Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

relations entre autorités au niveau international (cf. ch. 4.2). D’autres autorités ou organisations continueront toutefois d’être autorisées à maintenir des contacts spécialisés dans ce domaine.

 La let. h dispose que le service spécialisé devra rendre des comptes annuellement au Conseil fédéral.

En vertu de l’al. 3, le Conseil fédéral doit régler l’organisation du service spécialisé dans sa législation d’exécution. A cet effet, il devra déterminer les tâches que le service spécialisé assume lui-même ou en collaboration avec d’autres services fédéraux. Dans ce cadre, le Conseil fédéral devra aussi apporter une réponse à la question de son rattachement.

Art. 87

L’al. 1 dispose que l’autonomie des autorités concernées n’est pas remise en question. Elles ne sont pas soumises aux dispositions d’exécution du Conseil fédéral. En contrepartie, elles doivent édicter elles-mêmes pour leurs domaines les dispositions portant exécution de la présente loi. La disposition précise aussi que le Conseil fédéral peut déléguer à la Chancellerie fédérale le pouvoir d’édicter des dispositions d’exécution en lien avec ses affaires (cf. également art. 15, al. 2, LOGA).

Grâce à la réglementation de l’al. 2 et à l’art. 70 LParl, l’Assemblée fédérale a toutes les dispositions nécessaires lui permettant, ainsi qu’aux Services du Parlement, d’appliquer directement la LSI et ses dispositions d’exécution.

L’al. 3 établit un droit de retrait (opting out): Les dispositions d’exécution du Conseil fédéral s’appliquent par analogie aux autorités concernées dans la mesure où ces dernières n'édictent pas de dispositions au sens de l’al. 1 pour leur domaine de compétence. Il va de soi que le Conseil fédéral sollicite l’avis des autres autorités avant d’édicter ses dispositions d’exécution. Le Conseil fédéral est seul responsable d’édicter les dispositions d’exécution nécessaires concernant les CSP et les PSE en vertu du fait que les services en question font partie de l’administration fédérale, dont l’organisation incombe au Conseil fédéral.

En vertu de l’al. 4, avant que des organisations de droit public ou privé selon l’art. 2, al. 2, let. e puissent être soumises à la présente loi, il est nécessaire d’évaluer si elles exercent des activités sensibles de la Confédération. Le Conseil fédéral doit procéder à cette évaluation pour les organisations en question et définir ensuite le champ d’application détaillé par voie d’ordonnance. Cela peut être réalisé dans les dispositions d’exécution de la législation spéciale ou dans celles de la présente loi. En cas de nécessité, le Conseil fédéral peut autoriser les organisations en question à appliquer uniquement une partie de la loi (p. ex. les dispositions concernant la classification, l'engagement des TIC ou les CSP).

Art. 88

L’al. 1 dispose que le Conseil fédéral doit fixer des exigences et des mesures standard en fonction de l’état d’avancée des connaissances et de la technologie afin d’atteindre le niveau de sécurité uniforme escompté. Il ne s’agit pas d’exigences et de mesures organisationnelles de base, mais d’exigences de nature subordonnée, par exemple:

 norme pour l’évaluation du besoin de protection des informations sous l’angle des quatre critères men-

tionnés à l’art. 4, al. 2;

 méthode standard pour l’évaluation des risques au sens de l’art. 6, al. 1;

 normes pour les mesures à prendre aux niveaux de l’organisation, du personnel, de la technique et des

constructions au sens de l’art. 6, al. 2;

 exigences standard pour des processus et des moyens particuliers destinés à protéger des informations

classifiées au sens des art. 12 à 18;

 exigences et mesures standard pour la protection de base, l’élaboration de concepts de sécurité de l'infor-

mation et la sécurité de moyens TIC des échelons «protection élevée» et «protection très élevée» au sens des art. 19 à 27; etc.

En vertu de l’al. 2, le Conseil fédéral peut, si nécessaire, déléguer l’élaboration et l’adoption des normes à des services subordonnés. Cela concerne en premier lieu le service spécialisé de la Confédération en matière de sécurité de l'information, mais aussi d’autres organes tels que fedpol dans le domaine de la protection des objets. Les fournisseurs de prestations TIC de la Confédération devraient aussi pouvoir élaborer des normes techniques de sécurité et, le cas échéant, en faire examiner l’adéquation pour la Confédération par le service spécialisé dans un souci de standardisation (cf. art. 86, al. 1, let. e). Une telle délégation par le Conseil fédéral ne doit toutefois pas être intégrale. Certaines mesures techniques peuvent avoir d’importantes conséquences financières qui ne devraient pas nécessairement être décidées par des services subordonnés. S’il