Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

seil fédéral s’appliqueront toutefois par analogie aux autres autorités de la Confédération dans la mesure où elles n’auront pas édicté leur propre réglementation;

 des exigences et mesures standards: le Conseil fédéral doit être habilité à définir des exigences et mesures

de sécurité standards conformes à l’avancée des connaissances et de la technologie, qui vaudront recommandations pour les autres autorités fédérales. Elles ne touchent pas des problèmes organisationnels de fond, mais des processus, moyens et prestations subordonnés (par ex. détermination des besoins de protection des informations, méthodes d’évaluation des risques, cryptage, exigences quant aux supports d’informations, etc.). L’objectif est de parvenir à un niveau uniforme de sécurité tout en réduisant les coûts de projet et de mise en œuvre. Le Conseil fédéral doit pouvoir déléguer la définition de ces exigences et mesures à des organes spécialisés;

 la création d’un organe de coordination transversal spécialisé (au niveau des autorités): les préposés à la

sécurité de l’information, chargés de piloter la mise en œuvre de la loi, auront de par leur statut des connaissances approfondies de la situation et des problèmes en matière de sécurité de l’information dans leurs domaines de compétence, notamment à propos de l’applicabilité et de l’efficacité des prescriptions et des mesures prises. Il est donc judicieux d’instituer un organe de coordination sous la forme d’une conférence de ces préposés à la sécurité de l’information. La conférence aura pour vocation principale l’exécution uniforme de la loi au niveau transversal sur la base des risques. Elle devra également être associée à la définition des exigences et mesures de sécurité standard.

La solution proposée préservera l’indépendance des autorités de la Confédération dans l’exécution. Cette dernière se fera de manière décentralisée. Le niveau de sécurité uniforme recherché sera atteint par une doctrine unique, par l’élaboration de mesures standards et par un soutien et un conseil professionnels assurés par des organes spécialisés. Pour ce qui est des inconvénients de la solution sous l’angle de la technique législative, on se référera au ch. 1.2.2.2).

1.2.7.2 Exécution par l’administration fédérale et par d’autres organisations concernées

Le projet de loi règle surtout le cadre transversal (au niveau des autorités). L’exécution par l’administration fédérale et d’autres organisations chargées de tâches administratives au sens de l’art. 2, al. 4, LOGA ressortit à la compétence du Conseil fédéral. Sous réserve du respect des exigences matérielles et organisationnelles de la loi, son autonomie en matière d’exécution n'est guère restreinte. Le projet prévoit néanmoins deux limitations de cette autonomie:

 à l’instar de toutes les autres autorités de la Confédération, le Conseil fédéral doit, dans son domaine de

compétence, organiser, mettre en œuvre et contrôler la sécurité de l’information en fonction de l'avancée des connaissances et de la technologie (cf. art. 5, al. 1);

 le Conseil fédéral, les départements et la Chancellerie fédérale doivent désigner, dans leurs domaines de

compétence, un préposé à la sécurité de l'information et une suppléance (cf. ch. 1.3.2 et art. 84).

Le projet ne contient pas d’autres prescriptions quant à l’exécution par l’administration fédérale ou au droit subordonné correspondant. La loi laisse ici une grande marge d’action au Conseil fédéral. Par exemple, ce dernier peut concéder une plus grande autonomie d’exécution aux organisations décentralisées ou à des organisations au sens de l’art. 2, al. 4, LOGA. A cet égard, il pourra aussi décider s’il entend s’en tenir à l’exécution majoritairement décentralisée d’aujourd’hui ou s’il veut centraliser certaines compétences et responsabilités.

1.2.8 Renonciation à réglementer certains domaines

L’examen des possibilités et de l’opportunité d’introduire une réglementation légale dans les domaines ciaprès a montré qu’une réglementation par la loi sur la sécurité de l’information dépasserait à divers titres le cadre matériel qui est le sien et ne serait guère acceptée. On renonce par conséquent à présenter les propositions de réglementation correspondantes.

1.2.8.1 Dispositions pénales

On a certes pu constater que les dispositions du CP et du CPM relatives à la protection du secret de fonction et à celle des informations de la Confédération et des cantons classifiées ou dignes de protection étaient peu cohérentes et méritaient d’être révisées de plusieurs points de vue. Il s’agit toutefois d’une matière fondamentale du droit pénal, qu’une loi d’organisation ne peut réviser à titre accessoire: il convient donc d’envisager une révision autonome du CP. Le Conseil fédéral attribuera en temps voulu un mandat à ce propos.