Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Selon l’al. 2, les informations classifiées doivent contenir une indication sur l'auteur de la classification. Cette indication est non seulement importante pour la déclassification, l’archivage et la destruction de ces informations, mais aussi pour la prise éventuelle de mesure provisoires de protection lorsque les informations sont menacées (cf. art. 18).

Al. 3 : lorsque la Suisse conclut un accord d’échange d’informations classifiées avec un pays ou une organisation internationale spécifique, le traitement des informations tombant dans le champ d’application de l’accord est réglé par les dispositions particulières de ce dernier. Si aucun accord de ce genre n’existe, le traitement des informations classifiées provenant de l’étranger s’articule autour des dispositions de la LSI et de ses dispositions d’exécution.

Art. 17

L’art. 17, al. 1, prévoit une réserve au droit de procédure de l’Assemblée fédérale et à celui des tribunaux et des ministères publics. Pour la communication d’informations classifiées (par ex. dans le cadre de leur utilisation comme bases de décision ou de moyens de preuve), c’est le droit de procédure concerné qui doit s’appliquer. Les lois de procédure de la Confédération contiennent elles-mêmes des dispositions réglant la manière dont ces informations peuvent être ouvertes à la consultation des participants à la procédure, dans quelle mesure elles peuvent être divulguées dans le cadre de procédures publiques ou jusqu’à quel point les témoins peuvent refuser de s’exprimer compte tenu des obligations légales de maintien du secret (cf. par ex. les art. 47, 150, 153 et 154, LParl, 56, al. 2, et 59, al. 2, LTF, 16, al. 2, 18, al. 2, 27 et 28, PA, 40, al. 3, LTAF, ou les art. 70, 170, 173, al. 2, 194, al. 2, CPP, de même que les art. 45, 48, al. 2, 77, CPM ; cf. encore l’art. 58 de l’ordonnance du 24 octobre 1979 concernant la justice pénale militaire, RS 322.2).

Selon l’al. 2, l’occasion peut néanmoins être donnée, avant une décision relative à la divulgation de certaines informations classifiées, à l'auteur de la classification de s’exprimer sur les motifs de la classification et d’être entendu sur les conséquences possibles d’une telle divulgation. L’autorité ou le tribunal compétent décide alors de la suite de la procédure en fonction de son appréciation de la situation.

Art. 18

Les obligations formulées ici correspondent, dans leur teneur, aux art. 15 et 16, OPrl, actuellement en vigueur. En l’absence d’informations sur l'auteur de la classification, l’annonce doit être faite auprès de l’autorité de surveillance compétente qui décide alors de la suite de la procédure.

Art. 19

L’al. 1 exige d’emblée des autorités concernées (mais pas des organisations) qu’elles déterminent une procédure pour la mise en œuvre et l’amélioration constantes de la sécurité de l’information lors de l’engagement de moyens TIC. La procédure doit fixer les tâches, les compétences et les responsabilités relevant de la sécurité des organes qui planifient l’engagement des moyens TIC, le décident et qui développent, exploitent, gèrent, modifient, entretiennent, contrôlent et, pour finir, mettent hors service ces moyens. La procédure inclut en particulier les dispositions matérielles des art. 20 à 26.

Les autorités fédérales recourent déjà à ce genre de procédure. Cependant, ces procédures doivent être systématisées, et dans la mesure où cela s’impose, complétées. Les principales étapes de la procédure doivent être uniformisées. En outre, le déroulement correct de la procédure n'est souvent pas contrôlé ou alors seulement partiellement. L’efficacité des mesures appliquées, elle, n'est que très rarement vérifiée.

Selon l’al. 2, la compétence de conduire la procédure de sécurité incombe à l’autorité ou organisation qui mandate l’engagement des moyens TIC (bénéficiaire de prestations). Le bénéficiaire de prestations est effet responsable des processus d’affaires et de la mise en œuvre des exigences de sécurité. Il doit donc communiquer clairement ses exigences à ce niveau au service chargé de l'exploitation des moyens TIC en question (fournisseur de prestations).

L’al. 3 fixe le principe selon lequel la procédure de sécurité (ou, pour le moins, les étapes concernées de la procédure) doit être répétée lorsque les risques changent. La sécurité de l’information est dans une situation constante de changement dynamique. Les autorités concernées doivent donc fixer un contrôle périodique, ou en fonction des risques, de l'état de sécurité du moyen TIC engagé et le renouvellement de la procédure.

Art. 20

L’analyse du besoin de protection selon l’al. 1 est la première étape de la procédure de sécurité. Un service qui procède au développement, à l’acquisition ou à la modification d’un moyen TIC, ou confie l’une de ces tâches à des tiers, envisage d'engager ce moyen TIC à certaines fins et pour une durée déterminée. Cette première étape en lien avec la mise en œuvre de la sécurité de l’information consiste à définir, lors de la dé-