Afin de rendre effectif le couplage entre le SEQE-UE et le SEQE suisse, une solution provisoire sera mise en place d’ici à mai 2020 ou dès que possible après cette date. Les parties coopèrent pour remplacer dès que possible cette solution provisoire par un registre permanent.
Les normes techniques de couplage précisent:
— l’architecture du lien de communication
— la sécurité du transfert des données
— la liste des fonctions (transactions, rapprochement, etc.)
— la définition des services internet
— les normes d’archivage des données
— les modalités opérationnelles (service d’appel, assistance)
— le plan d’activation de communication et la procédure d’essai
— la procédure d’essai de sécurité.
Les normes techniques de couplage prévoient que les administrateurs doivent prendre des mesures raisonnables pour s’assurer que le SSTL, l’EUTL et le lien sont opérationnels 24 heures sur 24 et 7 jours sur 7 et que les interruptions du fonctionnement du SSTL, de l’EUTL et du lien sont limitées le plus possible.
Les normes techniques de couplage prévoient que les communications entre le SSTL et l’EUTL consistent en des échanges sécurisés de messages par services internet reposant sur les technologies suivantes:
— services internet utilisant SOAP (Simple Object Access Protocol) ou l’équivalent
— réseau privé virtuel (VPN) basé sur matériel
— XML (Extensible Markup Language)
— signature numérique et
— protocoles de synchronisation de réseau.
Les normes techniques de couplage énoncent des exigences supplémentaires en matière de sécurité pour le registre suisse, le SSTL, le registre de l’Union et l’EUTL et sont documentées dans un “plan de gestion de la sécurité”. Les normes techniques de couplage prévoient notamment ce qui suit:
— en cas de suspicion d’atteinte à la sécurité du registre suisse, du SSTL, du registre de l’Union ou de l’EUTL, les deux parties s’informent immédiatement et suspendent immédiatement le lien entre le SSTL et l’EUTL
— en cas de faille de sécurité, les parties s’engagent à s’échanger immédiatement les informations concernées. Dans la mesure où les détails techniques sont disponibles, un rapport décrivant l’incident (date, cause, conséquences, mesures correctives) est partagé entre l’administrateur du registre suisse et l’administrateur central de l’Union dans les 24 heures suivant la faille de sécurité.
La procédure d’essai de sécurité prévue dans les normes techniques de couplage est exécutée avant que le lien de communication entre le SSTL et l’EUTL ne soit établi et lorsqu’une nouvelle version ou édition du SSTL ou de l’EUTL est nécessaire.
Les normes techniques de couplage prévoient deux environnements d’essai en plus de l’environnement de production: un environnement d’essai développeur et un environnement d’acceptation.
Par l’intermédiaire de l’administrateur du registre suisse et de l’administrateur central de l’Union, les parties fournissent la preuve qu’une évaluation indépendante de la sécurité de leurs systèmes a été effectuée au cours des douze mois précédents, conformément aux exigences de sécurité établies dans les normes techniques de couplage. Des essais de sécurité, et plus précisément des essais d’intrusion, sont effectués sur toutes les nouvelles versions majeures du logiciel, conformément aux exigences de sécurité énoncées dans les normes techniques de couplage. L’essai d’intrusion n’est pas effectué par le développeur du logiciel ni par un sous-traitant du développeur du logiciel.