Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

L'al. 2 prescrit qu'après l'arrêt de la procédure, toutes les données et dossiers en rapport avec elle doivent être détruits.

Art. 59

L'al. 1 dispose tout d'abord que la PSE est le fait d'un service spécialisé (service spécialisé PSE). Ainsi, un seul service doit (comme aujourd'hui) s'occuper de cette procédure au sein de la Confédération. Le service spécialisé PSE n'agit que sur demande (et non sur mandat) des autorités ou organisations concernées. Ces dernières sont toutefois tenues de déposer une demande lorsqu'elles entendent confier un mandat sensible à une entreprise.

Al. 2 : les autorités concernées doivent déterminer, dans leur domaine de compétence, qui dépose la demande d'ouverture de la procédure. En fonction de leurs besoins au niveau organisationnel, il peut s’agir d’un service central ou de tout organe compétent pour attribuer des mandats sensibles à des entreprises du secteur privé.

L'al. 3 règle les compétences d'une autorité étrangère ou internationale mandat sensible attribué par une autorité étrangère ou internationale. Généralement, l'ouverture de la procédure est requise par les autorités étrangères de sécurité au moyen du formulaire Facility Security Clearance Information Sheet adressé aux autorités de sécurité suisses et d’une confirmation de l’entreprise concernée. La réponse est apportée dans le cadre d'une procédure standard. Les détails de ces procédures doivent être réglés par voie d’ordonnance.

Art. 60

Al. 1 : après le dépôt de la demande d'ouverture d'une PSE, le service spécialisé PSE tout d'abord que les conditions sont réunies (par ex. l'attribution d'un mandat sensible) avant d'engager, le cas échéant, la PSE.

Al. 2 : lorsque le risque pour la sécurité de l'information peut, dans un cas particulier, être suffisamment réduit par d'autres mesures, le service spécialisé PSE peut renoncer à la PSE pour des raisons d'économie administrative. Lorsque le mandat, placé par exemple sous le contrôle de l’autorité ou l’organisation émettrice du mandat (adjudicateur), est effectué dans les locaux de cette dernière et qu'aucun document n'a été remis à l'entreprise, des CSP peuvent souvent s'avérer suffisants. Si le service spécialisé renonce à la PSE, il recommande aussi les mesures de sécurité qu'il juge adéquates. Dans ce cas, il n'a plus la compétence d'imposer quoi que ce soit.

Art. 61

Après l'ouverture de la procédure, le service spécialisé PSE prend contact avec l'adjudicateur pour discuter des détails du mandat. Il fixe, en accord avec ce dernier, les exigences de sécurité qui s'imposent pour l'exécution du mandat. Dans la mesure où l'exercice d'une activité sensible est déjà nécessaire lors de la procédure d'adjudication, les exigences de sécurité sont également fixées pour cette phase-là. Cela se produit régulièrement lorsque la prise de connaissance d’informations classifiées est nécessaire en vue de l’établissement d’une offre.

Art. 62

La notion de qualification est prise dans le sens de la systématique du droit des marchés publics. Certes, le maintien de la sécurité de l'information n'est pas un critère formel de qualification au sens de l'art. 9 LMP ; le projet l'introduit cependant pour l'exécution de mandats sensibles au sens de la présente loi.

Al. 1: l'adjudicateur doit annoncer au service spécialisé PSE les entreprises en lice pour l'adjudication.

Al. 2 : le service spécialisé PSE examine si ces entreprises sont qualifiées, du point de vue de la sécurité de l'information, à exécuter le mandat sensible ou si son attribution aux entreprises contrôlées représenterait un risque pour la sécurité au sens de l'art. 64. Si un tel risque existe en lien avec un soumissionnaire, ce dernier n'est pas qualifié quant à la sécurité de l'information.

Al. 3 : le service spécialisé PSE ne doit pas être soumis à des directives pour l’évaluation de la qualification. En l’occurrence, il s’agit de pouvoir procéder à cette évaluation en dehors de toute considération des intérêts de politique économique (cf. également art. 42, al. 4, pour le CSP).

Art. 63

L'art. 63 crée la base légale formelle de la collecte des données permettant d'évaluer, sous l'angle de la sécurité, la qualification des entreprises, conformément à l'art. 62, al. 2.

L'al. 1 dresse la liste des données permettant au service spécialisé PSE d'évaluer la qualification. Les modalités des requêtes y afférentes et de la transmission d’informations doivent être réglées au niveau de l’ordonnance.