Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

2.1.6 Organisation et exécution

Art. 84

A propos du rôle des préposés à la sécurité de l'information, cf. le ch. 1.3.2.1.

L’al. 1 dispose que la loi intervient dans l’autonomie d’organisation des autorités en raison du besoin prépondérant d’une gestion intégrale de la mise en œuvre de la présente loi. Elle exige que les autorités concernées ainsi que les départements et la Chancellerie fédérale désignent pour leur domaine de compétence un préposé à la sécurité de l'information (international: chief information security officer, CISO) ainsi qu’une suppléance adéquate. Puisqu’une gestion intégrale efficace de la sécurité de l'information exige des connaissances politiques, juridiques, organisationnelles et techniques et que les préposés à la sécurité de l'information doivent en outre accomplir de nombreuses tâches, la mise en œuvre pratique requiert que deux personnes au minimum par autorité assument les tâches en question. Il n’est toutefois pas exigé que les deux personnes soient intégralement engagées à cette fin.

Le Conseil fédéral lui-même doit également désigner un préposé à la sécurité de l'information. En revanche, l’autorité de surveillance du Ministère public de la Confédération n’y est pas tenue en raison de ses ressources limitées en personnel. Les tribunaux fédéraux ne sont pas énumérés de manière détaillée, car il serait disproportionné d’exiger de tribunaux relativement petits s’agissant du personnel (p. ex. le Tribunal fédéral des brevets et le Tribunal militaire de cassation) qu’ils disposent de tels services. La loi autorise donc les tribunaux fédéraux à désigner par exemple un seul service et une seule suppléance pour l’ensemble des tribunaux ou de choisir une autre approche garantissant l’autonomie des autorités. Les offices fédéraux et l’administration fédérale décentralisée ne sont pas non plus légalement tenus de désigner un préposé à la sécurité de l'information. Afin de remplir son devoir d’organisation, le Conseil fédéral doit décider par voie d’ordonnance comment il convient d’organiser et de gérer la sécurité de l'information à ce niveau.

L’al. 2 décrit en termes généraux les tâches et les compétences des préposés à la sécurité de l'information.

 La let. a souligne que la compétence décisionnelle et la responsabilité des décisions en matière de sécurité

de l'information restent auprès de la ligne, c’est-à-dire des autorités compétentes et de leurs services subordonnés. Les préposés à la sécurité de l'information ont toutefois appelés à conseiller et à assister la ligne sur le plan spécialisé.

 La let. b dispose que les préposés à la sécurité de l'information doivent gérer, sur mandat de leurs autori-

tés ou de leur organisation, la sécurité de l'information ainsi que la gestion des risques correspondante sur le plan technique.

 La let. c prévoit que les préposés à la sécurité de l'information ont une obligation générale de vérifier le

respect des prescriptions de la présente loi, de faire rapport à ce sujet et de proposer à leur autorité les mesures qui s’imposent.

 La let. d dispose que les préposés à la sécurité de l'information peuvent signaler les incidents au service

spécialisé de la Confédération en matière de sécurité de l'information (art. 86) et à la Conférence des préposés à la sécurité de l'information (art. 85) ainsi qu’aux services assumant les tâches relatives à la sécurité de l'information au sein des IC. On renoncera donc à une obligation d’annoncer dans le cadre de l’ensemble des autorités. La communication de tels incidents est certes fortement recommandée, mais l’autonomie des autorités ne doit pas être entravée.

L’al. 3 dispose que les préposés à la sécurité de l'information doivent être indépendants dans leur statut et dans l’accomplissement de leurs tâches et ne peuvent être exposés à des conflits d’intérêts matériels. Dans la pratique, l’absence de séparation des fonctions génère des problèmes récurrents dans l’application des prescriptions de sécurité. Par exemple, la plupart des délégués à la sécurité informatique sont aujourd’hui encore subordonnés aux directions de l’informatique. Les responsables des TIC ont dès lors souvent d’autres priorités que la sécurité, et, en raison de l’urgence ou des coûts, on néglige régulièrement d’appliquer dans les projets les mesures de sécurité qui s’imposent. Les préposés à la sécurité de l'information ne devraient pas non plus être directement chargés de l’exploitation de moyens TIC ou diriger des projets qui ne concernent pas en priorité la sécurité, car ce sont justement ces cumuls de tâches qui génèrent régulièrement des conflits entre les exigences de l’exploitation et une évaluation aussi objective que possible du risque pour la sécurité.

Le rattachement exact de la fonction est laissé à l’appréciation des autorités ou des départements et de la Chancellerie fédérale. Les leçons tirées d’expériences pratiques montrent toutefois que l’efficacité des préposés à la sécurité de l'information est optimale s’ils sont relativement proches de la direction de l’autorité concernée, car ils sont alors au mieux à même d’obtenir une vue d’ensemble des processus d’affaires et d’évaluer les besoins. En outre, il serait souhaitable de placer les préposés à la sécurité de l'information de telle sorte qu’ils puissent assurer une coordination étroite avec les gestionnaires des risques, les conseillers à