Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Al. 3 : en règle générale, les entreprises ont déjà pris des mesures de sécurité dans les domaines les plus variés ; le service spécialisé PSE se contente alors de les vérifier, voire de les compléter le cas échéant. Toutes les mesures nécessaires qui ont déjà été prises et celles qui s'imposent en sus sont définies dans le concept au sens de l'al. 2. Le service spécialisé PSE collecte directement les données nécessaires auprès de l'entreprise.

Art. 67

Al. 1 : le personnel appelé à exercer une activité sensible est assujetti à un CSP. Il est contrôlé en application de l'art. 34, al. 1, let. b et, le cas échéant, let. c, ou de l'art. 34, al. 2. Le degré de contrôle est déterminé en fonction de l'art. 35.

Al. 2 : après le CSP, le service spécialisé PSE décide péremptoirement si l'activité sensible peut, ou non, être confiée à la personne concernée.

Art. 68

Al. 1 : dès que l'entreprise a pris les mesures de sécurité qui s'imposent et, ainsi, apporté la preuve que le concept de sécurité est mis en place, le service spécialisé PSE émet une déclaration de sécurité pour les entreprises (DSE). Cette déclaration est une décision selon l'art. 5 PA.

Al. 2 : lorsque l'entreprise n'applique pas le concept de sécurité - très rare en pratique -, elle ne répond pas aux exigences fixées pour la sécurité de l'information. Dans ce cas, le service spécialisé PSE refuse de lui remettre la déclaration de sécurité et décide de suspendre la procédure. Le service spécialisé PSE doit lui accorder un délai lui permettant de remplir ses obligations avant de prendre sa décision de refus.

Al. 3 : la notification de la DSE, ou son refus, constitue une décision - contrairement à la déclaration de sécurité émise dans le cadre d'un CSP - car elle a des effets juridiques immédiats sur les parties intéressées (cf. art. 69 ss). Si l'entreprise n'est pas d'accord avec la décision prise par le service spécialisé PSE, elle peut déposer un recours devant le Tribunal administratif fédéral (art. 76, al. 1). La décision est également notifiée à l'adjudicateur car celle-ci ne doit pas confier le mandat sensible à l'entreprise qui s'est vue refuser la déclaration de sécurité (art. 69). A ce moment précis de la procédure, l'adjudicateur aura probablement déjà versé des sommes considérables dans le projet. De ce fait (contrairement à l'art. 65, al. 1), il est également en droit de déposer un recours.

Al. 4 : la limitation à cinq ans de la validité de la DSE doit garantir une réévaluation à intervalles réguliers de la qualification au sens des art. 62 ss. De cette façon, il est possible de tenir compte des changements importants qui surviennent dans l'entreprise et qui influent sur la sécurité de l'information.

Art. 69

L'adjudicateur est lié à la décision du service spécialisé. Il ne peut pas confier de mandat sensible à l'entreprise qui s'est vue refuser la DSE (cf. art. 68, al. 3). Inversement, les entreprises au bénéfice d'une DSE sont habilitées à exécuter des mandats sensibles lorsqu'elles remportent l'adjudication correspondante ou obtiennent le contrat.

La DSE doit être établie avant que l'adjudicateur confie le mandat à l'entreprise. Cette disposition correspond, sur le fond, à l'art. 38, al. 3, dans le domaine des CSP.

Art. 70

Al. 1 : les entreprises au bénéfice d'une DSE sont tenues de collaborer. Elles ont pour principale obligation d'appliquer régulièrement les mesures prévues par le concept de sécurité.

Selon l'al. 2, ces entreprises doivent aussi informer le service spécialisé PSE de toute modification importante pour la sauvegarde de la sécurité de l'information survenant lors de l'accomplissement du mandat sensible. Elles doivent, par exemple, annoncer les nouveaux collaborateurs appelés à exercer des activités sensibles pour qu'ils puissent être soumis à un CSP. En outre, l'entreprise doit immédiatement informer le service spécialisé PSE et l'adjudicateur de tout incident relatif à la sécurité.

Art. 71

L’al. 1 habilite le service spécialisé PSE à contrôler, au sein de l’entreprise, le respect des mesures relatives au mandat prévues par le concept de sécurité. Il peut contrôler les domaines de l'entreprise où le mandat sensible est exécuté. Il peut aussi consulter les documents de l'entreprise relatifs au mandat. Le contrôle peut, de par sa nature, s'effectuer inopinément. Il ne peut se dérouler qu'en compagnie ou en présence d'un membre de l'entreprise, généralement le préposé à la sécurité.

Al. 2 : le service spécialisé PSE, face à des indices concrets donnant lieu de penser que la sécurité de l'information est menacée, peut prendre les mesures de sécurité qui s'imposent. Il peut, par exemple, décider la