Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

viendra simplement de les aborder au sein d’un seul organe consolidé, dont l’agenda répondra aux besoins réels.

1.3.2 Nouvelle organisation au niveau de la Confédération

Le projet tient compte des résultats de l'étude commanditée par le Conseil fédéral au sujet de l’organisation actuelle de la sécurité de l’information. La solution proposée jette les bases d’une clarification et d’une simplification des compétences et des responsabilités en la matière. Elle met également l’accent sur l’acquisition des qualifications nécessaires par les services chargés de la mise en œuvre grâce à un appui et aux conseils d’experts et à un échange plus soutenu d’informations entre ces services. En conséquence, le projet prévoit un seul rôle de préposé (préposé à la sécurité de l’information), un seul organe de coordination et un service spécialisé de la Confédération en matière de sécurité de l’information, qui tous assumeront des tâches transversales dans le domaine de la sécurité de l’information. La nouvelle réglementation proposée permettra, au sein de l’administration fédérale, de regrouper intégralement les structures d’exécution actuelles de la protection des informations et de la sécurité informatique.

1.3.2.1 Préposés à la sécurité de l’information

La nouvelle fonction de préposé à la sécurité de l’information est d’une importance capitale pour l’exécution de la loi. Ce nouveau rôle est essentiellement une fonction de gestion. Les préposés à la sécurité de l’information ne traiteront pas en priorité de questions hautement techniques en lien avec la sécurité de l’information mais, sur mandat de leur autorité (ou des départements et de la Chancellerie fédérale), piloteront l’organisation spécialisée de la sécurité de l’information et vérifieront l’application des mesures prises. Ils devront aussi mettre un accent principal sur la gestion des risques et la coordination avec d’autres domaines. Pour assumer leurs tâches de façon efficace et proportionnée aux risques, les préposés à la sécurité de l’information devront non seulement bénéficier du soutien affirmé de leur direction, mais encore collaborer étroitement avec les services chargés de la gestion générale des risques, de la protection des données et de la sécurité. Ils serviront ainsi de plaque tournante entre la direction et les services chargés de la mise en œuvre des mesures.

Dans les départements et à la Chancellerie fédérale, cette nouvelle fonction remplacera les rôles jusqu’ici distincts des préposés à la protection des informations et des délégués à la sécurité informatique. Le Conseil fédéral devra décider au niveau de l’ordonnance si un regroupement des fonctions est utile et nécessaire au niveau des unités administratives.

1.3.2.2 Conférence des préposés à la sécurité de l’information

L’un des objectifs déclarés de la présente loi est d’atteindre un niveau de sécurité uniforme au sein des diverses autorités et organisations de la Confédération. En raison de l’indépendance constitutionnelle des autorités fédérales, un niveau uniforme ne peut être atteint qu’à la condition de développer une doctrine commune, malgré des besoins pour partie hétéroclites. En raison de leur statut, les préposés à la sécurité de l’information (cf. art. 84) auront une bonne connaissance de la situation et des problèmes de la sécurité de l’information dans leur domaine de compétence, notamment quant à l’applicabilité et à l’efficacité des prescriptions et mesures prises. Il est donc judicieux d’instituer un organe de coordination sous la forme d’une conférence de ces préposés à la sécurité de l’information.

La conférence prévue se préoccupera principalement de la coordination transversale de l’exécution. Elle jouera de ce fait un rôle non négligeable dans le développement d’une doctrine uniforme et dans les nécessaires échanges d’expériences. Les préposés à la sécurité de l’information des départements et de la Chancellerie fédérale, de même qu’un représentant du PFPDT seront également associés à la conférence. La conférence pourra également recourir à des experts des cantons, des milieux scientifiques et du monde de l’économie pour des questions stratégiques en matière de sécurité de l’information.

La conférence remplacera les actuels Comité de coordination pour la protection des informations au sein de la Confédération (KOAISchB) et Comité de la sécurité informatique (OIAF), les aspects techniques restant du ressort d’organes spécialisés subordonnés.

1.3.2.3 Service spécialisé de la Confédération en matière de sécurité de l’information

L’organisation de la sécurité de l’information doit être pilotée et contrôlée comme un tout. Les tâches prévues par la présente loi et qui existent déjà aujourd'hui sont assumées par divers organes spécialisés, raison pour laquelle elles sont conçues et accomplies de manière sectorielle et guère harmonisée. Une simple coordination renforcée ne suffira pas à garantir une approche intégrale de la sécurité de l’information. Dans le projet, le service spécialisé est conçu avant tout comme un centre de compétences pour les tâches transversales au niveau des autorités fédérales. Il ne sera par conséquent pas habilité à donner des instructions: il