Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

1.2.8.2 Limitations de l’accès à des informations classifiées en raison de la nationalité

Les premiers avant-projets du groupe d’experts prévoyaient de réserver, en principe, l’accès aux informations de la Confédération classifiées SECRET aux seuls citoyens et citoyennes suisses. Les personnes possédant la nationalité d’un Etat avec lequel la Suisse a conclu un accord de protection des informations auraient toutefois exceptionnellement pu y avoir accès. Il faut renoncer à limiter, sur mandat du Conseil fédéral, l’accès de ressortissants étrangers à des informations de la Confédération classifiées SECRET.

1.2.8.3 Restitution d’informations protégées de la Confédération tombées en mains de particuliers

On a examiné si, pour une mise en œuvre rapide de la protection de l'information, les supports d’informations contenant des informations protégées tombés en mains de tiers sans l’assentiment de l’autorité compétente devaient pouvoir être mis en sûreté par une décision directe de l'autorité concernée. De la sorte, les autorités fédérales concernées auraient pu décider la restitution ou la destruction des supports d’informations en question, dans le cadre du droit de la procédure administrative (c’est-à-dire sans procédure civile ou pénale préalable). Comme il faut s’attendre à ce qu’une disposition de cette nature génère de nombreux conflits, notamment sous l’angle de la liberté de la presse, et rencontre une forte opposition politique, on a renoncé à une réglementation en ce sens.

1.2.8.4 Mise en péril de la sécurité par la diffusion d’informations par des particuliers

Outre les faits constitutifs d’infraction au sens strict, les autorités ne disposent actuellement d’aucune base légale explicite qui leur permette d’empêcher la diffusion par des particuliers d’informations susceptibles de mettre gravement en danger la collectivité et l’Etat. On songe à cet égard plus particulièrement aux plans d’assemblage de certaines armes, à des données de laboratoire, à des plans d’infrastructures, etc. On a donc étudié la possibilité de conférer une compétence aux services fédéraux concernés leur permettant, dans le cas d’espèce, d’interdire de telles publications dans le cadre de la procédure administrative, ou d’imposer aux détenteurs de ces informations des mesures de sécurité au sens de la loi (classification des informations, contrôle de sécurité relatif aux personnes ou procédure de sécurité relative aux entreprises). Une réglementation de cette nature constituerait toutefois une atteinte considérable aux droits fondamentaux des tiers concernés et susciterait certainement une farouche opposition politique.

1.2.8.5 Intégration de réglementations en vigueur dans le domaine de la protection des objets

En soi, personne ne conteste que la sécurité de l’information (y compris la protection des moyens TIC) et les contrôles de sécurité relatifs aux personnes sont étroitement liés à la protection des objets, c’est-à-dire à la protection des bâtiments et installations de la Confédération. Cette matière est actuellement couverte par diverses dispositions légales, de diverses façons et sous diverses formes (cf. dans le domaine militaire la loi sur la protection des ouvrages, dans le domaine civil les art. 22 à 24 LMSI, 62 ss LOGA, 69 LParl et 25a LTF). L’analyse a montré qu’une certaine harmonisation de ces dispositions ou la création d’une base légale homogène serait certes souhaitable, mais la portée matérielle et organisationnelle d'une telle réglementation dépasserait le cadre du présent projet. Le projet contient toutefois deux dispositions sur la protection physique d’informations et de moyens TIC. Ainsi, les compétences actuelles en matière de protection des objets ne sont pas remises en question.

1.3 Organisation de la sécurité informatique de la Confédération

Par sa décision du 12 mai 2010, le Conseil fédéral a chargé le DDPS d’examiner lors de l’élaboration du projet si et dans quelle mesure les compétences et les responsabilités en matière de sécurité de l’information répondaient aux exigences actuelles. De plus, il s’agissait notamment de s’interroger sur l’opportunité de réunir les divers organes interdépartementaux œuvrant dans ce domaine. Ce mandat ne concerne en principe que l’administration fédérale, mais les résultats de l’analyse fournissent des informations importantes qui valent également pour l’organisation de la sécurité de l’information au niveau transversal (des autorités).

1.3.1 Organisation actuelle de la sécurité de l’information dans l’administration fédérale

Au sein de l’administration fédérale, les compétences et les responsabilités en matière de sécurité de l'information sont réglées dans divers actes et par diverses instances habilitées à édicter des directives, en fonction de la nature des informations (par ex. les informations classifiées ou les données personnelles) ou du type de traitement et des mesures de protection (électronique ou physique). En conséquence, la Confédération a institué plusieurs organisations parallèles chargées de tâches principales ou partielles dans le domaine de la sécurité de l’information (protection des informations classifiées, protection des données, sécurité informatique, protection des objets et gestion des risques). On trouvera ci-après une analyse détaillée des trois domaines explicitement mentionnés par le Conseil fédéral (protection des informations, protection des données et sécurité informatique) sous l’angle des compétences et des responsabilités.