Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

sécurité seront importants. La loi elle-même n’exerce aucune influence sur ces coûts. Ils ne peuvent donc pas non plus être chiffrés lors de l’évaluation des conséquences de la loi en matière de finances et de personnel.

Toutes les autorités fédérales sont aujourd'hui déjà tenues de prendre des mesures afin de garantir la sécurité de l'information. Pour l’évaluation des coûts, sont donc déterminantes les dispositions de la loi qui fixent de nouvelles tâches ou modifient des tâches et des processus existants. Les cinq générateurs de coûts les plus importants sont énumérés ci-dessous.

1. Organisation, pilotage, mise en œuvre et contrôle de la sécurité de l'information (art. 5, al. 1, let. a): la

nouvelle organisation exigée par la loi engendrera une charge organisationnelle qui ne doit pas être sousestimée et nécessitera des ressources financières. Plus particulièrement lors des phases de conception et de mise en place, il conviendra d’acquérir des connaissances spécialisées dont les autorités fédérales sont aujourd’hui partiellement dépourvues. Les préposés à la sécurité de l'information répondront de la gestion et de l’exploitation d’une telle organisation interne. La loi prévoit deux préposés au minimum pour chaque autorité ainsi que pour les départements et la Chancellerie fédérale. Ces tâches devraient en majorité être accomplies au moyen des ressources en personnel existantes. Le besoin réel en matière de personnel variera néanmoins et dépendra de la taille de l’autorité ou de l’organisation (effectifs), de son domaine de tâches ainsi que du nombre et de la criticité des moyens TIC qu’elle engage.

2. Contrôles et audits renforcés (art. 11, al. 2, et p. ex. art. 24, al. 2): la ligne répond en principe de

l’exécution des contrôles, une tâche normale de conduite. Les préposés à la sécurité de l'information effectueront aussi eux-mêmes des contrôles et des audits sur mandat de leur autorité ou de leur organisation. La loi prévoit cependant deux nouveaux types de contrôles qui auront des conséquences en matière de finances ou de personnel: une vérification périodique par un service indépendant de l’efficacité des mesures prises (art. 11, al. 2) ainsi qu’une vérification technique de l’efficacité des moyens TIC les plus critiques (art. 24, al. 2). Les coûts ainsi engendrés dépendront de la fréquence de telles vérifications. Les données ci-dessous fournissent un ordre de grandeur.

 Audits externes (art. 11, al. 2): selon les données du CDF, l’expérience montre qu’environ 100 jourspersonnes sont nécessaires pour une petite vérification transversale, tandis qu’une grande vérification transversale requiert quelque 300 jours-personnes.

 Vérifications techniques de l’efficacité (art. 24, al. 2): selon les estimations brutes, la Confédération engage entre 50 et 70 systèmes TIC qui seront à l’avenir attribués à la nouvelle catégorie de sécurité «protection très élevée» et devront donc être soumis à une telle vérification. L’expérience montre que les coûts liés aux audits (coûts en personnel) représentent généralement entre 0,5 % et 2 % des coûts d’investissement totaux du système TIC devant faire l’objet d’un audit.

3. Contrôles de sécurité relatifs aux personnes (CSP; art. 32 à 55): l’un des objectifs de la présente loi est

d’harmoniser et de simplifier les CSP. Les adaptations proposées permettront à l’avenir d’effectuer moins de CSP et de réduire ainsi les coûts correspondants à moyen terme.

4. Procédures de sécurité relatives aux entreprises (PSE; art. 56 à 80): le DDPS utilise aujourd’hui deux

postes à plein temps pour l’exécution des PSE pour des mandats militaires classifiés. L’élargissement de ces procédures au domaine civil et aux autres autorités fédérales, tel que proposé par le Conseil fédéral, conduira à une augmentation du nombre d’entreprises prises en charge et, par conséquent, à des besoins supplémentaires sur le plan du personnel. Les entreprises qui soumissionnent pour des mandats d’autorités étrangères et ont besoin pour cela d’une déclaration de sécurité devront supporter les coûts de la PSE requise (art. 57, al. 3).

5. Service spécialisé de la Confédération en matière de sécurité de l'information (art. 86): la création de ce

nouveau service spécialisé entraînera des coûts de réorganisation. Ces derniers dépendront du rattachement administratif du service spécialisé ainsi que de l’ampleur du regroupement d’organes spécialisés existants. Bien que le service spécialisé doive majoritairement assumer ses tâches au moyen de ressources en personnel existantes de l’administration fédérale, un besoin supplémentaire en personnel sera présent. En effet, le service spécialisé agira au profit non seulement de l’administration fédérale, mais aussi des autres autorités fédérales. De plus, il devra assumer de nouvelles tâches, à savoir:

 mener des contrôles et des audits (art. 86, al. 1, let. c): voir ci-dessus «Contrôles et audits renforcés»;

 examiner l’adéquation de certains processus, moyens et prestations sous l’angle de la sécurité (art. 86, al. 1, let. e): cette nouvelle tâche est nécessaire pour la standardisation visée et la collaboration internationale;

 gérer et coordonner la sécurité de l'information dans le cadre de projets transversaux importants (art. 86, al. 1, let. f): cette nouvelle tâche permettra de garantir que les responsabilités sont clairement