Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

l’exécution, l’efficacité et le coût de la mise en œuvre de l’ordonnance, et de lui présenter des propositions visant la création de bases légales formelles.

1.1.3.2 Décision du Conseil fédéral relative à des mesures visant à améliorer la sécurité de

l’information dans l’administration fédérale

Dans le sillage de l’attaque contre les systèmes informatiques du DFAE, le Conseil fédéral a décidé les 16 décembre 2009 et 4 juin 2010 de mesures visant à améliorer la sécurité de l’information dans l’administration fédérale, en définissant une série de mesures organisationnelles et techniques censées améliorer à court et moyen termes la protection des informations lors de leur traitement par des moyens informatiques de l’administration fédérale. De plus, il a proposé au Contrôle fédéral des finances (CDF) d’examiner l’état d’avancement de la mise en application de ces mesures. Le premier rapport d’audit du CDF a été porté à la connaissance des membres du Conseil fédéral le 2 décembre 2011¹.

1.1.3.3 Mandat du Conseil fédéral visant la création de bases légales formelles pour la protection

des informations ou pour la sécurité de l'information

Le rapport demandé par le Conseil fédéral parallèlement à l’adoption de l'OPrI, qui devait rendre compte de l’exécution et de l’efficacité de l’ordonnance en question, a montré que le délai transitoire (fin 2009) qu’elle prévoyait pour les adaptations techniques permettant de garantir la protection des informations n’avait généralement pas été respecté. Des lacunes importantes ont été constatées, notamment en ce qui concerne la protection électronique d’informations classifiées.

Le 12 mai 2010, après avoir pris connaissance du rapport du DDPS et suite à l'attaque contre le DFAE évoquée ci-dessus, le Conseil fédéral a chargé le DDPS d’élaborer des bases légales formelles pour la protection des informations de la Confédération. La nouvelle réglementation devait notamment:

 élargir le champ d’application de la réglementation de la protection des informations à toutes les per-

sonnes chargées par la Confédération de traiter des informations protégées;

 créer des bases légales formelles uniformes pour des procédures de protection du secret auprès des en-

treprises dans les domaines civil et militaire;

 établir une compétence uniforme pour le Conseil fédéral de conclure des traités internationaux en ma-

tière de protection des informations.

De plus, le Conseil fédéral a chargé le DDPS, dans le cadre de l’élaboration du projet, d’examiner si et dans quelle mesure les bases légales formelles devaient être étendues à d’autres problèmes matériels dans le domaine de la protection des informations, et si les compétences et responsabilités en matière de sécurité de l’information satisfaisaient aux exigences actuelles.

1.1.3.4 Décision du Conseil fédéral relative à la recommandation 12 de la Commission de gestion

du Conseil des Etats (CdG-E) en rapport avec la crise libyenne

Dans le cadre de son examen de la gestion par les autorités fédérales de la crise diplomatique entre la Suisse et la Libye, la CdG-E a constaté une série de lacunes en matière de protection des informations. Dans son rapport du 3 décembre 2010, elle affirme que «de tels incidents sont la preuve qu’en ce qui concerne la protection des informations et des moyens techniques mis à disposition des collaborateurs, de graves lacunes existent aujourd’hui au niveau de l’administration fédérale, lacunes auxquelles il est impératif de remédier rapidement». Elle recommandait au Conseil fédéral de «prendre les mesures nécessaires, dans son domaine de compétences, pour pouvoir garantir à l’avenir le secret aussi aux plus hauts niveaux de l’administration fédérale. Ce faisant, le Conseil fédéral s’attache également aux aspects techniques des appareils mis à disposition des collaborateurs»².

Le Conseil fédéral a pris par la suite des mesures destinées à pallier les lacunes identifiées sur les plans orga-

nisationnel et technique3.