Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Classification des informations

En raison des attentes de plus en plus fortes des citoyennes et citoyens quant à la transparence des autorités fédérales, le projet définit clairement les critères de classification des informations de la Confédération et rehausse les valeurs seuils de classification. Le principe de la transparence de l’administration fédérale n’est d’aucune manière remis en cause par les dispositions relatives à la classification.

Sécurité dans l'engagement des TIC

Le projet tient compte du constat que la garantie de la sécurité de l’information dans l'engagement des moyens TIC a considérablement gagné en importance depuis quelques années. C’est pourquoi il définit un mécanisme d’évaluation de la criticité des moyens TIC, qu’il lie à la mise en œuvre conséquente de mesures de sécurité. L’accent principal devra porter sur la sécurité des systèmes et moyens TIC les plus critiques. Le projet renforce le rôle stratégique et opérationnel des autorités dans l’application des mesures et en en matière d’audits.

Contrôles de sécurité relatifs aux personnes (CSP)

Les CSP sont avant tout une mesure de sécurité de l’information: ils seront par conséquent régis par la nouvelle loi sur la sécurité de l’information et non plus par la LMSI. Simultanément, certaines lacunes de la législation en vigueur seront comblées, et le champ d'application de CSP sera restreint: les motifs de contrôle seront adaptés aux exigences actuelles de la sécurité de l’information et les degrés de contrôle ramenés de trois à deux. La récolte des données sera adaptée pour les deux degrés de contrôle. A l’avenir, il devrait y avoir moins de contrôles, mais ils seront davantage adaptés aux risques actuels.

Procédure de sécurité relative aux entreprises (PSE)

La PSE s’applique aux entreprises qui, dans le cadre d’un marché public de la Confédération, doivent se voir confier l’exercice d’une activité sensible. Elle vise d’une part à vérifier la fiabilité d’une entreprise et d’autre part à contrôler, faire respecter et garantir la sécurité de l’information durant l’accomplissement du mandat. Le champ d’application de l’actuelle procédure de maintien du secret est limité au domaine militaire. Le projet introduit une PSE unifiée. Parallèlement, il habilite les autorités à établir une déclaration de sécurité pour les entreprises suisses qui soumissionnent pour des mandats étrangers ou internationaux et ont besoin pour ce faire d’une déclaration de sécurité nationale. La compétitivité de ces entreprises s’en trouvera renforcée.

Soutien aux infrastructures critiques (IC)

Dans sa Stratégie nationale de protection de la Suisse contre les cyberrisques du 27 juin 2012 (SNPC; FF 2013 517), le Conseil fédéral a établi le principe du soutien de la Confédération aux exploitants d’IC en matière de sécurité de l’information. Dans le cadre de la collaboration entre les exploitants d’IC et la Confédération, les services concernés doivent pouvoir échanger des données personnelles (ressources d’adressage dans le domaine des télécommunications) éventuellement liées à des poursuites et sanctions administratives ou pénales. Le projet crée à cet égard les bases légales formelles nécessaires au traitement de données de cette nature.

Exécution

L’exécution de la présente loi doit d’une part intervenir de la façon la plus homogène possible, et d’autre part respecter l’indépendance et l'autonomie des diverses autorités de la Confédération.

L’avant-projet prend en compte ces exigences en soi contradictoires en prévoyant:

 une réglementation d'exécution selon le principe du « opting out »: chaque autorité exécute la loi dans son domaine de compétences et édicte les ordonnances y afférentes. La législation d’exécution du Conseil fédéral s’appliquera toutefois par analogie aux autres autorités de la Confédération dans la mesure où elles n’auront pas édicté leur propre réglementation;

 des exigences et mesures standards: le Conseil fédéral est habilité à définir des exigences et mesures standards conformes à l’avancée des connaissances et de la technologie, qui vaudront recommandations pour les autres autorités fédérales;

 la création d’un organe de coordination transversal spécialisé (au niveau des autorités): cet organe de coordination (la Conférence des préposés à la sécurité de l’information) aura pour vocation principale l’exécution uniforme de la loi au niveau transversal sur la base des risques. Il sera également associé à la définition des exigences et mesures standards.