Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

pour des informations de toute nature (par ex. non seulement pour les informations textuelles, mais également graphiques), quelle que soit leur forme, c’est-à-dire outre les informations électroniques, celles portées par des supports physiques (documents papier). Il s’agit principalement d’informations que les autorités produisent elles-mêmes, mais sont également concernées celles que ces autorités obtiennent de tiers et dont le traitement régulier relève de leur compétence. De plus, sont incluses dans le champ d’application les données que les autorités fédérales confient pour traitement à des tiers. Une limitation aux seules informations sensibles serait peu judicieuse: déterminer si une information est sensible ou digne de protection présuppose des critères et des mécanismes d’appréciation qui doivent nécessairement s’appliquer à toutes les informations.

Le projet couvre tous les moyens TIC engagés par les autorités fédérales ou dont elles confient l’exploitation à des tiers. Certes, les moyens techniques de traitement des informations ne doivent pas être protégés pour eux-mêmes: c'est bien plus à eux d'assurer la sécurité des informations dont ils servent au traitement ou des processus d’affaires qu’ils étayent. Toutefois, la pratique considérant les moyens TIC comme des objets de protection, la LSI les mentionne expressément.

1.2.2.2 Champ d’application institutionnel

Par maints aspects, le présent acte est une loi d’organisation, qui doit être appliquée, dans leur domaine de compétence respectif, par toutes les autorités fédérales et toutes les organisations qui leur sont subordonnées: c’est en effet la seule façon d’assurer une sécurité efficace de l'information. D’autres organisations de droit public ou de droit privé doivent également tomber sous le coup de la loi dans la mesure où elles exercent une activité sensible pour le compte de la Confédération: cela correspond au mandat du Conseil fédéral d’étendre le champ d’application de la réglementation sur la protection des informations à toutes les personnes que la Confédération charge de traiter des informations protégées.

Nombreuses sont les raisons pour lesquelles la loi doit s’appliquer à toutes les autorités fédérales, y compris aux autorités législatives et judiciaires. Tout d’abord, dans l’accomplissement de leurs tâches constitutionnelles et légales, les autorités fédérales échangent régulièrement des informations. Parmi ces dernières, on trouve également des informations classifiées ou d’autres informations dignes de protection. Les autorités fédérales ne se sont toutefois pas dotées d’un système de classification unique. Les mesures prises par les diverses autorités pour protéger ces informations sont de plus très hétérogènes et guère harmonisées. Par conséquent, il est par exemple souvent arrivé que des informations classifiées de l’administration fédérale remises à d'autres autorités fédérales soient traitées d’une manière contrevenant à d’importantes prescriptions de sécurité du Conseil fédéral. Toutes les autorités fédérales doivent appliquer les mêmes principes de classification et prendre des mesures de protection équivalentes: ce n’est que de cette façon que l’on instaurera la confiance mutuelle dans le traitement de ces informations.

De plus, la mise en réseau des systèmes informatiques des autorités fédérales se poursuit sans discontinuer. L’un des objectifs du Conseil fédéral est de favoriser et de renforcer l’échange électronique d’informations et les services électroniques (cyberadministration). Inexorablement, il y aura de plus en plus d’interfaces entre les systèmes des diverses autorités de la Confédération: le risque augmente ainsi de voir des attaques et des menaces contre une autorité se répercuter dans les domaines de compétence d’autres autorités participantes. Il est donc indispensable que toutes les autorités fédérales concernées appliquent les mêmes critères et méthodes d’évaluation des risques, et qu’elles harmonisent leurs mesures de sécurité dans l’utilisation des TIC, sur les plans organisationnel, technique et physique comme dans le domaine du personnel.

Le champ d’application institutionnel ne doit toutefois pas limiter l’indépendance constitutionnelle des autorités concernées, raison pour laquelle elles exécuteront la loi en toute autonomie. On renonce à un organe de pilotage transversal habilité à donner des instructions. L’exécution en toute autonomie présente un inconvénient: toutes les exigences minimales de la sécurité de l’information devant être satisfaites par toutes les autorités de la Confédération doivent nécessairement figurer dans la loi: dès lors, le projet comporte de nombreuses dispositions qui, si l’on se tenait à la hiérarchie normative, relèveraient davantage du niveau de l’ordonnance.

1.2.3 Mesures générales de sécurité de l’information

1.2.3.1 Gestion de la sécurité de l’information

La sécurité de l’information est de la responsabilité des dirigeants: la direction de l’autorité concernée en porte la responsabilité et ne peut la déléguer. Le projet précise donc certaines obligations spécifiques, qui imposent par exemple aux plus hautes autorités:

 d’édicter les dispositions portant exécution de la loi (cf. art. 87);