Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

La solution proposée préservera l’indépendance des autorités de la Confédération dans l’exécution de la loi. Ces dernières n’étant pas liées par les dispositions d’exécution du Conseil fédéral, la loi elle-même doit définir les exigences et mesures minimales contraignantes pour toutes les autorités. La loi comporte par conséquent nombre de dispositions qui, sous l’angle de la hiérarchie normative, relèveraient matériellement du niveau de l’ordonnance. Le projet ménage également une autonomie d’exécution suffisante aux cantons et à certaines organisations soumises à la loi et à la législation d’exécution du Conseil fédéral. Enfin, il crée la base légale formelle, aujourd’hui absente, habilitant le Conseil fédéral à conclure des accords internationaux en matière de sécurité de l’information.

Organisation de la sécurité de l’information

Le projet adapte l’organisation spécialisée de la sécurité de l’information à la nouvelle réalité complexe et changeante, et ce à deux niveaux organisationnels:

 organisation interne:

 gestion de la sécurité de l’information: en la matière, les autorités de la Confédération doivent s’inspirer des normes internationales reconnues et éprouvées (par ex. les normes DIN ISO/IEC 27001 et 27002);

 préposés à la sécurité de l’information: les autorités de la Confédération désignent chacune un préposé ou une préposée à la sécurité de l’information et une suppléance à qui elles confient le pilotage de l’ensemble de la sécurité de l’information;

 organisation transversale:

 service spécialisé de la Confédération en matière de sécurité de l’information: certains organes existants seront réunis en un nouveau service spécialisé, pour résoudre au plan systémique des problèmes de compétences avérés et améliorer le niveau des connaissances interdisciplinaires. Le service spécialisé, qui a vocation de soutien et de conseil, ne sera pas habilité à donner des instructions dans le cadre transversal en raison de l’indépendance des diverses autorités de la Confédération. La législation d’exécution du Conseil fédéral réglera le rattachement et les tâches détaillées de cet organe;

 conférence des préposés à la sécurité de l’information: cet organe sert avant tout à l’exécution homogène de la loi au niveau transversal. En cas de nécessité, il pourra recourir à des experts des cantons et des milieux scientifiques et économiques;

 services spécialisés CSP: pour garantir l’indépendance des contrôles de sécurité relatifs aux personnes, le Conseil fédéral instituera au minimum deux services spécialisés, comme c’est déjà le cas aujourd’hui;

 service spécialisé PSE: pour mener les procédures de contrôle relatives aux entreprises, le Conseil fédéral devra instituer un service spécialisé.

Conséquences

La loi entraînera une amélioration notable de la gestion de la sécurité de l’information de la Confédération. Elle réduira les risques y afférents, qui pour tout ou partie sont aussi de nature financière. La pratique a montré qu’une gestion efficiente de la sécurité de l’information peut même permettre des économies à moyen terme. Mais pour la Confédération, la loi aura également des conséquences directes sur le plan des finances et des ressources humaines. Les besoins supplémentaires ne peuvent encore être estimés avec précision, mais ils seront exposés dans le message. Les sources de coûts principales sont:

 l’organisation, le pilotage et le contrôle de la sécurité de l’information;

 le renforcement des contrôles et des audits;

 les contrôles de sécurité relatifs aux personnes;

 les procédures de sécurité relatives aux entreprises;

 la création et les tâches du service spécialisé de la Confédération en matière de sécurité de l’information.

On notera que la loi elle-même ne définit pratiquement aucune mesure de détail et qu’elle n’est par conséquent pas directement applicable: les diverses autorités fédérales devront, dans leurs domaines de compétence, édicter leurs propres dispositions d’exécution. Seront dès lors déterminants pour l’évaluation des coûts d’exécution le niveau de sécurité qu’elles définiront, de même que les mesures y afférentes sur les plans organisationnel et technique, et sur ceux du personnel et des constructions: ces mesures seront décidées aux niveaux des ordonnances, des directives ou des projets, après une analyse approfondie du rapport coût/utilité.