Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

Art. 78

L'art. 78 crée la base légale nécessaire pour rendre certaines données accessibles à des organes déterminés.

 Let. a : les adjudicateurs ont accès aux données qui les concernent ainsi qu'à la liste de toutes les entre-

prises au bénéfice d'une DSE. Cela leur permet de savoir rapidement si une entreprise bénéficie ou non d'une DSE.

 Let. b : le Conseil fédéral peut, de par son droit d'édicter des dispositions d'exécution, habiliter certaines

entreprises à ouvrir elles-mêmes des CSP dans leur propre domaine. De ce fait, ces entreprises doivent avoir accès à certaines données du système d'information. Par ailleurs, le système actuel permet déjà aux préposés à la sécurité de certaines entreprises d'accéder aux décisions relatives aux contrôles et aux niveaux de contrôle CSP des membres du personnel de leur entreprise.

Art. 79

La disposition relative à la conservation et à la destruction des données correspond, mutatis mutandis, à celle proposée pour le CSP (cf. art. 54).

Art. 80

Le Conseil fédéral doit édicter les dispositions complémentaires qui s'imposent pour la PSE.

2.1.5 Sécurité de l'information pour les infrastructures critiques

A propos de la stratégie nationale de protection de la Suisse face aux cyberrisques, cf. les ch. 1.1.2.2 et 1.2.6.

Les art. 81 à 83 règlent les tâches de la Confédération visant à soutenir les exploitants des infrastructures critiques (IC) dans le domaine de la sécurité de l'information. Il n’est pas nécessaire d'être soumis à la loi selon la législation spéciale au sens de l’art. 3, al. 3 afin de participer au partenariat public-privé dans le cadre de MELANI et de bénéficier des prestations de la Confédération. La collaboration a lieu sur une base volontaire.

Art. 81

En vertu de l’al. 1, le soutien de la Confédération concerne notamment la détection précoce et l’appréciation des dangers et des menaces pesant sur des informations et des systèmes d’information dignes de protection, l’évaluation du risque correspondante, la détection des incidents, le rétablissement de la sécurité de l'information à la suite d’incidents et l’analyse a posteriori de ces incidents. Pour les exploitants d'IC, il s’agit de prestations importantes de la Confédération.

L’al. 2 dispose que la Confédération gère d’une part un service national d’alerte précoce chargé d’analyser continuellement les menaces en matière de sécurité de l'information et de préparer des informations concernant des dangers et des menaces identifiés au profit des exploitants d'IC afin de soutenir leurs processus en matière de sécurité de l'information et de gestion des risques. D’autre part, elle exploite un service d’assistance pour la prise de mesures préventives et réactives dans le domaine de la sécurité technique de l'information (governmental computer emergency response team, GovCERT), qui effectue des analyses techniques – p. ex. de logiciels malveillants – et peut fournir des recommandations concernant des mesures techniques concrètes afin de prévenir des dangers ou de détecter des incidents. Les services chargés de tâches liées à l’al. 2 sont aussi autorisés à simuler des systèmes vulnérables (honeypots) sur des réseaux afin d’améliorer leurs connaissances.

Aux termes de l’al. 3, le Conseil fédéral veille à garantir à cet effet un échange sécurisé d’informations entre la Confédération et les exploitants d'IC ainsi qu’entre les exploitants eux-mêmes. Souvent, les dangers et les menaces ne concernent pas un objectif unique, mais plusieurs organisations actives dans un secteur spécifique, voire tous les exploitants d'IC dans l’ensemble des secteurs. Cependant, le recours aux prestations visées à l’art. 81 ainsi que la participation au partenariat public-privé sont totalement volontaires. Le principe de la propre responsabilité des exploitants d'IC est ainsi implicitement confirmé. Un échange permanent d’informations doit instaurer la transparence et la confiance; il profite non seulement aux exploitants d'IC, qui peuvent acquérir un savoir-faire, mais également aux autorités fédérales en leur qualité de propriétaires et d’exploitants d'IC. Ils peuvent obtenir des informations importantes afin d’évaluer leurs risques propres et prévenir des dangers.

Art. 82

Les informations au sujet de dangers et d’indicateurs relatifs à des incidents dans le domaine de la sécurité de l'information contiennent souvent des données concernant des ressources d’adressage dans le domaine des télécommunications (p. ex. adresses IP, adresses électroniques, noms de domaine). Ces ressources