Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

L’al. 3 dispose que la procédure de contrôle est régie par les dispositions de la LSI concernant le CSP.

L’al. 4 suit la même réglementation que l’art. 25 LENu. La direction de Swissgrid ainsi que les régulateurs (OFEN et ElCom), en leur qualité d'instances de décision, doivent avoir accès aux données du contrôle.

2.11 Loi sur la Banque nationale

Art. 16, titre et al. 5

En raison de ses tâches de politique monétaire (voir aussi l’art. 1, al. 2, let. d), la Banque nationale est considérée comme une autorité concernée au sens de l’art. 2, al. 1, LSI. La modification de l’art. 16 LBN indique expressément que la LSI s’applique à la Banque nationale. Le titre de l’article sera adapté en conséquence.

3 Conséquences

3.1 Conséquences pour la Confédération

Les informations sont protégées parce qu’une atteinte à leur confidentialité, à leur disponibilité, à leur intégrité ou à leur traçabilité (cf. art. 4) peut violer les droits de tiers (p. ex. des données personnelles ou des secrets d’affaires et de fabrication), mettre en péril des intérêts publics d’importance (p. ex. la capacité d’action des autorités fédérales, la sécurité nationale, les relations internationales ou l’approvisionnement du pays) ou porter préjudice aux organisations concernées (p. ex. perte de productivité ou perturbations du service). La sécurité de l'information vise à réduire le plus efficacement et le plus avantageusement possible la probabilité et, le cas échéant, l’ampleur d’un tel dommage (notamment financier). Ses coûts doivent donc être mis en relation avec la réduction correspondante du risque.

La présente loi apportera une amélioration sensible et durable de la sécurité de l'information au sein de la Confédération. En premier lieu, elle règle la gestion de la sécurité de l'information et augmente son efficacité. En effet, une gestion optimale améliore souvent la sécurité de manière plus efficace, plus économique et plus durable que des investissements dans des mesures techniques. La pratique a également montré qu’une optimisation de la gestion de la sécurité de l'information peut même contribuer à réaliser des économies à moyen terme, en particulier si cette gestion se fonde sur une gestion efficace des risques. Le projet prévoit en outre plusieurs mesures organisationnelles qui apporteront non seulement une meilleure protection de l'information par rapport à la situation actuelle, mais conduiront également à des économies relatives si elles sont mises en œuvre de manière conséquente. L’augmentation des valeurs seuils relatives à la classification doit par exemple permettre de réduire le nombre d’informations classifiées et, par conséquent, les charges correspondantes (cf. ch. 1.2.3.4). S’agissant de contrôles de sécurité relatifs aux personnes (CSP), la valeur seuil pour l’exécution d’un CSP augmentera, tandis que le nombre d’activités pour lesquelles un CSP est nécessaire (et admis) diminuera. A l’avenir, le nombre de CSP effectués devrait donc baisser (cf. ch. 1.2.4). En outre, la standardisation proposée des exigences et des mesures de sécurité (cf. art. 88), l’amélioration de l’échange d’informations entre les autorités fédérales et le soutien apporté aux autorités fédérales par le service spécialisé de la Confédération en matière de sécurité de l'information (cf. art. 84 à 86) doivent notamment permettre d’éviter de se voir contraint de réinventer la roue dans le cadre de chaque projet. Enfin, la nouvelle réglementation facilitera la collaboration internationale dans le domaine de la sécurité (cf. ch. 4.2).

L’amélioration nécessaire de la sécurité de l'information au sein de la Confédération engendrera des coûts. Ceux-ci ne pourront toutefois être estimés correctement qu’après la procédure de consultation. Cela nécessite des variantes concernant l’organisation et l’allocation des ressources s’agissant des préposés à la sécurité de l'information et du service spécialisé de la Confédération en matière de sécurité de l'information, ainsi que des données plus précises quant au nombre de moyens TIC existants qui appartiendront à l’avenir à la catégorie de sécurité «protection très élevée». Dans son message, le Conseil fédéral exposera de façon transparente les conséquences du projet en matière de finances et de personnel.

Les coûts engendrés directement par la loi doivent être clairement distingués des coûts des différentes mesures pouvant être librement adoptées par les autorités fédérales compétentes dans le cadre de la mise en œuvre. En effet, la loi règle uniquement la gestion de la sécurité de l'information et ne fixe ni un niveau de sécurité à atteindre, ni des mesures détaillées – à quelques exceptions près (voir ci-après). Elle n’est donc pas directement applicable: les autorités fédérales doivent édicter leurs propres dispositions d’exécution pour leur domaine de compétences et disposent pour cela d’une marge de manœuvre quasi illimitée (cf. art. 87, al. 1) – hormis pour ce qui a trait à l’organisation. Dans ce cadre, elles doivent déterminer le niveau de sécurité qu’elles souhaitent atteindre (cf. art. 5, al. 3, let. a) et décider, au niveau de l’ordonnance, des directives ou même du projet, des exigences et des mesures requises pour y parvenir en matière d’organisation, de personnel, de technique et de constructions. Plus le niveau à atteindre est élevé, plus les coûts des mesures de