Rapport sur les résultats

[Geben Sie Text ein]

fédérale, les dispositions de la présente loi s’appliquent à titre complémentaire.», devrait être complété: «Les dispositions de la LPD s’appliquent pour le surplus.»

Pour Insecor, il n’est pas compréhensible que l’al. 2 ne se réfère qu’aux «informations». Selon insecor, la phrase devrait être formulée comme suit: «Lorsque les informations ainsi que les technologies d’information et de communication doivent être protégées en vertu d’autres lois fédérales, les dispositions de la présente loi s’appliquent à titre complémentaire.»

La notion – mise entre parenthèses à l’al. 3 – d’«infrastructures critiques» et la référence générale à la «législation spéciale» nécessitent, selon LB, une description plus concrète et plus précise parce que la loi devrait être aussi applicable aux infrastructures critiques des exploitants de droit privé.

Le projet de loi fédérale sur le renseignement (LRens) prévoit, à son art. 66, des exceptions au principe de transparence dans l’administration, concernant des documents relevant de la recherche d’informations en matière de renseignement. Le SRC part de l’idée que le principe énoncé par l’art. 3 LSI ne devrait en rien modifier la disposition de la LRens en la matière. Par ailleurs, le SRC ne comprend pas totalement pourquoi notamment les documents classifiés SECRET et dont la divulgation à des personnes non autorisées pourrait gravement nuire aux intérêts publics aux termes des dispositions de l’art. 1, al. 1, LSI devraient rester assujettis au principe de transparence dans l’administration.

Chapitre 2 Mesures générales de la sécurité de l’information Généralités

LB recommande que la LSI soit systématiquement examinée pour déceler si une exigence, prescription ou règle déterminée ne s’applique qu’aux «autorités concernées» ou se réfère aussi aux «organisations» (de droit privé), lorsqu’elles sont assujetties au champ d’application de la LSI en vertu de son art. 2, al. 2, let. e.

La FMH remet en question la distinction entre la classification d’informations et les échelons de classification de moyens TIC, d’un côté, et leurs champs d’application distincts, de l’autre: de fait, la protection des systèmes doit servir à la protection des informations au sein même des systèmes.

Art. 4 Sécurité de l’information

TG déplore l’absence du principe de la proportionnalité. Ainsi, il convient de compléter cette disposition dans le sens qu’une mesure est légitime jusqu’au moment où son but a été atteint ou qu’il soit constaté qu’il ne peut être atteint. En outre, une telle mesure ne doit pas être manifestement disproportionnée ni appliquée au détriment du but à atteindre. Il est vrai que, quelques articles plus loin (à l’art. 12 du projet LSI) il est dit que la classification doit «se limiter au minimum requis». Cependant, ce principe-là devrait s’appliquer à l’ensemble des dispositions relatives à la sécurité de l’information, d’où l’importance majeure d’intégrer clairement ce principe dans les dispositions générales. Selon TG, il conviendrait, en matière de sécurité de l’information, de s’assurer aussi que les documents proviennent du service idoine, c’est-à-dire que l’on puisse d’emblée en identifier la source. Mais à l’art. 4, al. 4, du projet LSI, on ne mentionne à cet égard que la «traçabilité» et il convient d’y ajouter le terme «authenticité». Cela permettrait de garantir que les informations sont bel et bien authentiques, ce qui, en matière de sécurité de l’information, constitue un aspect important.

Du point de vue du PSS, il manque à l’art. 4, al. 3, LSI la mention du principe de proportionnalité. Le PSS suggère dès lors d’apporter le complément suivant: «^3bisElles veillent à assurer la proportionnalité des mesures de protection prises. Ces mesures sont légitimes jusqu’au moment où leur but a été atteint ou qu’il soit constaté qu’il ne peut être atteint. En outre, une telle mesure ne pourra être manifestement disproportionnée et prononcée au détriment du but à atteindre.

Pour la FER il semble opportun de focaliser sur la classification des informations, et non pas sur «… une responsabilité évaluée en fonction d’une atteinte éventuelle aux intérêts au sens