Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

 La let. d prévoit, en principe, la soumission à la présente loi des organisations de droit public ou privé qui

assument des tâches administratives de la Confédération au sens de l’art. 2, al. 4, LOGA, et qui sont soumises, à ce titre, à la surveillance de la Confédération (cf. à ce sujet art. 8, al. 4 et 5, LOGA). Il s’agit plus spécialement d’organisations habilitées par la loi à prendre des décisions formelles à l'encontre des particuliers. En l’occurrence, la condition pour que ces organisations soient soumises à la loi est qu’elles exercent des activités sensibles (cf. al. 3) dans le cadre de l’accomplissement de leurs tâches administratives. Cette soumission ne les concerne que pour ces tâches administratives. Il est impossible de préciser exhaustivement et durablement dans le présent acte le nom des diverses organisations subordonnées. Le Conseil fédéral doit donc déterminer, par voie d’ordonnance, qui doit être soumis à la présente loi et dans quelle mesure (cf. art. 87, al. 4).

 Let. e : la Confédération et les cantons tablent sur une collaboration très étroite pour accomplir leurs

tâches respectives. Ils s’échangent de très nombreuses informations, dont certaines sont des informations classifiées de la Confédération. De surcroît, les infrastructures TIC et les systèmes de la Confédération et des cantons sont de plus en plus interconnectés. Cela va de pair avec un risque plus élevé de voir les attaques et les menaces perpétrées dans le domaine de compétence d’une autorité s’étendre aux domaines de compétence d’autres intervenants. Les cantons sont responsables de la sécurité de leurs propres informations. Toutefois, lorsqu’ils accomplissent des tâches de droit fédéral sous la surveillance directe de la Confédération, les directives de cette dernière s’appliquent en principe aussi pour eux. La présente loi prévoit une soumission des cantons selon des critères établis en fonction des risques : ainsi, dans le cadre de l’exécution de leurs tâches, ils doivent être soumis à la loi uniquement lorsqu’ils effectuent des activités sensibles sur mandat de la Confédération et sous sa surveillance directe (cf. al. 3).

La présente loi ne s’applique pas aux autorités et services cantonaux qui appliquent la législation fédérale de manière autonome. La LSI ne règle pas spécialement l’interconnexion des réseaux informatiques cantonaux et fédéraux. A ce niveau, les autorités fédérales et les cantons doivent s’accorder sur la prise de mesures de sécurité qui soient adaptées à la situation et qui garantissent matériellement le niveau de protection exigé par la loi pour les autorités fédérales. Concernant l’exécution par les cantons, cf. art. 89.

L’al. 3 décrit la notion centrale d’activité sensible pour l’application de la présente loi. L’exercice d’une activité sensible n’est pas seulement une condition permettant de soumettre à la loi les cantons et des organisations de droit public ou privé accomplissant des tâches administratives, mais aussi d’assujettir à des contrôles de sécurité relatifs aux personnes (CSP) ou à des procédures de sécurité relatives aux entreprises (PSE) des tiers devant être investis de mandats de la Confédération. L’activité sensible est définie dans le contexte de la sécurité de l’information. Pour ce qui concerne son contenu matériel, le traitement d’informations figure au premier plan, comme dans la LMSI. Quant à sa définition, des équivalences ont été établies entre la réglementation sur la protection des informations classifiées et celle sur la sécurité lors de l’engagement de moyens TIC.

 Let. a : l’adoption de l’échelon de classification CONFIDENTIEL comme point de départ pour la défini-

tion d’une activité sensible implique que le caractère sensible d’une activité n’est admis que si les intérêts visés à l’art. 1, al. 2, peuvent, pour le moins, subir un préjudice considérable. Dans le cadre du traitement d’informations classifiées, la notion de sensibilité ne s’applique pas au seul accès à ces informations, mais aussi à leur traitement effectif et justifié. En d’autres termes, en prenant comme exemple le personnel de nettoyage, celui-ci n’exerce généralement pas une activité sensible au sens de la présente loi, bien que la probabilité qu’il puisse parfois, pendant ses travaux, accéder à des informations classifiées soit grande dès lors que certains collaborateurs ne respectent pas toujours les prescriptions de sécurité.

La lettre mentionne aussi l'utilisation du matériel classifié. Il s’agit, en l’occurrence, de divers appareils et objets devant être protégés pour éviter que des personnes non autorisées connaissent leur existence ou leurs propriétés, ou que leurs caractéristiques mêmes puissent transmettre des informations classifiées du fait que le matériel contient ou est lui-même l'information sensible. Sont principalement concernés les biens d’armement, des systèmes d’armes et des systèmes intégrés de communication. Il arrive souvent qu’un Etat tiers qui en a autorisé la livraison à la Suisse exige que ces appareils ou objets soient classifiées. Jusqu’à présent, la Suisse n’appliquait le système des échelons de classification que dans le domaine militaire ; le domaine civil (par ex. la police et le Corps des gardes-frontière), quant à lui, ne disposait pas d’une base correspondante ; elle existe désormais implicitement dans la présente disposition.

 Let. b : elle relève les activités impliquant des droits d’accès étendus aux moyens TIC des deux catégories

de sécurité supérieures ou à des activités particulières relatives à ces moyens TIC dont l’exercice permettrait à des personnes de nuire considérablement aux intérêts au sens de l’art. 1, al. 2, par exemple en volant des données ou en commettant des actes de sabotage. La simple utilisation de ces moyens n’est donc