Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

 Aux termes de la let. b, les données nécessaires sont surtout recueillies auprès de l’entreprise elle-même,

avec son consentement (cf. également art.57).

 La let. b crée une base légale formelle pour les requêtes que le service spécialisé PSE adresse au Service

de renseignement de la Confédération.

 La let. c permet au service spécialisé PSE de récolter si nécessaire, auprès du registre du commerce ou sur

Internet, des données sur l’entreprise. Pareilles recherches peuvent livrer des renseignements importants sur la fiabilité de l'entreprise (cf. art. 39, al. 1, let. g, pour le CSP).

Al. 2 : cette possibilité est utilisée, par exemple, lorsque des entreprises étrangères soumettent leur candidature aux autorités fédérales pour l'obtention d'un mandat sensible.

Art. 64

Cette disposition constitue un pendant à l'art. 42 (évaluation, lors du CSP, du risque pour la sécurité). Les mécanismes d’évaluation du risque sont identiques quant à leur principe.

Selon l'al. 1, un risque pour la sécurité existe lorsque des indices concrets donnent à penser que l'entreprise, selon une probabilité élevée, exécuterait le mandat sensible de manière inadéquate ou contraire aux prescriptions.

L'al. 2 expose ensuite les trois raisons principales d'une probabilité élevée de voir le mandat exécuté de manière inadéquate ou contraire aux prescriptions:

 Let. a : cela peut, par exemple, être le cas lorsque des données saisies montrent que l'entreprise a commis

des actes punissables qui ont un effet sur la sécurité de l'information.

 Let. b : cette disposition doit permettre d’empêcher la remise d’informations sensibles à une entreprises

qui, en raison de ses rapports de propriété, de sa structure organisationnelle ou de ses relations d’affaires, pourrait, par exemple, être contrôlée par des services de renseignement étrangers ou des organisations à vocation criminelle.

 Let. c : lorsque l’entreprise est en raison individuelle ou que l’attribution du mandat rend indispensable la

présence de certaines personnes (par ex. parce qu’elles sont des experts qui ne peuvent être remplacés, ou parce qu’elles gèrent l’entreprise et que le mandat ne pourrait être exécuté en leur absence), l’établissement d’une déclaration de risque dans le cadre d'un CSP pour ces personnes peut avoir pour conséquence que l’entreprise, dans son ensemble, soit considérée comme un risque pour la sécurité.

L'al. 3 dispose que le risque pour la sécurité soit fondé sur des faits concrets liés à l'entreprise, indépendamment de toute faute de l'entreprise elle-même ou de son personnel, par exemple lorsqu'elle est contrôlée par des personnes liées à un service de renseignement étranger ou à une organisation criminelle.

Art. 65

Al. 1 : le service spécialisé PSE notifie à l’entreprise concernée l’évaluation de son aptitude. Si l’entreprise n’est pas d’accord avec l’évaluation du risque, elle peut interjeter un recours auprès du Tribunal administratif fédéral (art. 76, al. 3). L'adjudicateur peut poursuivre la procédure de soumission ou les négociations contractuelles avec les entreprises ne présentant pas de risque pour la sécurité. Il n’est pas autorisé à recourir et n’est donc qu'informé de l’évaluation.

Al. 2 : lorsque le service spécialisé PSE décèle un risque pour la sécurité en relation avec une entreprise, l'adjudicateur ne peut conclure de contrats avec elle ou lui adjuger le mandat. Il exclut de la procédure d'adjudication l'entreprise jugée non qualifiée en regard de la sécurité. L'adjudicateur est ainsi lié à l'évaluation de l'autorité chargée de la procédure. La raison tient en ce qu'une entreprise, au sens de la présente loi, déclarée sûre reçoit de l'Etat ce que d'aucuns pourraient appeler un « sceau officiel de sécurité ». L'intégrité de ce « sceau » ne peut être assurée que si la décision relative à la qualification est prise par des spécialistes.

Art. 66

Al. 1 : dès que l'adjudicateur a procédé à l'adjudication, il en informe le service spécialisé PSE. Ce dernier entame alors les autres étapes de la procédure.

Al. 2 : pour que la sécurité de l'information au sein de l’entreprise appelée à exercer l’activité sensible soit assurée, des mesures adéquates doivent être prises au niveau de l’organisation et du personnel, de même que sur le plan technique et physique. Un concept de sécurité doit donc définir comment les exigences de sécurité de l'information, définies dès le lancement de la procédure par le service spécialisé PSE et l'adjudicateur, doivent être mises en œuvre (cf. art. 61).