Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

1.1.3.5 Compléments au mandat du Conseil fédéral

Le 14 janvier 2011, le chef du DDPS a institué un groupe d’experts interdépartemental dirigé par Markus Müller, docteur en droit et professeur ordinaire de droit public et de droit administratif à l’Université de Berne. Il l’a chargé d’élaborer une esquisse d'acte normatif et, sur la base de ce dernier, un avant-projet de loi à soumettre en consultation. Le groupe d’experts a proposé son esquisse d'acte normatif au chef du DDPS le 29 juin 2011, et ce dernier a informé les membres du Conseil fédéral des résultats des travaux du groupe d’experts. Par décision du 30 novembre 2011, le Conseil fédéral a élargi le futur domaine réglementaire de la protection des informations au sens strict à la sécurité de l’information. Il a par ailleurs chargé le DDPS de coordonner les travaux législatifs avec les mandats relatifs à l’élaboration d’une stratégie de cyber-défense et à la stratégie pour une société de l’information en Suisse.

L’extension du domaine réglementaire et la coordination exigée avec les projets cités a nécessité un élargissement du groupe d’experts qui regroupait nouvellement des représentants de la ChF, du DFAE, du DFJP (SG, OFJ, fedpol), du DDPS (SG, Etat-major de l’armée), du DFF (SG, UPIC, OFIT), du DETEC (OFCOM), du PFPDT, des Services du Parlement, des tribunaux fédéraux et des cantons (CSI). Le SRC a participé ponctuellement aux travaux.

1.1.3.6 Mandat du Conseil fédéral visant l’harmonisation et la restriction des contrôles de sécurité

relatifs aux personnes

Le 1^erfévrier 2012, le Conseil fédéral a chargé le DDPS d’examiner les moyens d’harmoniser et de restreindre les fonctions concernées par les CSP, d’étudier les degrés de contrôle y afférents et d’identifier d’autres mesures d’optimisation avec impact sur les ressources. Après avoir pris connaissance du rapport établi par le GTI CSP institué pour l’occasion, le Conseil fédéral a notamment, le 29 novembre 2013, chargé le GTI LSI de tenir compte dans ses travaux des recommandations du rapport et de les intégrer de façon appropriée au projet de loi (cf. ch. 1.2.4).

1.1.3.7 Mandat complémentaire et élargissement à un groupe de travail interdépartemental (GTI

LSI)

Après que l’on eut été informé d’un incident au SRC, le Conseil fédéral a confié le 24 octobre 2012 un mandat complémentaire au groupe d’experts demandant un rapport sur les menaces et les lacunes en matière de sécurité de l’information au sein de l’administration fédérale et des propositions de mesures urgentes. Le groupe d’experts a encore été complété, devenant un groupe de travail interdépartemental (GTI) en accueillant des représentants du DFI et du DEFR.

Le GTI LSI a remis son rapport au DDPS le 29 janvier 2013, y compris ses recommandations. Le Conseil fédéral a décidé le 15 mars 2013 d’une formation à l’intention de l’ensemble des cadres dirigeants de l’administration fédérale, et confié la responsabilité de cette tâche à l’Office fédéral du personnel (OFPER).

1.2 Points essentiels de la nouvelle réglementation proposée

Les besoins en matière de réglementation et les solutions proposées au sujet des points essentiels de la nouvelle législation sont commentés ci-après. Les dispositions concernant la nouvelle organisation de la sécurité de l’information seront commentées séparément (cf. ch. 1.3).

Deux remarques liminaires s’imposent:

 le besoin de réglementer ressort des lacunes et faiblesses matérielles et juridiques en matière de sécurité

de l’information. La focalisation sur les lacunes pourrait donner l’impression que l’ensemble des prescriptions, processus et mesures antérieurs n’était pas pertinent: ce n'est pas le cas;

 les rapports détaillés sur les lacunes et les faiblesses en matière de sécurité de l’information sont généra-

lement classifiés: de ce fait, il n’est pas possible d’entrer dans tous les détails des lacunes et faiblesses dans le cadre du présent rapport.

1.2.1 Sécurité de l’information

La plupart des informations sont aujourd’hui traitées sous forme électronique. Leur protection dépend dès lors de plus en plus des procédures et moyens informatiques utilisés dans leur traitement. Le traitement électronique d’informations de toute sorte présente aujourd’hui d’importantes lacunes en matière de sécurité.

1.2.1.1 Lacunes techniques

Dans un rapport sur l’exécution, l’efficacité et la rentabilité de l’ordonnance concernant la protection des informations de la Confédération (cf. ch. 1.1.3.3), le DDPS a montré au Conseil fédéral que les ambitions de l’ordonnance, plutôt modestes en comparaison internationale en matière de traitement électronique des in-