Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

délègue ses compétences, le Conseil fédéral doit donc aussi s’assurer de prendre lui-même les décisions concernant les mesures globales les plus coûteuses.

L’al. 3 prévoit que les standards ne sont pas obligatoires pour les autres autorités concernées.

Art. 89

L’art. 1 dispose que si la loi s’applique aux cantons ou à leurs autorités et services (cf. art. 2, al. 2, let. f), ceux-ci doivent appliquer les mesures de sécurité requises conformément à la présente loi. Cependant, les services fédéraux n’obtiennent pas le droit d’édicter directement des directives: les cantons sont, en principe, eux-mêmes responsables de l’exécution au sein de leur domaine de compétences.

En vertu de l’al. 2, le Conseil fédéral doit régler dans la législation d’exécution la vérification de la mise en œuvre des mesures ainsi que l’exécution de CSP pour les employés cantonaux. En particulier, il devra déterminer comment la mise en œuvre des prescriptions par les cantons sera contrôlée, le cas échéant, par les autorités fédérales. Il va de soi qu’il prendra en considération le statut constitutionnel des cantons et, plus particulièrement, leur autonomie d’organisation.

L’al. 3 impose à chaque canton de désigner pour de tels cas un service en tant qu’interlocuteur des autorités et organisations concernées compétentes. Cela permet de garantir l’échange systématique d’informations et la mise en œuvre coordonnée des mesures au sens de la présente loi.

Art. 90

Les conventions internationales de droit public en matière de sécurité de l'information contiennent principalement des règles techniques relatives à la reconnaissance mutuelle de prescriptions et de processus nationaux (p. ex. à propos des CSP ou des PSE), des listes de concordance concernant le traitement des informations classifiées et des réglementations sur l’exécution de contrôles mutuels. De plus, des conventions peuvent se révéler nécessaires pour la protection des informations que d’autres Etats ou des organisations internationales mettent à la disposition de la Confédération; dans de tels cas, on peut être amené à déroger sur certains points à des prescriptions légales (p. ex. les conditions imposant une classification, autorisant l’accès ou le traitement d’informations classifiées ou régissant la délivrance de déclarations de sécurité). Le fournisseur des informations peut ainsi, le cas échéant, exiger des autorités fédérales destinataires un accord plus ou moins sévère sur le degré de protection de ses informations. Il conviendra donc d’inclure les réserves nécessaires dans les dispositions d’exécution et d’organisation attribuant les compétences de conclure des accords. Pour des raisons d’économie administrative, le Conseil fédéral sera habilité à conclure directement des conventions internationales sur la sécurité de l'information.

Un accroissement de la mise en réseau et de la collaboration à l’échelon international est nécessaire à la réduction des risques relatifs à la sécurité de l'information. La mise en œuvre de la SNPC requiert donc que l’échange d’expériences, de travaux de recherche et de développement, d’informations concernant des incidents, ainsi que d’activités liées à la formation et à des exercices soit renforcé (voir aussi le ch. 1.1.2.2). C’est pourquoi le Conseil fédéral doit aussi être autorisé à conclure des conventions de droit international public portant sur l’échange d’informations en matière de menaces, de points faibles et d’incidents liés notamment à des IC. Il s’agit principalement de questions subordonnées concernant l’organisation et la technique (p. ex. la collaboration avec d’autres GovCERT; cf. art. 81).

Art. 91

L’application effective ainsi que l’opportunité, l’efficacité et le caractère économique de toute loi doivent être évalués périodiquement. L’al. 1 prévoit que le Conseil fédéral répond de cette tâche. L’Assemblée fédérale doit désigner la commission chargée de traiter les rapports du Conseil fédéral (al. 2).

Art. 92

La nouvelle réglementation requiert l’adaptation d’autres lois fédérales.

Art. 93

Pour des raisons d’économie de procédure, les déclarations de sécurité relatives aux personnes et aux entreprises fondées sur le droit en vigueur resteront valables sous le nouveau droit jusqu’à leur échéance. Le Conseil fédéral doit définir les délais transitoires pour l’adaptation des prescriptions liées au traitement d’informations classifiées et à la sécurité de l'information lors de l'engagement de moyens TIC.