Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

nécessaires à l’accomplissement du mandat sensible. La DSE a des effets particuliers tant pour l’entreprise que pour le service spécialisé PSE: ce dernier est notamment habilitée à inspecter l’entreprise à l’improviste et à prendre d’autres mesures. Le Conseil fédéral réglera les détails de la PSE au niveau de l’ordonnance.

Pour partie, la réglementation proposée est en relation étroite avec le CSP, mais elle s’en distingue sur des aspects importants de la procédure:

 en principe, il s’agit dans les deux cas de vérifier la fiabilité de l’entreprise. Selon le résultat de

l’évaluation, une DSE est établie, qui confirme que l’entreprise est digne de confiance et qui lui permet en tant que mandataire d’exercer des activités sensibles de la Confédération (ou d’autorités étrangères). Il ne s’agit toutefois pas seulement d’examiner l’entreprise, mais encore de définir les mesures de sécurité liées au mandat qu’il convient d’appliquer au sein de l’entreprise;

 contrairement au CSP, la procédure applicable aux entreprises ne se termine pas simplement par une

DSE: le respect des mesures imposées peut en effet être vérifié en tout temps.

1.2.6 Sécurité de l’information pour les infrastructures critiques (IC)

Par décision du 30 novembre 2011, le Conseil fédéral a chargé le DDPS d’intégrer si nécessaire à la présente loi les besoins légaux formels de la Stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC). Dans la SNPC, le Conseil fédéral a retenu le principe de la réglementation décentralisée des IC (cf. ch. 1.1.2.2). L’examen des besoins réglementaires légaux formels pour assurer l’exécution décentralisée de la SNPC incombe ainsi aux départements qui, dans l’accomplissement de leurs tâches, disposent de compétences réglementaires vis-à-vis d’exploitants d’IC (par ex. le DETEC pour les secteurs des infrastructures de communication et d’approvisionnement en énergie). Si l’on identifie un besoin sectoriel d’agir au plan légal formel, la législation spéciale concernée doit être adaptée.

Mais il existe aussi certaines tâches supra-sectorielles qui, notamment pour des raisons d'efficacité et de coût, ne peuvent être assumées de manière décentralisée. Il s’agit en premier lieu du soutien aux diverses IC par l’échange d’informations quant aux menaces en matière de sécurité de l’information, qui sert notamment à la détection précoce des risques et à la prévention des dangers. Dans ce domaine, la pratique a montré que les exploitants d’IC souhaitent expressément disposer d’un interlocuteur unique auprès de la Confédération (sous la forme de la Centrale d’enregistrement et d’analyse pour la sûreté de l’information MELANI). De plus, on a pu constater que le partenariat public-privé mis en place dans le cadre de MELANI est très performant, notamment en raison de son accès aux informations du Service de renseignement de la Confédération. Outre les informations fournies par MELANI, on apprécie particulièrement que les fournisseurs de renseignements échangés sur des incidents restent maîtres de leurs informations, que la collaboration repose sur une base volontaire et que l’on ait pour principe de favoriser la sécurité de l’information et la gestion des risques par des informations, éventuellement des recommandations, plutôt que par des directives contraignantes.

Cette tâche supra-sectorielle de la Confédération au profit des IC doit être prévue dans la présente loi transversale, dans la mesure où une base légale formelle s’impose. Ainsi, le projet énumère les tâches essentielles de MELANI. Dans l’accomplissement de ces tâches, MELANI doit régulièrement traiter des données personnelles, y compris (quoique rarement) des données personnelles sensibles. Le projet de loi crée les bases légales formelles pour ce faire.

1.2.7 Exécution

1.2.7.1 Exécution par les autorités de la Confédération

La réglementation de l’exécution de la présente loi doit relever le défi d’une application uniforme des dispositions et du respect généralisé des prescriptions. Si une exécution uniforme devait se révéler impossible (notamment en ce qui concerne le traitement des informations classifiées ou l'engagement des moyens TIC), cela se traduirait immanquablement par des lacunes de sécurité dans l’échange d’informations entre les autorités. L’autonomie des autorités concernées (Parlement, Conseil fédéral, tribunaux fédéraux, Ministère public de la Confédération, Banque nationale) en matière d’organisation et d’exécution doit être maintenue. Par ailleurs, les compétences constitutionnelles des diverses autorités pour l’accomplissement de leurs tâches ne doivent pas être remises en cause par les prescriptions d’exécution transversales d’une seule autorité (par exemple le Conseil fédéral).

L’avant-projet prend en compte ces exigences en soi contradictoires en prévoyant:

 une réglementation d'exécution selon le principe du « opting out »: chaque autorité exécute la loi dans

son domaine de compétence et édicte les ordonnances y afférentes. Les dispositions d’exécution du Con-