Rapport sur les résultats

[Geben Sie Text ein]

Même au vu des commentaires relatifs à l’art. 6, le Conseil des EPF ne voit pas très bien si les dispositions de l’art. 5 doivent effectivement aussi s’appliquer aux unités décentralisées de la Confédération. D’autant plus que de propres dispositions relatives à la gestion des risques s’appliqueraient au domaine des EPF.

Art. 6 Gestion des risques

TG et le PSS demandent de biffer l’adjectif «identifiés» à la dernière phrase de l’al. 2. Pour TG, selon la doctrine de la gestion des risques, les risques – tels qu’ils sont mentionnés dans le projet de loi – sont identifiés, évalués, appréciés et vérifiés. Mais, justement, l’al. 2 de l’article mentionné s’emmêle beaucoup trop fortement dans cette systématique de définitions. Autrement dit, il conviendrait à juste titre de ne pas seulement éviter les risques «identifiés» mais bel et bien tous les risques. Pour le PSS, les autorités et organisations responsables devraient veiller d’une manière générale à éviter les risques ou alors à faire en sorte que ces risques se réduisent «dans une proportion supportable» et ce bien sûr, tant en ce qui concerne les risques identifiés que tous les autres que l’on n’aura pas encore identifiés.

Du point de vue d’it-rm, l’expression «dans une proportion supportable», utilisée à l’al. 2 manque grandement de concrétisation et, de plus, contient une grande portion d’appréciation individuelle dans la mise en œuvre. Par ailleurs cette ambiguïté se situant dans un cadre technique suscite une insécurité du droit, pis, encore amener un manque d’homogénéité dans le dispositif de sécurité. It-rm propose dès lors d’ajouter par analogie le complément suivant: «Le service de coordination détermine des normes minimales pour les échelons respectifs de classification pour lesquels l’ampleur du dommage pourrait être considérée comme supportable en cas de violation ou de détournement de la sécurité de l’information.»

Art. 7 Exigences et mesures de sécurité

TG considère que l’al. 2 pourrait également être biffé, étant donné que le législateur dit à l’art. 88 du projet de LSI que le Conseil fédéral détermine les exigences et les mesures standard (lors de l’exécution) en fonction de l’état d’avancement de connaissances et de la technologie. Il en découle donc déjà des dispositions d’exécution mentionnées à la fin du projet d’acte législatif que les mesures de sécurités citées devront correspondre à l’état (reconnu) de l’avancement des connaissances et de la technologie.

Insecor trouve inhabituel de renvoyer d’abord à un article de loi qui ne se trouve qu’à la fin de l’acte législatif en question. Aussi l’organisation Insecor recommande-t-elle de prévoir une observation au sujet des exigences et mesures standard tout au début de la LSI déjà et d’y faire référence à l’art. 88.

Etant donné qu’aux termes du rapport explicatif, les autorités et les organisations qui ne sont pas subordonnées au Conseil fédéral n’ont pas d’obligation de se soumettre aux exigences standard en vertu de l’art. 88, le Conseil des EPF suggère de préciser éventuellement les dispositions de l’art. 7, al. 1, dans ce sens.

Art. 8 Collaboration avec les tiers

Privatim déplore ici l’absence du principe selon lequel c’est bel et bien l’autorité ou l’organisation qui doit répondre de la garantie de la sécurité de l’information lorsque qu’elle a recours à un tiers pour accomplir sa mission. Pour donner d’autant plus de poids à ce principe, l’art. 8 LSI devrait dès lors contenir un passage au sujet de la responsabilité que doit assumer l’autorité ou l’organisation concernée qui mandate un tiers.

D’après it-rm, un contrat passé avec un tiers ne justifie par principe pas de laisser accéder un tiers de l’extérieur à un secret professionnel ou de fonction. Or, la clause prévue ici permettrait justement, de par ces dispositions légales, de laisser la porte ouverte à des tiers pour accéder à des données sensibles du point de vue pénal. Il conviendra d’expliciter clairement ce point dans les commentaires afin que le Parlement puisse en prendre conscience. Si l’autorité concernée n’était pas propriétaire du secret mais qu’elle en était seulement la détentrice, il faudrait alors émettre de sérieux doute lorsque cette autorité aurait recours aux services de tiers. Pour pouvoir identifier précocement, le cas échéant, un conflit d’intérêt, il serait souhaitable de pouvoir informer le propriétaire du secret. It-rm estime d’ailleurs qu’en