Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

réglées pour des projets de ce type et que des experts reconnus encadrent les projets sur le plan de la sécurité;

 élaborer ou fixer des exigences en termes de sécurité ainsi que des mesures standard en fonction de l’état d’avancée des connaissances et de la technologie (art. 88, al. 1 et 2): cette mesure est nécessaire pour une exécution aussi uniforme que possible, mais peut aussi permettre de réaliser des économies (voir plus haut).

Le Conseil fédéral réglera l’organisation du service spécialisé au niveau de l’ordonnance (art. 86, al. 3). Dans ce cadre, il décidera également quels organes existants seront regroupés et avec quels moyens le service spécialisé remplira ses tâches.

3.2 Conséquences pour les cantons et les communes

Les cantons ne sont concernés que dans la mesure où ils exercent des activités sensibles sur mandat direct de la Confédération et sous la surveillance de cette dernière (cf. art. 2, al. 2, let. f, et art. 89). Ils doivent alors appliquer les mesures de sécurité exigées par la présente loi et désigner un service qui servira d’interlocuteur aux autorités fédérales compétentes. Le Conseil fédéral devra régler par voie d’ordonnance l’exécution des CSP par des agents cantonaux ainsi que la vérification de la mise en œuvre des mesures par les cantons. Dans ce cadre, il prendra en considération l’autonomie des cantons. Les conséquences pour les cantons seront donc minimes.

3.3 Conséquences pour l’économie

La loi ne s’applique qu’indirectement aux tiers, plus précisément lorsque ces derniers doivent traiter des informations ou utiliser ou gérer des moyens TIC de la Confédération dans le cadre d’un contrat. Les entreprises qui soumissionnent pour des mandats civils de la Confédération comportant une activité sensible seront soumises à la procédure uniforme de sécurité relative aux entreprises introduite par la présente loi. Ce changement ne devrait occasionner qu’un faible accroissement de la charge administrative. A l’inverse, la compétitivité des entreprises suisses s’en trouvera renforcée, car la loi crée la base légale de la délivrance d’une déclaration de sécurité des autorités au bénéfice de particuliers qui soumissionnent pour des mandats classifiés d’autorités étrangères ou d’organisations internationales et ont besoin à ce titre d’une déclaration de sécurité (cf. art. 56 à 80). En outre, l’économie profitera de l’amélioration de la protection des secrets d’affaires et de fabrication qu’elle confie aux autorités fédérales.

3.4 Conséquences pour la société

La société est concernée de deux points de vue. D’une part, elle aura davantage confiance dans le traitement des informations par les autorités fédérales. Elle acquerra la certitude que la Confédération juge importantes et protège en conséquence les informations qui la concernent (notamment les données personnelles et les secrets d’affaires et de fabrication). D’autre part, les principes de classification des informations seront affichés de manière transparente, ce qui revêt une importance particulière s’agissant du principe de transparence, qui n’est nullement remis en question par la présente loi.

3.5 Rapports avec les stratégies nationales du Conseil fédéral

3.5.1 Stratégie pour une société de l’information en Suisse

Le présent projet est inscrit au catalogue des projets relatifs à la société de l’information 2011–2015 (situation en juin 2013) dans le champ d’action «Sécurité et confiance». La loi fournira des bases claires pour la mise en œuvre des exigences de sécurité dans les projets réalisés par la Confédération. A propos de la stratégie, cf. le ch. 1.2.1.1.

3.5.2 Stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC)

A propos de la SNPC, cf. le ch. 1.1.2.2; à propos des liens entre la SNPC et le projet, cf. le ch. 1.2.6; à propos du soutien aux opérateurs d’IC dans le domaine de la sécurité des informations, cf. les art. 81 à 83.

3.5.3 Stratégie nationale de protection des IC (stratégie PIC)

La stratégie PIC du 27 juin 2012 (FF 2012 7173) vise à renforcer la capacité de résistance de la Suisse au niveau des infrastructures critiques. Elle propose différentes mesures afin de consolider la protection intégrale dans deux domaines. L’autoprotection sera renforcée par l’élaboration et l’application de concepts de protection intégrale par les organes compétents. Cela permettra d’identifier et de limiter les risques spécifiques liés aux infrastructures critiques. Dans le domaine « transinfrastructures », la stratégie vise à améliorer la collaboration entre les acteurs (autorités, exploitants) des différents secteurs tout en diminuant la vulnérabilité de la société, de l’économie et des pouvoirs publics en cas de défaillance grave. A cette fin, on élabore-