Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

(cf. ch. 1.2.4) et les procédures de sécurité relatives aux entreprises (cf. ch. 1.2.5) sont principalement applicables aux personnes et entreprises traitant des informations classifiées de la Confédération, mais non aux personnes gérant ou exploitant des moyens TIC critiques.

De plus, les bases légales ne sont pas toujours adaptées aux besoins concrets du traitement électronique des données. Quelques exemples:

 les secrets d’affaires et de fabrication sont principalement protégés par une obligation de garder le secret

(secret de fonction) imposée aux personnes qui doivent les traiter. Dans une société de l’information, le maintien du secret de fonction exige toutefois davantage qu’une simple obligation personnelle. Lorsque des secrets d’affaires ou de fabrication sont saisis par voie électronique, des moyens techniques et organisationnels doivent les protéger en fonction de leur besoin de protection effectif. Des prescriptions sur la manière de concevoir, de mettre en œuvre et de vérifier cette protection font généralement défaut;

 en revanche, pour ce qui est de la protection des données personnelles, la réglementation est particulière-

ment dense. En ce qui concerne les autorités fédérales, l’accent est mis davantage sur l’existence des bases légales nécessaires au traitement régulier des données, conformément au but recherché et dans le respect du principe de proportionnalité, que sur le traitement concret de ces informations par le personnel de la Confédération (notamment quant à leur transmission, leur conservation, leur destruction, leur cryptage, etc.);

 enfin, les prescriptions concernant la protection des informations classifiées recèlent de nombreuses con-

tradictions quant aux exigences informatiques, notamment pour ce qui de la réglementation des compétences et de certaines procédures.

Des informations peuvent avoir un besoin de protection pour diverses raisons. Les mesures organisationnelles et techniques permettant de répondre aux besoins de protection ne se distinguent guère les unes des autres. Lorsque leur mise en œuvre est réglée et organisée de manière uniforme, on peut bénéficier d’effets de synergie tout en améliorant la sécurité. Pour ce faire, la ligne doit mieux assumer ses tâches; par ailleurs, les bases légales doivent impérativement s’aligner sur les besoins du traitement électronique.

1.2.1.3 Vers une sécurité intégrale des informations

Le Conseil fédéral est conscient de l’interdépendance croissante de la protection organisationnelle des informations et de la sécurité informatique technique, de même que des lacunes organisationnelles évoquées plus haut. Dans le sens d’une mesure urgente, il a ordonné une formation des cadres de l’administration fédérale en matière de sécurité de l’information (cf. ch. 1.1.3.7). Lors d’une discussion du 30 novembre 2011, il a de plus déclaré que la limitation du champ d’application matériel du présent projet de loi à la seule protection des informations classifiées ne saurait répondre au besoin de réglementation identifié. Il a par conséquent chargé le DDPS de réorienter les travaux législatifs: le but visé est dès lors une sécurité de l’information intégrale, tenant compte des exigences tant organisationnelles que techniques de sécurité; de plus, la nouvelle réglementation doit, sur le plan de l'organisation, s’inspirer de normes internationales reconnues.

Cette réorientation vers une sécurité intégrale de l'information correspond à ce qui a déjà cours en tant que standard dans le secteur privé et dans de nombreuses administrations publiques dans le monde. Elle est formalisée par quelques normes internationales, notamment les normes ISO/IEC 27001/27002. Celles-ci n’ont que peu à voir avec la sécurité technique: l’accent est mis presque exclusivement sur les tâches de gestion de la sécurité de l'information et sur les mesures organisationnelles qui s’imposent à cette fin. Toutefois, les normes contiennent également de bonnes pratiques de sécurité applicables et éprouvées quant à la technique, au personnel ou aux constructions.

Le présent projet crée des bases légales formelles uniformes pour la gestion de la sécurité de l’information de la Confédération. Quant à sa structure et à son contenu, il se fonde pour l’essentiel sur les normes évoquées et prévoit une transposition sur mesure dans le droit national. Ainsi, la sécurité de l’information est considérée dans son intégralité, c’est-à-dire que tous ses aspects sont réunis, pilotés, mis en œuvre, analysés et améliorés en un tout. Par conséquent, le projet regroupe en une seule réglementation les mesures organisationnelles les plus importantes pour protéger toutes les informations et pour assurer la sécurité dans l'engagement des TIC. Par rapport aux structures juridiques et organisationnelles actuelles de la Confédération, très sectorielles, la sécurité de l’information prend une orientation intégrale.

1.2.2 Champ d’application

1.2.2.1 Champ d’application matériel

Le champ d’application matériel découle de la notion de sécurité de l’information. Au cœur du dispositif de protection se trouvent toutes les informations relevant de la compétence des autorités fédérales. La loi vaut