Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

agira en principe toujours sur proposition ou sur mandat d’une autorité concernée, et ses tâches relèveront pour l'essentiel du soutien et du conseil.

La loi énumère de façon exhaustive les tâches transversales concrètes du service spécialisé. Outre le conseil et le soutien, il pourra être chargé d’évaluer les risques liés à l’introduction de nouvelles technologies, ou de piloter et coordonner des projets transversaux importants en matière de sécurité de l’information. Une autre de ses tâches essentielles sera d’examiner les aspects de sécurité de l’information pour certains processus, moyens et services (sur proposition des autorités concernées). S’il s’avère que les processus, moyens et services en question répondent aux exigences standards de la Confédération, ils pourront être standardisés, puis utilisés plus simplement par d’autres autorités ou organisations de la Confédération. Par ailleurs, le service spécialisé pourra aussi être appelé à mener des contrôles de sécurité et des audits. Enfin, dans le cadre des relations internationales, il sera l’interlocuteur privilégié pour des contacts avec les services étrangers et internationaux œuvrant dans le domaine de la sécurité de l’information: cette fonction est importante dans la perspective de la mise en œuvre d’accords internationaux de droit public (cf. art. 90 et ch. 4.2).

Le Conseil fédéral règlera l’organisation du service spécialisé au niveau de l’ordonnance, en définissant quelles tâches il assumera seul ou en collaboration avec d’autres services fédéraux. Au sein de l’administration, et en matière de sécurité de l’information, de nombreux services sont actuellement chargés de tâches transversales figurant dans le cahier des charges du futur service spécialisé. Ce dernier se verra par exemple confier des tâches aujourd’hui assumées par l’UPIC-Sec et la PIO pour le compte de l’administration fédérale. Les tâches des unités administratives seront par conséquent redéfinies au niveau de l’ordonnance, et certaines compétences devront être revues.

A cet égard, le Conseil fédéral devra évidemment se prononcer sur le problème épineux du rattachement administratif du service spécialisé. Pour préserver l’autonomie du Conseil fédéral en matière d’organisation, cette question ne doit pas être tranchée au niveau légal formel. Une proposition ne sera présentée au Conseil fédéral que lorsque l’on saura avec précision quelles tâches et compétences seront confiées au service spécialisé, et que l’on disposera d’une programme détaillé de mise en œuvre des prescriptions légales au sein de l’administration fédérale et des organisations concernées de droit public et de droit privé.

1.3.3 Nouvelle réglementation pour l’administration fédérale et d’autres organisations con-

cernées.

Dans le cadre transversal, le service spécialisé de la Confédération en matière de sécurité de l’information n’aura de par sa conception aucun pouvoir exécutoire légal. En revanche, pour l’administration fédérale et les organisations concernées de droit public et de droit privé soumises aux dispositions d’exécution du Conseil fédéral, ce dernier pourra attribuer d’autres compétences au service spécialisé et définir de manière différenciée ses relations avec la ligne et les préposés à la sécurité de l’information. Bien que la hiérarchie reste en principe responsable de l’application des prescriptions, une forte majorité des participants aux travaux s’est prononcée en faveur d’un renforcement des compétences exécutoires du service spécialisé, notamment en matière de contrôles.

A cet égard, certains services ont souhaité que l’on définisse à ce stade déjà des options quant à l’organisation de l’exécution au sein de l’administration fédérale, assorties d’une évaluation de leurs avantages et inconvénients, et qu’on les soumette à décision. Il s’agirait d’opposer un modèle d’organisation totalement décentralisée avec simple fonction de coordination pour le service spécialisé, et un autre, plus centralisé, habilitant ce dernier à donner des instructions aux préposés à la sécurité de l’information des départements. Bien que la nécessité d’élaborer et d’évaluer de tels modèles de mise en œuvre ne fasse aucun doute, ces problèmes ne pourront recevoir de réponse sérieuse que plus tard: avant que l’on puisse décider en détail de l’exécution au sein de l’administration fédérale, il faudra faire toute la clarté sur les principes supérieurs du présent projet, son contenu matériel et les rapports transversaux.

2 Commentaires des dispositions

2.1 Loi fédérale sur la sécurité de l’information

Titre

Concernant le titre de l’acte, deux précisions sont importantes:

 L’acte ne constitue pas une loi générale sur la sécurité de l’information. Il concerne au premier chef les

autorités fédérales et certaines organisations de droit public ou privé effectuant des tâches dévolues à la Confédération. Il peut aussi s’appliquer à des tiers lorsque ceux-ci traitent des informations ou utilisent des moyens et installations relevant des technologies de l’information et de la communication (moyens