité en particulier, il est important de ne pas laisser s’installer un esprit de clocher.

Le Conseil fédéral est prié de répondre aux questions suivantes :

• La répartition actuelle des compétences en matière de cybersécurité garantit-elle un échange rapide et complet des informations relatives à la sécurité ?

• Quels mécanismes sont en place pour garantir l’échange d’informations entre les services compétents des départements et des offices ?

• Existe-t-il un organe institutionnalisé qui se réunit régulièrement pour échanger des informations sur les cybermenaces, les vulnérabilités, les modes d’attaque et les mesures de protection ?

• Comment l’échange d’informations confidentielles ou classifiées entre les services compétents est-il réglementé ?

• Comment le Conseil fédéral évalue-t-il le risque de cloisonnement des connaissances, de doublons, de chevauchements de compétences ou d’utilisation inefficace des ressources en raison de la structure organisationnelle actuelle ?

• Des analyses ont-elles été menées ces dernières années afin d’évaluer l’adéquation de l’organisation actuelle de la cybersécurité au sein de l’administration fédérale ? Si oui, avec quels résultats ?

• Sur la base de quels critères le Conseil fédéral évalue-t-il si l’organisation actuelle est en mesure de faire face aux cybermenaces ?

À la question 1) La répartition des compétences entre plusieurs services découle de l’ampleur et de la diversité des menaces qui touchent le domaine de la cybersécurité et du fait que l’ensemble des secteurs de l’économie et de l’administration sont concernés. L’Office fédéral de la cybersécurité (OFCS) a été créé le 1er janvier 2024 afin de permettre l’échange d’informations au sujet des cybermenaces entre tous les acteurs concernés. Il est le premier interlocuteur des milieux économiques, de l’administration et de la population pour toute question à ce propos et assume un rôle central de coordination.

À la question 2) Pour l’échange d’informations sur les cybermenaces, l’OFCS met à disposition un système de communication sécurisé au sens de l’art. 8 de l’ordonnance du 7 mars 2025 sur la cybersécurité (OCyS ; RS 128.51). Actuellement près de 1800 entreprises et autorités sont enregistrées sur cette plateforme désignée comme « Cyber Security Hub ». Les services compétents de l’administration fédérale participent à ces échanges. Toutes les deux semaines, l’OFCS publie sur la plateforme un rapport de la situation, disponible pour tous les organes enregistrés.

À la question 3) Le rapport de la situation de l’OFCS fait l’objet de discussions en ligne toutes les deux semaines dans le Cyber Security Hub. Ces échanges s’adressent sciemment à tous les exploitants d’infrastructures critiques vu le caractère intersectoriel des informations relatives aux vulnérabilités et aux méthodes de cyberattaque. La Conférence des préposés à la sécurité de l’information, organisée par le service spécialisé pour la sécurité de l’information rattaché au Secrétariat d’État à la politique de sécurité, permet de discuter de risques spécifiques et des mesures de sécurité de l’information prises par la Confédération.

À la question 4) L’échange d’informations classifiées est régi par les dispositions de la loi du 18 décembre 2020 sur la sécurité de l’information (LSI ; RS 128) et de l’ordonnance du 8 novembre 2023 sur la sécurité de l’information (OSI ; RS 128.1).

Aux questions 5 et 6) La clarification des tâches et des compétences est l’élément qui a conduit, le 5 décembre 2022, à la décision de mettre en place un office fédéral pour la cybersécurité. Auparavant, les structures avaient été analysées et plusieurs options avaient été examinées. Plusieurs rapports ont été établis, dont une « Évaluation de l’efficacité de la stratégie nationale de protection de la Suisse contre les cyberrisques pour les années 2018 à 2022 » et le rapport « SECORG – Évaluation des structures de coordination dans le domaine de la sécurité et des cyberrisques ». L’organisation actuelle de la Confédération découle de ces analyses. Le Conseil fédéral est convaincu que la structure d’organisation permet aujourd’hui d’établir clairement les compétences et que le risque de cloisonnement des connaissances et de doublons est faible.

À la question 7) Le Conseil fédéral effectue une évaluation suivie de l’adéquation de l’organisation dans le cadre des rapports annuels sur la mise en œuvre de la Cyberstratégie nationale (CSN). Le rapport, rédigé par le comité de pilotage, permet de faire un état des lieux systématique et montre les progrès réalisés dans les cinq objectifs stratégiques de la CSN ainsi que les éventuels besoins d’adaptation. Si une action immédiate est nécessaire, l’OFCS informe directement le Conseil fédéral et dépose les demandes correspondantes.