Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Al. 5 : les données traitées en dehors du système d’information (cf. art. 52, al. 5) doivent être conservées et détruites conformément aux al. 2 et 3. Les remarques inscrites dans le système sont détruites lors de la destruction de ces données.

Al. 6 : les dossiers devant être archivés selon les prescriptions d’archivage ne doivent pas être détruits.

Art. 55

L’art. 55 dresse la liste des domaines pour lesquels le Conseil fédéral doit édicter des dispositions complémentaires (normes primaires). En l’occurrence, il ne s’agit pas simplement de dispositions d’exécution pour lesquelles le Conseil fédéral, sur la base de l’art. 182 Cst., est sans autres compétent.

 Let. a et b : en termes d’organisation, il est à noter qu’il existe actuellement deux services spécialisés

CSP. L’un est à la Chancellerie fédérale et contrôle, à l’intention du Conseil fédéral, les cadres du plus haut échelon ainsi que le personnel de l’autre service spécialisé CSP. Ainsi, actuellement, il réalise exclusivement des CSP élargis accompagnés d’auditions. L’autre service spécialisé CSP est au DDPS, à l’Etatmajor de l’armée, auprès de la Protection des informations et des objets, et réalise la grande majorité des CSP. La let. b donne le choix au Conseil fédéral de décider s'il entend maintenir ou non cette organisation.

 Let. c à d : le Conseil fédéral doit, en application de l’art. 16, al. 2, LPD, édicter des dispositions complé-

mentaires sur la protection des données dans le cadre du CSP. Sont en particulier concernées l’organisation des compétences et les responsabilités pour la protection des données (incl. la sécurité des données) en lien avec le système d’information visé à l’art. 52, ainsi que le contrôle indépendant périodique du traitement des données.

2.1.4 Procédure de sécurité relative aux entreprises

Art. 56

Concernant le but de la PSE, cf. ch. 1.2.5.

Art. 57

Al. 1 : le sens donné par la présente loi à entreprise ne correspond pas, à proprement parler, à celui d’une entreprise considérée dans sa globalité. Il s’applique surtout aux parties d’une entreprise et aux personnes effectivement chargées d'exécuter un mandat sensible.

 La let. a concerne le cas principal visé par le contrôle : celui où une autorité ou organisation concernée

envisage d'adjudiquer à une entreprise un mandat sensible, selon l’art. 56, pour lequel cette dernière a soumissionné. La PSE est, en principe, une affaire d’ordre national. C’est pourquoi les entreprises dont le siège est à l’étranger et qui entendent obtenir un mandat sensible émanant des autorités suisses doivent se faire contrôler par l’Etat dans lequel elles ont leur siège légal. Les compétences et les modalités de contrôle sont réglées par des conventions internationales au sens de l'art. 90. Dans de tels cas, les autorités étrangères de sécurité exigent la preuve que le soumissionnaire bénéficie d'une déclaration de sécurité au moyen du « formulaire d'information sur l'habilitation de sécurité des entreprises » (Facility Security Information Sheet) ou - si l'entreprise n'a pas encore été contrôlée - l'ouverture d'une procédure de contrôle.

 Inversement, l’al. 1, let. b, traite le cas des entreprises qui ont leur siège en Suisse et soumissionnent pour

des mandats émanant de l’étranger, et qui doivent présenter aux autorités étrangères une déclaration de sécurité établie par les autorités suisses. Cette procédure et la certification qui s’y rapporte constituent une tâche officielle qui ne peut être confiée au secteur privé, car les autorités étrangères exigent systématiquement un « sceau officiel de sécurité » de l’Etat où l’entreprise a son siège.

L'al. 2 dispose qu'une PSE ne peut en aucun cas avoir lieu sans l'assentiment de l'entreprise concernée. Dans la pratique, le consentement exigé de l’entreprise ne pose jamais de problèmes puisque cette dernière est intéressée financièrement à l’adjudication du mandat.

Al. 3 : dans le cas visé à l'al. 1, let. b, la Confédération n'est pas directement intéressée par l'ouverture de la procédure. Le Conseil fédéral réglera la question des coûts au niveau de l'ordonnance.

Art. 58

Al. 1 : la PSE n'est effectuée que si certains critères et conditions (par ex. l'assentiment) sont remplis. Si l'entreprise ne remplit plus ces critères alors que la PSE est en cours, la procédure est interrompue. Ainsi, selon la let. d, cela peut aussi être le cas lorsque l'entreprise ne peut plus du tout remplir le mandat, par exemple en raison de sa mise en faillite ou de la destruction de son site de production par un incendie.