Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Al. 3: le Conseil fédéral a fixé le principe de la régulation décentralisée des infrastructures critiques (IC) dans la stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC). Dans la mesure où une intervention s’impose sur le plan formel de la loi, la législation spéciale en vigueur doit être adaptée (cf. ch. 1.1.2.2 et 1.2.6). La LSI permet toutefois à la Confédération de disposer, dans le domaine de la sécurité de l’information, d’instruments particuliers, tout spécialement le CSP, que certains régulateurs et exploitants d’IC aimeraient pouvoir utiliser. Les dispositions sur la classification ou sur la sécurité lors de l’engagement de TIC suscitent, en partie aussi, de l’intérêt. Certaines IC recourent, aujourd’hui déjà, à ces instruments. Tel est, par exemple, le cas des centrales nucléaires pour lesquelles la Confédération prescrit certaines mesures concernant la protection des informations (cf. art. 5 et 24 LENu). Dans le domaine de la surveillance de l’espace aérien également (Skyguide), certains membres du personnel font l'objet, au préalable à leur engagement, d'un CSP. Désormais, certains employés de la société nationale du réseau de transport qui gèrent le réseau d’alimentation en électricité à l’échelle de la Suisse (Swissgrid) devront aussi être assujettis à un contrôle de fiabilité. Cet article rappelle ainsi que la législation spéciale peut soumettre (même partiellement) certaines IC aux dispositions de la LSI.

Pour les modifications de la législation spéciale dans ce domaine, cf. également ch. 2.9 et 2.10.

2.1.2 Mesures générales de la sécurité de l’information

Art. 4

L’art. 4 reprend le contenu matériel de la sécurité de l’information ainsi que les principes majeurs selon lesquels elle doit être concrétisée. En détaillant les objectifs de protection, il complète aussi l’article portant sur le but de la présente loi (art. 1), .

L’al. 1 dispose que les autorités et organisations concernées déterminent le besoin de protection des informations dont ils sont responsables. Ce besoin est établi en fonction du préjudice potentiel porté aux intérêts visés à l’art. 1, al. 2, et défini en regard des critères détaillés de l’al. 2. Le besoin spécifique de protection à raison de la matière est très souvent déterminé par d’autres lois (cf. également art. 1, al. 2, let. e, et art. 3, al. 2).

Al. 2 : sur le plan matériel, la doctrine et la pratique retiennent généralement quatre critères de protection pour la sécurité de l’information, dont la pondération peut varier selon circonstances: la préservation de la confidentialité, de l’intégrité, de la disponibilité et de la traçabilité des informations. Souvent, d’autres critères de protection sont aussi cités, mais ceux-ci sont, en principe, repris implicitement par les critères énumérés à l’al. 2, voire combinés entre eux, par exemple l’authenticité (reprise dans la notion d’intégrité dans la présente loi), l'imputabilité ou l’incontestabilité (découlant des critères intégrité et traçabilité visés dans la présente loi).

 let. a : le principe de la confidentialité doit s’entendre comme celui selon lequel seules les personnes auto-

risées ont accès aux informations. Le cercle de ces personnes est défini par le contexte dans lequel les tâches légales sont exécutées, de même que par le contenu et l’importance des informations. Le cercle de ces personnes peut ainsi être très étendu ou extrêmement restreint. Lorsque les informations doivent être rendues publiques, la notion de cercle tombe au profit de celle d’universalité.

 Let. b : la disponibilité des informations n’est pas absolue, mais la capacité de décision et d’action des

autorités et des organisations exige que ces dernières puissent consulter à temps les informations nécessaires à l’accomplissement de leurs tâches légales. Les exigences quant à la disponibilité sont d’autant plus élevées que les informations doivent être disponibles en permanence pour l’accomplissement des tâches importantes. Cela s’applique en particulier lorsque ces informations doivent être traitées électroniquement.

 Let. c : la préservation de l’intégrité et de l’exactitude des informations est une tâche partielle importante

de la protection des informations; elle est également d’importance – en regard de la fiabilité des autorités

- lorsque les informations sont destinées au public. Elle est aussi décisive pour le bon fonctionnement des moyens TIC.

 Let. d : la transparence dans le traitement des informations est non seulement importante pour les procé-

dures publiques (procédure pénale, procédure de recours, etc.), mais aussi pour l’exercice des contrôles et de la surveillance, ainsi que pour la procédure en cas d’utilisation abusive d’informations.

Les autorités et organisations concernées doivent donc évaluer le besoin de protection des informations et déterminer l’objectif et l’ampleur de cette protection (exigences de sécurité). Ainsi, le maintien de la confidentialité n’est nécessaire que si cette confidentialité doit être garantie pour une raison légale (par ex. LPD, secrets d’affaires ou de fabrication de tiers, ou encore art. 14 LSI). Il s’agit toutefois de noter aussi que cer-