Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Dans un contexte de forte concurrence au niveau mondial, quiconque réussit à se procurer le savoir de ses concurrents (résultats de recherche et développement, savoir-faire, etc.) obtient du même coup un avantage décisif. Par conséquent, les activités d’espionnage se multiplient depuis quelques années dans les secteurs économique et industriel, notamment dans les domaines de haute technologie. A cet égard, l’administration fédérale constitue un centre névralgique très sensible: elle réglemente l’économie privée, vérifie certains produits et en autorise la diffusion, contrôle certaines entreprises, acquiert elle-même des biens et services de valeur, etc. Ce faisant, l’administration fédérale est en dialogue permanent avec des partenaires publics et privés, en Suisse comme à l’étranger. Dans le cadre de ces activités, elle traite de nombreuses informations qui contiennent des secrets d’affaires et de fabrication de tiers. Elle peut donc se trouver dans le viseur de ceux qui veulent se procurer de telles informations. Les tiers qui confient leurs informations aux autorités fédérales en vertu d’une obligation légale ou d’un contrat attendent, à juste titre, de ces autorités qu’elles protègent leurs informations avec toute la diligence voulue.

La Confédération traite également un volume important de données personnelles qui, en vertu de la législation sur la protection des données, doivent être traitées de façon régulière, conformément au but recherché et dans le respect du principe de proportionnalité. Elles doivent être protégées par des mesures tant organisationnelles que techniques. En cas d’utilisation abusive, les personnes dont les données sont traitées peuvent être gravement lésées dans leurs droits individuels. Certaines données personnelles sont aussi recherchées que les informations technologiques de l’industrie. Leur valeur financière ne doit pas être sous-estimée: il existe un marché florissant pour l’acquisition et la diffusion de données personnelles.

Si des incidents graves ou répétés devaient se produire, la confiance en nos autorités fédérales pourrait s’en trouver fortement ébranlée. Cela pourrait même conduire à ce que des informations importantes ne soient pas transmises à la Confédération aussi longtemps que cette dernière n’apporte pas la preuve qu’elle les protège de manière fiable.

Ces risques pour la Confédération ne sont pas des hypothèses abstraites ou invraisemblables. Ainsi, en octobre 2009, un programme malveillant voué à l’espionnage a été découvert au DFAE: il s’est introduit dans le réseau par un courriel et n’a été découvert que très tard. Auparavant, l'entreprise RUAG et la société Mowag, toutes deux proches de la Confédération, ont été victimes d’attaques similaires. On ne doit pas non plus oublier les menaces que peuvent représenter les membres du personnel de la Confédération: un grave cas de vol de données a été découvert en mai 2012 au Service de renseignement de la Confédération (SRC). Un collaborateur de ce service a copié sur des supports amovibles de grandes quantités d’informations sensibles auxquelles il avait accès grâce à ses autorisations et les a transportées hors des locaux de l’administration. Avant son arrestation, il a tenté de vendre les informations dérobées.

Des cas moins graves se produisent fréquemment. Ils concernent le vol ou la perte d’ordinateurs portables ou de smartphones, la perte de supports d’informations classifiées, la divulgation non autorisée, généralement pour des motifs politiques, d’informations protégées, les perturbations d'activité en raison de la défaillance d’un serveur, de surcharges du réseau ou d’une mauvaise configuration d’un logiciel, etc. Etant donné que la plupart de ces incidents ne sont pas systématiquement consignés ou ne sont pas au moins communiqués aux services spécialisés pour examen, il est difficile d’estimer le préjudice global subi par la Confédération.

1.1.3 Mandats du Conseil fédéral

Le Conseil fédéral a attribué nombre de mandats en rapport avec la sécurité de l’information, dont il a fallu tenir compte dans le cadre de la préparation du projet: ne seront commentés ci-après que ceux qui ont sensiblement influé sur le projet de loi.

1.1.3.1 Adoption de l’ordonnance concernant la protection des informations et mandat d’étude du

Conseil fédéral

Au milieu de l’année 2007, le Conseil fédéral a adopté la nouvelle ordonnance concernant la protection des informations (OPrI). Cette dernière a remplacé les deux ordonnances en vigueur dans les domaines civil et militaire, et a supprimé la distinction obsolète entre informations civiles et militaires. Pour la première fois, les prescriptions qu’elle contient quant à la classification et au traitement des informations ont permis d’instaurer un niveau de protection uniforme dans l’ensemble de l’administration fédérale. Le troisième échelon de classification INTERNE introduit par l’ordonnance a, en outre, permis de traiter plus aisément une grande partie des informations classifiées. Pour la même raison, elle a également permis de simplifier la coopération internationale, notamment avec l’UE.

L’OPrI a été conçue comme un acte normatif transitoire et sa durée de validité est par conséquent limitée. En l’adoptant, le Conseil fédéral a chargé le DDPS de lui remettre avant la fin de 2009 un rapport sur