Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Art. 8

Au sens de la présente loi, les tiers sont les autorités, organisations et personnes de droit public ou privé qui ne sont pas des autorités ou organisations concernées au sens de l’art. 2 et qui agissent donc, en principe, indépendamment de ces autorités et organisations. Les autorités fédérales, quant à elles, ont souvent besoin de l’appui des acteurs de l’économie privée ou d’autres organes pour accomplir leurs tâches. Les autorités et organisations qui attribuent des mandats à des tiers doivent veiller à ce que les mesures prévues par la loi soient respectées lors de l’attribution et de l’exécution des mandats.

Ce mode de collaboration avec des tiers ainsi que les mesures de sécurité à respecter sont généralement réglés contractuellement. En principe, les tiers ne devraient être habilités à accéder aux informations ou aux moyens TIC que lorsque les mesures nécessaires ont été mises en œuvre. La LSI contraint également les autorités et organisations concernées à contrôler l’application effective de telles mesures. Lorsque le mandat implique l’exercice d’une activité sensible, ces autorités et organisations doivent requérir l'ouverture d'un contrôle de sécurité relatif aux personnes (cf. art. 32 ss) ou, le cas échéant, demander d'ouverture d'une procédure de sécurité relative aux entreprises (cf. art. 56 ss).

Art. 9

A l’avenir également, des incidents surviendront dans le domaine de la sécurité de l’information. Il est dès lors nécessaire d’adopter une procédure efficace et uniforme pour faire face à ces incidents. Les autorités et organisations concernées doivent, dans un premier temps, prendre les mesures nécessaires pour être capables, avant toute autre chose, d’identifier ces incidents suffisamment tôt (par ex. contrôles réguliers, capteurs, installations d’alarme, surveillance des réseaux, analyses régulières des log-files, etc.). Elles doivent également fixer une procédure dictant le comportement à adopter lorsque des événements ou des points faibles sont identifiés et attribuer des compétences claires pour le traitement des cas. Le personnel impliqué, qu’il soit interne ou externe à l’autorité ou organisation concernée, doit aussi savoir comment réagir face à de tels événements pour pouvoir limiter leurs effets le plus possible.

Pour tirer des enseignements à partir des incidents, les autorités et organisations concernées doivent veiller à ce que leurs causes soient identifiées et examinées. Cela doit permettre d’améliorer continuellement l’identification et le traitement des incidents de sécurité.

Art. 10

Les autorités doivent exploiter un "business continuity management" (BCM) dans le domaine de la sécurité de l’information. Exploiter un BCM signifie prendre les dispositions nécessaires pour que les autorités puissent assurer à temps l'accomplissement de leurs tâches essentielles, même en situation extraordinaire (cf. également art. 6, al. 3, LOGA). L’accomplissement des tâches des autorités fédérales dépendant toujours plus de l’engagement fiable des moyens TIC, les risques et les planifications préventives dans le domaine de la sécurité de l’information doivent impérativement être pris en compte dans le cadre du BCM général des autorités. La loi n’exige l’établissement de pareilles planifications préventives que pour les tâches indispensables des autorités concernées, mais pas pour celles des organisations concernées. En d’autres termes, le Conseil fédéral doit veiller à ce que les tâches de l’administration fédérale et celles de l’armée qu’il juge critiques d’un point de vue stratégique soient identifiées. La loi ne l’exigeant pas à proprement parler, les départements et unités administratives sont libres, dans le domaine de la sécurité de l'information, d’établir ou non des planifications préventives pour leurs tâches critiques qui ne sont pas visées par le Conseil fédéral.

Art. 11

Concernant les contrôles et les audits, cf. ch. 1.2.3.3.

L’al. 1 exige des autorités et organisations concernées qu’elles contrôlent régulièrement que les dispositions et prescriptions de la LSI soient respectées. En principe, ces contrôles incombent aux supérieurs hiérarchiques. Cependant, les préposés à la sécurité de l’information effectueront aussi, sur mandat de leur autorité, des contrôles et des audits conformément à l’art. 84, al. 2, let. c.

L’al. 2 ne s'adresse qu'aux autorités concernées. Un examen périodique par un organe indépendant est nécessaire car il doit avant tout se focaliser sur l’efficacité de l’organisation de la sécurité de l’information. Cette organisation inclut naturellement les tâches des personnes responsables des contrôles ordinaires. La décision concernant la périodicité des contrôles d’efficacité aussi bien que celle portant sur le choix des organes chargés de les réaliser appartient à l’autorité concernée. Les autorités peuvent, par exemple, mandater un service interne de révision ou une entreprise ou un organe externe. Elles peuvent aussi recourir au service spécialisé de la Confédération en matière de sécurité de l’information (cf. art. 86, al. 1, let. c). En outre, le Conseil fédéral peut demander au CDF de mener de telles investigations.