Projet

Sécurité de l’information RO ...

Art. 20 Analyse du besoin de protection et évaluation des risques

¹Les autorités et organisations concernées s’assurent que les besoins liés à la sécurité de l’information sont évalués lors de la planification de l'engagement de moyens TIC.

²Les autorités et organisations concernées qui ont l’intention d'engager de nouvelles technologies veillent à évaluer les risques qui peuvent en résulter pour la sécurité de l’information. Elles communiquent les résultats de l’évaluation au service spécialisé de la Confédération en matière de sécurité de l’information.

Art. 21 Catégories de sécurité des moyens TIC

¹La catégorie de sécurité «protection de base» s’applique aux moyens TIC dans la mesure où ils ne nécessitent pas d’être attribués à une catégorie supérieure.

²La catégorie de sécurité «protection élevée» s’applique aux moyens TIC:

a. devant servir à traiter des informations dont la violation de la confidentialité, de la disponibilité, de l’intégrité ou de la traçabilité peut nuire considérablement aux intérêts au sens de l’art. 1, al. 2, ou

b. dont le dérangement ou l’usage abusif ou indu peut nuire considérablement aux intérêts au sens de l’art. 1, al. 2.

³La catégorie de sécurité «protection très élevée» s’applique aux moyens TIC:

a. devant servir à traiter des informations dont la violation de la confidentialité, de la disponibilité, de l’intégrité ou de la traçabilité peut nuire gravement aux intérêts au sens de l’art. 1, al. 2, ou

b. dont le dérangement ou l’usage abusif ou indu peut nuire gravement aux intérêts au sens de l’art. 1, al. 2.

Art. 22 Exigences de sécurité pour la catégorie de sécurité «protection de

base»

¹Les autorités concernées fixent les exigences minimales pour les moyens TIC de la catégorie de sécurité «protection de base».

²Tous les moyens TIC doivent répondre à ces exigences minimales.

Art. 23 Concept de sécurité de l’information

¹Les autorités et organisations concernées s’assurent qu’une analyse du risque est menée et qu’un concept de sécurité de l’information est établi pour les moyens TIC des catégories de sécurité «protection élevée» et «protection très élevée».

²Le concept de sécurité de l’information doit être examiné par le préposé à la sécurité de l’information compétent et approuvé par l'autorité ou l'organisation concernée.

³Il doit être régulièrement actualisé.