Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

 les activités requérant un contrôle seront mieux définies que dans la LMSI. Les motifs de contrôle seront

réduits aux stricts besoins de la sécurité de l’information;

 le passage à deux degrés de contrôle au lieu de trois devrait également avoir pour conséquence que le

contrôle élargi ne s’appliquera plus qu’aux personnes traitant effectivement des informations classifiées SECRET ou exerçant des activités d’une sensibilité correspondante. En 2012, plus de 28’000 contrôles élargis ont été menés, ce qui voudrait dire que plus de 28’000 personnes ont accès à des informations classifiées SECRET, un chiffre totalement invraisemblable. Le nombre des CSP de ce degré devrait par conséquent nettement diminuer;

 les tâches de contrôle des préposés à la sécurité de l’information (cf. art. 84) incluent également la vérifi-

cation de la légalité de l’inscription d’une fonction dans la liste des fonctions à contrôler.

Le relèvement des valeurs seuils applicables aux CSP qu’entraîneront les mesures évoquées aura pour conséquence que certains besoins de sécurité ne seront plus couverts par les CSP. Pour éviter un vide en matière de sécurité, il faudra mettre à la disposition des employeurs d’autres moyens plus proportionnés pour répondre à leurs besoins légitimes de sécurité: ils devront ainsi être autorisés à exiger des candidates et candidats et des membres de leur personnel des extraits du casier judiciaire et du registre des poursuites pour autant que la préservation de leurs intérêts d’employeur l’exige. Une révision de la LPers est proposée à cette fin (cf. art. 20a LPers).

1.2.5 Procédure de sécurité relative aux entreprises

La procédure de sécurité relative aux entreprises (PSE; jusqu’ici «procédure de maintien du secret») a pour objet la sécurité de l’information dans le cadre de l’attribution de mandats des autorités à des tiers (ci-après «entreprises») non soumis à une surveillance directe. Dans de nombreux domaines matériels, les autorités confient à l’économie privée des mandats liés à des activités sensibles. Pour préserver les intérêts publics au sens de l’art. 1, al. 2, même hors du strict champ d’application de la loi, les mandataires en question feront l'objet d'une PSE. La procédure vise d’une part à vérifier si l’entreprise susceptible de bénéficier du mandat est digne de confiance, et d’autre part à permettre le contrôle et l’application des mesures nécessaires à la sauvegarde de la sécurité de l’information durant toute la durée d’exécution du mandat. La PSE n’a pas pour objectif la sécurité des produits, pour laquelle la compétence revient au seul mandant.

La PSE est adéquate et usuelle dans le contexte international (cf. par ex. l’art. 11 de la décision du Conseil du 31 mars 2011 concernant les règles de sécurité aux fins de la protection des informations classifiées de l’UE⁵ ou la section VII des Règlements de l’Agence spatiale européenne du 15 décembre 2011⁶). Elle est appliquée en Suisse depuis la fin des années 1970 aux mandats de la Confédération à contenu militaire classifié, sur la base de l’O sur la sauvegarde du secret. Le champ d’application matériel restreint de cette dernière ne permet actuellement d’y recourir que pour les mandats militaires classifiés. Le Conseil fédéral déplore depuis longtemps déjà l’absence d’une PSE uniforme, c’est-à-dire également applicable aux mandats du domaine civil. C’est pourquoi des mesures de sécurité spéciales ont été prises dans les cas d’espèce pour les mandats classifiés de la Confédération dans le domaine non militaire. En outre, cette lacune a empêché plusieurs fois des entreprises suisses de soumissionner avec succès pour des projets étrangers non militaires classifiés, par exemple la confection de documents d’identité ou de moyens de paiement pour le compte d’Etats tiers, ou la participation à certains projets scientifiques. La compétitivité de l’économie suisse s’en trouve ainsi préjudiciée.

Esquissée à grands traits, la procédure se présente de la manière suivante: le mandant (adjudicateur) propose au service chargé de la procédure de sécurité auprès des entreprises (service spécialisé PSE) d’ouvrir une PSE. Après l’ouverture de la procédure, le service spécialisé PSE, en accord avec l'adjudicateur, définit tout d’abord les exigences de sécurité, puis il examine la qualification des entreprises concernées sous l’angle de la sécurité. Il cherche en particulier à savoir si les entreprises concernées sont contrôlées par d’autres Etats ou sous leur influence, et le cas échéant si cette dépendance ou cette influence est compatible avec la sécurité de l’information de la Confédération. L'adjudicateur attribue par la suite le mandat à une entreprise qualifiée du point de vue de la sécurité. Le service spécialisé PSE définit alors dans un concept de sécurité la façon dont l’adjudicataire doit satisfaire aux exigences de la sécurité de l’information. Après la mise en œuvre des mesures de sécurité nécessaires, une déclaration de sécurité pour les entreprises (DSE) est délivrée à l’adjudicataire. Puis, lorsque les déclarations de sécurité ont été établies à l’issue des CSP qui s’imposaient, l'adjudicateur est autorisé à mettre à la disposition de l’entreprise les moyens (informations, données, etc.)