Rapport sur les résultats

[Geben Sie Text ein]

clés nécessaires à la poursuite des affaires; 2. ne protéger les données et processus mis en œuvre dans le travail quotidien que pour garantir qu’ils ne puissent être sans autre modifiés, effacés, utilisés abusivement ou «écrasés».

Art. 19 Procédure de sécurité

TG déplore ici l’absence du principe de la proportionnalité, d’où la nécessité de l’intégrer absolument – comme il a été dit précédemment – dans le cadre de l’art. 4 du projet de LSI.

Pour VD, la notion de procédure de sécurité devrait être plus explicite.

Insecor ne voit pas clairement ce que recouvre exactement le terme «Procédure de sécurité» ni pourquoi cette procédure ne devrait concerner que les «autorités» (et pas les «organisations»). Il convient dès lors de préciser que la procédure de sécurité doit inclure les dispositions des articles suivants (20 à 26).

It-rm est d’avis que chacun a une perception différente de la protection nécessaire et pertinente pour tel ou tel échelon de sécurité ou de classification. C’est pourquoi il est nécessaire de désigner un service centralisé, le service de coordination, qui soit autorisé à déterminer quelles mesures de sécurité au minimum il conviendra de mettre en œuvre dans le contexte du besoin de protection ou de la classification des informations. L’autorité pourra alors définir une procédure en vertu des dispositions de l’al. 1.

Aux termes des commentaires figurant dans le rapport explicatif à propos de l’art. 19, al. 1, seules les autorités concernées – mais pas les organisations concernées – déterminent une procédure de sécurité pour les moyens TIC. Pourtant, on ne saurait nier que les prescriptions figurant dans les art. 19 à 27 se réfèrent à plusieurs reprises aussi aux organisations concernées. Le Conseil des EPF se demande dès lors à quoi les organisations concernées sont concrètement tenues.

Art. 20 Analyse du besoin de protection et évaluation des risques

Privatim est d’avis qu’il convient de compléter à ce sujet les dispositions de l’art. 20, dans le sens où il y aura lieu de ne pas seulement analyser le besoin de protection et d’évaluer les risques en vue de l’engagement de nouvelles technologies mais de le faire également concernant ceux qui pourraient se produire lors de la mise en œuvre. En effet, de nouveaux système TI peuvent générer de nouveaux risques et vulnérabilités, les lacunes de systèmes existants pourront être comblées et il sera éventuellement possible d’institutionnaliser de nouvelles mesures et mécanismes de contrôle.

Selon l’art. 20, al. 2, en cas d’engagement de nouvelles technologies, ce ne sont pas seulement les organisations mais également les autorités concernées qui devront communiquer les résultats de leurs propres évaluations au service spécialisé de la Confédération en matière de sécurité de l’information. La BNS soutient expressément l’échange volontaire de connaissances issues des évaluations de risques. En revanche, elle rejette l’obligation d’informer instituée par l’al. 2 de l’art. 20, étant donné que, sur la base de la technologie engagée (par exemple des logiciels), on pourrait tout à fait arriver par déduction à connaître les activités spécifique que la BNS déploie pour mettre en œuvre des mesures de politique monétaire. Dans ces domaines, le but visé par cette obligation d’informer, à savoir l’échange de connaissances, ne peut pas non plus être atteint parce qu’aucune autre autorité ou organisation ne se situe dans le même champ d’activités et d’affaires que la BNS. En reformulant le libellé actuel de l’art. 20, al. 2, en disposition facultative, on pourrait tenir compte du souhait de la BNS.

Pour LB, l’engagement de «nouvelles technologies» (ce terme donne d’ailleurs quelque peu matière à interprétation: en effet, une nouvelle génération de moyens TIC proposée sur le marché, mais pas encore mise en œuvre par le service concerné, constitue-t-elle une nouvelle technologie?) dans le domaine de l’application est quasi quotidien du fait de l’évolution technique rapide des outils TIC. Pour des organisations privées, l’obligation d’informer le service spécialisé de la Confédération en matière de sécurité de l’information quant aux résultats de leurs évaluations est délicate à mettre en pratique, car les informations à fournir pourraient comporter des secrets d’affaires qui pourraient ainsi être dévoilés. Par principe, le