Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Condensé

L’information est la monnaie d’échange de la société de l’information. Il incombe aux autorités fédérales de veiller à la sécurité des informations qu’elles traitent ou dont elles confient le traitement à des organisations qui lui sont subordonnées, sur mandat et pour le compte de la Suisse. Elles doivent pour ce faire disposer d’instruments modernes. En raison du développement de la société de l’information, les informations sont exposées à des dangers et à des menaces plus complexes et plus dynamiques. Plusieurs attaques contre des systèmes informatiques de la Confédération ont montré que la protection des informations présentait des lacunes qui, notamment sur le plan organisationnel, sont également dues à des bases légales obsolètes ou incohérentes.

Se fondant sur des normes internationalement reconnues, le présent projet de loi crée des bases légales formelles uniformes pour la gestion de la sécurité de l’information dans le domaine de compétence de la Confédération. Il vise à adapter la protection des informations et la sécurité dans l’utilisation des technologies de l’information et de la communication (TIC) aux exigences d’une société de l’information moderne et en réseau, et à remédier aux lacunes et faiblesse du droit en vigueur.

Points essentiels du projet

Sécurité de l’information

La notion de «sécurité de l’information» englobe toutes les exigences et mesures visant à protéger la confidentialité, la disponibilité, l’intégrité et la traçabilité des informations, indépendamment du fait qu’elles soient traitées sous forme électronique, oralement ou sur support papier.

Au sein de la Confédération, les bases légales actuelles qui permettent de définir de telles exigences et appliquer de telles mesures sont très sectorielles, guère harmonisées et souvent lacunaires. Il en va de même des compétences organisationnelles. Ainsi, la Confédération dispose aujourd’hui, aux niveaux tant juridique qu’organisationnel, d’organisations parallèles en matière de protection des données, de protection des informations (protection des informations classifiées), de sécurité informatique, de sécurité des personnes, de sécurité physique et de gestion des risques. La pratique a montré que cette orientation sectorielle n’était pas efficace. Le projet réunit par conséquent les mesures les plus importantes de protection des informations en une seule réglementation homogène. Il prévoit par ailleurs une structure unique permettant de piloter et de contrôler l’ensemble de la sécurité de l’information.

Champ d’application institutionnel

Les échanges d’informations électroniques entre les autorités et entre ces dernières et les particuliers (y compris les milieux économiques) se sont multipliés. Le besoin de protection d’une information ne dépend toutefois pas du service ou de la personne qui la traite. De plus, les infrastructures et systèmes TIC sont de plus en plus interconnectés, ce qui aggrave le risque de voir les attaques et les menaces contre une autorité déployer leurs effets dans les domaines de compétence d’autres autorités impliquées. Il est donc nécessaire de définir un niveau de sécurité uniforme et transversal, d’une part pour garantir la confiance mutuelle entre les autorités fédérales lors du traitement des informations, et d’autre part pour réduire les risques encourus par toutes les autorités concernées.

Le champ d’application primaire du projet s’étend ainsi à toutes les autorités fédérales (l’Assemblée fédérale, les tribunaux fédéraux, le Conseil fédéral, le Ministère public de la Confédération et son autorité de surveillance, la Banque nationale suisse) de même qu’à leurs organisations subordonnées (les Services du Parlement, les administrations des tribunaux fédéraux, l’administration fédérale et l’armée). Dans la mesure où les cantons ou des tiers sont chargés de traiter des informations de la Confédération ou ont accès à des moyens TIC de cette dernière, les prescriptions fédérales doivent également leur être applicables.

Gestion des risques

La complexité et la dynamique des menaces exigent des autorités fédérales qu’elles mettent davantage l’accent sur l’évaluation systématique du besoin de protection des informations et l’appréciation des risques y afférents. Il faut pour cela une gestion efficace des risques en matière de sécurité de l’information et un contrôle régulier de la mise en œuvre des mesures destinées à minimiser les risques, dispositifs qui font aujourd’hui largement défaut. Par conséquent, le projet propose également un processus de maintien durable et économique de la sécurité de l’information.