Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Le texte proposé prévoit désormais (cf. ch. 1.2.4) les deux degrés de contrôle ci-après:

 Let. a : le contrôle de sécurité de base s’applique aux activités sensibles dont l’exercice inadéquat ou con-

traire aux prescriptions peut nuire considérablement aux intérêts visés à l’art. 1, al. 2. Vu le potentiel de dangerosité mentionné, il s’agit donc implicitement : (a) du traitement d’informations classifiées CON-FIDENTIEL ; (b) de l'administration, de l’exploitation, du contrôle ou de la maintenance des moyens TIC relevant de la catégorie de sécurité "protection élevée" ; (c) de l'accès à des zones de sécurité où les activités visées aux let. (a) et (b) sont exercées. Un CSP est également nécessaire pour pouvoir accéder aux zones de protection 2 d’un ouvrage militaire.

 Let. b : en toute logique, le CSP élargi est réalisé dans le cas (a) du traitement d’informations classifiées

SECRET ; (b) de l'administration, de l’exploitation, du contrôle ou de la maintenance de moyens TIC relevant de la catégorie de sécurité "protection très élevée" ; (c) de l'accès à des zones de sécurité où les activités visées au let. (a) et (b) sont exercées. Un CSP élargi est également nécessaire pour pouvoir accéder aux zones de protection 3 d’un ouvrage militaire.

C’est aux autorités concernées qu’il incombe de déterminer les degrés de contrôle pour les fonctions et mandats correspondants.

Art. 36

Les services spécialisés CSP ne peuvent, en aucun cas, entamer et mener un CSP de leur propre chef ; ils doivent toujours être mandatés à cet effet. D’une part, on ne saurait confier à la plus haute autorité le soin d’ouvrir directement toutes les procédures de contrôle, mais d’autre part, on ne peut pas non plus autoriser n’importe quel organe à confier des mandats de cette nature. L’art. 36 prévoit dès lors que les autorités concernées désignent, dans leur domaine de compétence, les services habilités à ouvrir une procédure de contrôle et à attribuer aux services spécialisés CSP le mandat y afférent. Il s’agit là d’une compétence formelle. A cet égard, on précisera que le service chargé de l’ouverture de la procédure (service requérant) n’est souvent pas celui qui, en vertu de l’art. 44, décide, après le contrôle, de confier l’activité sensible (instance de décision).

Le Conseil fédéral peut aussi, s’il l’estime utile, habiliter certains tiers à ouvrir un CSP. Cela concerne en particulier les entreprises exerçant souvent des activités sensibles au profit de la Confédération et qui sont au bénéfice d’une déclaration de sécurité pour les entreprises au sens de l’art. 68. Tel peut aussi être le cas pour les cantons ou les organisations au sens de l’art. 2, al. 2, let. e.

Art. 37

En principe, la réalisation d’un CSP nécessite le consentement de la personne concernée (al. 1). Seules l’armée et la protection civile peuvent, selon l’al. 2, réaliser des CSP sans l’accord des personnes concernées. Cette exception s’impose sans quoi certains militaires ou membres de la protection civile pourraient refuser de donner leur consentement pour se soustraire à leur obligation de servir en empêchant le contrôle.

Art. 38

Le droit en vigueur (art. 19, al. 3, LMSI) exige que le CSP soit effectué avant l'attribution de la fonction ou du mandat. L’application de la réglementation en vigueur (en soi logique) ne peut toutefois être réalisée sans une augmentation importante des ressources en personnel des services spécialisés CSP. C’est pourquoi l’al. 1 revoit la règle applicable au personnel des autorités et organisations concernées : il exige dorénavant que, pour ce groupe de personnes, la procédure de contrôle soit ouverte avant l’attribution de la fonction. Les employeurs conservent naturellement le droit d’attendre la déclaration du service CSP avant d’engager la personne concernée. Dans les faits, ils vont probablement introduire dans les contrats de travail une clause selon laquelle l'établissement d’une déclaration de sécurité assortie de réserves (art. 43, al. 1, let. b), d’une déclaration de risque (art. 43, al. 1, let. c) ou d’une déclaration de constatation (art. 43, al. 1, let. d) peut être un motif de dénonciation immédiate des rapports de travail. Pour réduire provisoirement les risques, les employeurs peuvent demander un extrait du casier judiciaire ou du registre des poursuites (art. 20a LPers).

L’al. 2 reprend les dispositions du droit en vigueur (art. 19, al. 3, LMSI) et résulte d’une enquête de la Commission de gestion du Conseil national à propos de la nomination du commandant de corps R. Nef au poste de chef de l’armée. La réglementation en question a été décidée par la modification de la LMSI du 23 décembre 2011 et est entrée en vigueur le 1er juillet 2012.

L’al. 3 précise quand le CSP doit être réalisé pour les tiers chargés d’exécuter un mandat sensible pour une des autorités ou organisations concernées. Dans ce cas, la réglementation actuelle s’applique encore : le CSP doit être terminé avant que la personne puisse être chargée d'exercer l’activité sensible concernée. La raison qui motive de traiter, sur le plan juridique, le personnel fédéral différemment des tiers tient aux conditions