Rapport explicatif

Rapport explicatif relatif à la loi sur la sécurité de l’information

ra des planifications pour la maîtrise de défaillances graves et pour l’aide subsidiaire apportée aux exploitants lors de tels événements. Le Conseil fédéral souhaite assister les exploitants d’IC dans leurs efforts de protection. Dans ce cadre, il convient également d’atteindre la plus grande capacité de résistance possible en matière de sécurité de l'information.

Plusieurs mesures de la stratégie PIC visent directement à améliorer la sécurité de l'information. C’est le cas notamment de la mesure 7, qui prévoit la création de bases légales formelles permettant de soumettre certaines catégories de personnel des exploitants d’IC à un contrôle de sécurité. En principe, l’exécution de contrôles de sécurité doit être prévue dans la législation spéciale au sens de la SNPC (cf. ch. 1.1.2.2 et art. 3, al. 3). Parallèlement au projet, il est également demandé la création d’une base dans la LApEl pour l’exécution de contrôle de fiabilité de certains employés de Swissgrid (cf. art. 26a LApEl). La LSI soutient donc aussi la mise en œuvre de la stratégie PIC.

4 Aspects juridiques

4.1 Constitutionnalité

En vertu de l’art. 42 Cst., le législateur fédéral doit disposer pour ses réglementations d’une base constitutionnelle (explicite ou implicite). Des bases constitutionnelles suffisantes fondent la législation proposée dans le domaine de la sécurité de l'information. Formellement, les réglementations proposées sont avant tout des dispositions d’organisation pour les autorités fédérales. Dans la Constitution, le droit de l’organisation de la Confédération ne figure certes pas sous une forme explicite au catalogue de la répartition des compétences entre la Confédération et les cantons, mais l’art. 164, al. 1, let. g, Cst., dans son énumération des compétences de l’Assemblée fédérale, inclut «l’organisation et […] la procédure des autorités fédérales» aux objets devant être réglés par une loi fédérale (voir p. ex. le préambule de la LParl). De plus, dans la législation d’organisation en vigueur, on renvoie également à l’art. 173, al. 2, Cst., qui attribue à l’Assemblée fédérale tous les objets qui relèvent de la compétence de la Confédération et qui ne ressortissent pas à une autre autorité fédérale (voir p. ex. le préambule [avec note de bas de page 1] de la LOGA, celui de la LTrans et celui de la LFRC).

Sur le fond, cette loi sert en premier lieu à garantir la sécurité du pays sur le plan national et vis-à-vis de l’extérieur, ainsi qu’à protéger la capacité de décision et d’action des autorités. A cet égard, les dispositions se fondent sur l’art. 54, al. 1 et 2, Cst. (relations avec l’étranger et maintien de la sécurité extérieure), ainsi que sur l’art. 57, al. 1, Cst., qui dispose que «la Confédération et les cantons pourvoient à la sécurité du pays et à la protection de la population dans les limites de leurs compétences respectives» (voir p. ex. le préambule de la LMSI).

En revanche, les dispositions concernant la PSE ne correspondent pas aux objectifs mentionnés dans la mesure où elles concernent les entreprises qui ont besoin d’une déclaration de sécurité pour soumissionner pour des mandats classifiés d’autorités étrangères ou d’organisations internationales. Cette réglementation est couverte par l’art. 101 Cst., qui forme la base de la sauvegarde des intérêts de l’économie suisse à l’étranger. Les dispositions relatives à la protection des IC peuvent se fonder aussi bien sur les bases de la sécurité intérieure et extérieure que sur les compétences de la Confédération en matière d’approvisionnement du pays (art. 102 Cst.). En ce qui concerne l’armée, on peut renvoyer à l’art. 60 Cst., qui dispose que l’organisation de l’armée relève de la compétence de la Confédération.

4.2 Compatibilité avec les obligations internationales de la Suisse

La Suisse a conclu avec divers Etats et organisations internationales des conventions de protection des informations ou des accords techniques de sécurité (security agreements ou security arrangements; cf. RS 0.514). Par ces traités, la Suisse s’engage à respecter certaines normes visant à protéger les informations classifiées. Outre la convention avec l’UE, la Suisse a également conclu des conventions de protection des informations avec l’OTAN (1997) dans le cadre de l’engagement «partenariat pour la paix» ainsi qu’avec l’ASE (2004). D’une part, ces conventions comportent des dispositions matérielles concernant par exemple des mécanismes de protection uniformes pour le traitement d’informations classifiées ou la reconnaissance mutuelle de certificats de sécurité. D’autre part, elles contiennent également des normes organisationnelles et structurelles et précisent notamment les organismes chargés de la mise en œuvre des mesures de sécurité (national security authority ou designated security authority). Des interlocuteurs nationaux chargés d’élaborer des normes homogènes en matière de TIC (national accreditation authority ou security accreditation authority) sont exigés notamment dans le domaine COMSEC. Le service spécialisé de la Confédération en matière de sécurité de l'information (art. 86) assumera ces tâches et en prendra la responsabilité dans le contexte international.