Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

la protection des données, les préposés à la sécurité (protection des objets) et, le cas échéant, les conseillers à la transparence.

Art. 85

A propos de la conférence, cf. le ch. 1.3.2.2.

L’al. 1 désigne les membres permanents de la conférence. En particulier, les départements et la Chancellerie fédérale doivent être représentés.

L’al. 2 décrit les tâches de la conférence, qui visent toutes une coordination efficace de l’exécution. Le nouveau service spécialisé de la Confédération en matière de sécurité de l'information (cf. art. 86) devra consulter et associer la conférence pour toutes les questions importantes en relation avec la sécurité de l'information. A cet égard, les conseils de la conférence au service spécialisé sur des questions liées à la stratégie en matière de sécurité de l'information revêtent une importance cruciale. La conférence doit également contribuer à l’identification des risques et des tendances ainsi qu’à la définition des mesures de prévention qui s’imposent. Ce n’est qu’ainsi que l’on trouvera des solutions efficaces et acceptables. Il semble tout aussi important de transformer la coordination avec le PFPDT en un mandat explicite (let. d). La conférence peut aussi associer des représentants des cantons et des experts indépendants afin de l’assister dans ses investigations et pour se forger une opinion.

L’al. 3 dispose que la conférence définit elle-même son organisation et ses processus d’affaires. Elle prend également les décisions relatives à sa direction.

Art. 86

A propos du service spécialisé de la Confédération en matière de sécurité de l'information, cf. le ch. 1.3.2.3.

L’al. 1 comporte un catalogue des tâches et des compétences transversales du futur service spécialisé.

 La let. a exige du service spécialisé qu’il conseille les autorités concernées et leurs préposés à la sécurité

de l'information. Ces derniers peuvent également solliciter un appui technique du service spécialisé, notamment dans l’analyse des incidents.

 La let. b prévoit que le service spécialisé doit pouvoir recommander des mesures de protection préven-

tives en cas de mise en péril de la sécurité de l'information.

 Aux termes de la let. c, les autorités concernées ou les services qu’elles mandatent peuvent charger le

service spécialisé de mener sur place certains contrôles et audits en matière de sécurité. Le service spécialisé n’est pas habilité à effectuer de tels audits de sa propre initiative. En ce qui concerne notamment les audits techniques de sécurité, il est nécessaire de posséder des connaissances approfondies dont toutes les autorités concernées ne devraient pas se doter: il est plus rentable de recourir à une équipe d’experts.

 La let. d dispose que les autorités et organisations concernées souhaitant recourir à de nouvelles technolo-

gies ont, conformément à l’art. 20, l’obligation d’effectuer une évaluation des risques. S’agissant de technologies particulièrement importantes ou qui peuvent avoir un large champ d’application, elles sont autorisées à mandater le service spécialisé afin qu’il prenne en charge cette analyse.

 La let. e autorise le service spécialisé à examiner, sur demande des autorités et organisations concernées,

l’adéquation de certains processus, moyens, installations, objets et prestations avec les aspects liés à la sécurité. En l’occurrence, il est question de la standardisation au niveau sécuritaire de processus, de moyens, d’installations, d’objets et de prestations. Dans le domaine de la sécurité technique de l'information, les fournisseurs de prestations TIC ont par exemple un intérêt à savoir si les solutions techniques qu’ils développent remplissent les exigences de la Confédération. Si tel est le cas, il est alors significativement plus facile pour eux de recourir à ces solutions dans le cadre d’autres projets ou moyens TIC. Cela s’applique aussi notamment à des coffres-forts ou à des services. Même si les exigences de sécurité sont remplies, la responsabilité reste toutefois assumée par l’autorité ou l’organisation qui engage de tels moyens. Cette compétence est aussi requise dans le contexte international: le service spécialisé devra assumer le rôle de national accreditation authority (cf. ch. 4.2), qui fait actuellement défaut mais est nécessaire dans le contexte international.

 La let. f dispose que le service spécialisé doit gérer et coordonner, sur demande des autorités concernées,

les aspects de sécurité de l'information dans le cadre de projets transversaux importants fortement liés à la sécurité de l'information.

 Les connaissances techniques adéquates devant être réunies au sein du futur service spécialisé, la let. g

prévoit que ce dernier sera l’interlocuteur pour la Confédération des services suisses, étrangers et internationaux en matière de sécurité de l'information. Il assumera également les rôles requis dans le cadre des