Rapport sur les résultats

[Geben Sie Text ein]

meut dans un domaine si fortement interconnecté qu’une procédure législative fortement sectorielle ou fédéraliste atteindrait rapidement ses limites.

Privatim estime en principe pertinent que les autorités et services cantonaux exerçant des activités sensibles sur mandat de la Confédération et sous sa surveillance tombent dans le champ d’application de la LSI en vertu des dispositions de l’art. 2, al. 2, let. f, LSI. Il n’y a qu’ainsi que l’on peut garantir de manière constante la sécurité de l’information dans l’ensemble du domaine de responsabilité de la Confédération. Mais il en découlerait alors pour les cantons la nécessité pratique d’adapter leurs propres règles en matière de sécurité de l’information aux dispositions de la LSI. Il ne serait en effet pas réalisable d’appliquer, dans une administration, deux, voire davantage de régimes de sécurité différents. Cela étant, on déclenche à l’échelon cantonal (et éventuellement à l’échelon communal) une nécessité d’agir, parce que la LSI prévoit des mesures (notamment des contrôles de sécurité relatifs aux personnes et des procédures de sécurité relative aux entreprises) qui, au niveau cantonal (et éventuellement au niveau communal) sont probablement encore loin d’être réglementées ou ne le sont pas suffisamment. C’est pourquoi les cantons devraient pouvoir bénéficier des prestations des services spécialisés de la Confédération en la matière. Dans la mesure où la LSI astreint directement les services cantonaux, les prestations (par ex. exécution de CSP) devraient être financées par la Confédération. C’est pourquoi privatim demande que l’art. 89 LSI soit pourvu d’une réglementation complémentaire prévoyant que les autorités et services cantonaux puissent solliciter les prestations des services spécialisés de la Confédération prévues dans les dispositions de la LSI. Au cas où d’autres services prévus à l’art. 2, al. 2, let. f, LSI sollicitaient ce genre de prestations (donc lorsque le canton introduit une CSP pour d’autres membres du personnel du canton encore), la Confédération devrait percevoir un émolument couvrant ses frais. Si cette proposition n’était pas mise en œuvre, il faudrait préférer la loi fédérale sur la protection des données (LPD) à la réglementation proposée par l’art. 2, al. 2, let. f, LSI (propre responsabilité des cantons, pour autant qu’ils assurent un traitement de données personnelles à un niveau de protection adéquat art. 37, al. 1, LPD).

La CSI demande de rayer la let. f, au cas où sa proposition relative à l’art. 89 ne peut être mise en œuvre (voir remarques de la CSI à propos de l’art. 89).

Insecor suggère d’intituler cet article «champ d’application». Définir les autorités fédérales concernées dans un article évoquant aussi des «activités sensibles» engendre davantage de confusion que de clarté. Insecor recommande donc de scinder ces deux thèmes différents (cf. les remarques faites à propos des «définitions»). Insecor suggère donc instamment de préciser le passage consacré au champ d’application concret dans le rapport explicatif (chapitre 1.2.2.1) ainsi que dans l’acte législatif proprement dit, de manière à ce que la considération globale des risques (sécurité intégrale) prenne de l’importance. Bien qu’il soit difficile de distinguer la thématique de la «sécurité des TIC» de celle de la «cybersécurité», il convient tout de même de procéder à cette séparation.

Pour it-rm, il n’est pas suffisant, pour des réflexions en matière de sécurité, que seules des autorités cantonales exerçant des activités sensibles du point de vue de la sécurité sur mandat de la Confédération et sous sa surveillance soient assujetties à cette loi. Devraient y être assujetties toutes les autorités cantonales qui, dans leur fonction, ont accès à des informations sensibles du point de vue de la sécurité de la Confédération, en transmettent à cette dernière ou doivent en traiter. Si ce n’était pas le cas, les services cantonaux appliqueraient moins de mesures de sécurité ou des mesures plus efficientes, ce qui aboutirait à ce que l’information soit davantage ou moins protégée. La notion de mandat suggère un rapport de subordination. Or, il se pourrait aussi que des informations sensibles, nécessaires à des tâches qui relèvent clairement de la souveraineté des cantons, soient transférées de la Confédération aux cantons (et vice-versa). Il conviendrait également de compléter cette disposition dans le sens que les organisations et les institutions qui exploitent des infrastructures critiques (art. 81 ss) tombent dans le champ d’application de la loi. De l’avis d’it-rm, la liste figurant à l’al. 3 n’est pas exhaustive. Il convient dès lors d’y ajouter «notamment» ou «entre autres».

Les «organisations de droit privé» accomplissant des activités sensibles du point de vue de la sécurité devraient également être assujetties à la LSI. Le Conseil fédéral déterminera