Rapport sur les résultats

[Geben Sie Text ein]

de l’art. 1, al. 2». L’objectif étant de définir une stratégie préventive et non pas réagir ou surréagir sur évènement nécessitant d’adapter les processus existants, à postériori.

Insecor constate qu’à l’al. 3, figure soudain l’abréviation «moyens TIC» pour la notion de «technologies d’information et de communication». Etant donné que cette définition a déjà été utilisée à plusieurs reprises dans les articles précédents, il convient d’utiliser cette abréviation beaucoup plus tôt, au début du projet de loi et donc dès l’art. 1, al. 1 (cette remarque ne concerne toutefois que la version en allemand).

Pour it-rm, l’al. 2 de cet article devrait être complété par une lettre supplémentaire, à savoir la let. e «doivent être fiables».Cette fiabilité implique aussi l’exactitude du contenu, c’est-àdire la saisie correcte et intégrale de l’information ainsi que son traitement. Pour it-rm, la fiabilité des informations est cruciale. Le citoyen doit pouvoir être sûr de l’exactitude des indications figurant dans les registres (protection de la bonne foi). Si les informations figurant dans les registres étaient erronées, il y aurait des réclamations en masse qui pourraient aboutir à des procédures litigieuses. Pour it-rm, il y aurait encore lieu d’ajouter une autre lettre à l’al. 2, à savoir une let. f avec le libellé suivant: «f. doivent être authentiques ou anonymes». Les données et les informations sont authentiques lorsqu’elles peuvent être attribuées à une personne ou à une machine. Si tel n’était pas le cas, on serait confronté à un problème de sécurité, du fait que l’on ne saurait pas qui a eu accès à ces informations et les a envoyées. Pour établir la légitimité d’une demande en ligne de données et d’informations confidentielles, il faut d’abord avoir la preuve de qui assume la responsabilité d’une telle demande. Cela implique une vérification de l’authenticité de la demande. Quant à l’anonymat, il engendre le contraire de l’authenticité, à savoir que l’information ne peut être attribuée à quelqu’un de précis. Par exemple, la protection de l’anonymat est exigée pour le secret d’un scrutin. En l’occurrence, c’est le vote qui doit être protégé, de sorte qu’il ne pourra être attribué à aucune personne physique.

Art. 5 Responsabilité de conduite des autorités

Insecor ne voit pas pourquoi à l’al. 1, seules les «autorités concernées» devraient avoir la responsabilité «suprême» et que cette responsabilité-là ne pourrait pas aussi incomber aux «organisations concernées» (c’est-à-dire, par exemple, «l’administration fédérale»). Déjà rien qu’en se fondant sur les responsabilités mentionnées dans la loi sur l’organisation du gouvernement et de l’administration (LOGA; SR 172.010), il ne pouvait pas être question que l’administration fédérale ne considère pas non plus la sécurité comme étant «l’affaire de chef» (cf. à ce propos le rapport explicatif concernant l’art. 5, p. 40). Et en p. 41 au sujet de l’al. 4: «Les autorités concernées doivent veiller à informer régulièrement, et en fonction des niveaux de responsabilité, les cadres et le personnel à propos des affaires en lien avec la sécurité de l’information. […] Les cadres et le personnel doivent donc aussi être instruits en conséquence.» Autrement dit, une simple information concernant la sécurité de l’information n’a jamais encore amené au but.

It-rm estime que d’après l’état d’avancement des connaissances et de la technologie dans le domaine de la technologie de l’information, le contrôle de la technologie de l’information exigé par l’al. 1, let. a, n’est pas réalisable, car il serait alors sans fin. Il importerait bien plus pour ce contrôle que le service de coordination assume la responsabilité de l’élaboration et de la mise à jour d’une norme minimale en la matière. Les autorités pourraient ainsi faire le contrôle requis en fonction de ces consignes. Sinon, on risque que l’ampleur de ce contrôle soit définie individuellement d’une autorité à l’autre, ce qui ne manquerait pas de se traduire par un total manque d’homogénéité dans les mesures de sécurité et de leur mise en œuvre. It-rm propose donc d’ajouter un renvoi à l’art. 88 LSI et là de compléter cette disposition en ajoutant l’aspect du contrôle et d’autoriser le service de coordination d’édicter des directives précisant quelles étapes de contrôle doivent être effectuées en fonction du besoin de protection.

LB propose que l’art. 5, tout comme l’art. 6, se réfèrent aux autorités et organisations concernées. En effet, c’est précisément dans l’économie privée qu’il serait souhaitable de pouvoir se fonder sur un principe du contenu aux termes duquel la garantie de la sécurité de l’information appartient sans conteste à la responsabilité de l’organe de conduite suprême.