Rapport sur les résultats

[Geben Sie Text ein]

secret professionnel devrait être explicitement garanti pour toutes les informations provenant d’organisations privées et qui ne sont de manière générale pas accessibles, mais qui devraient être communiquées aux autorités concernées ou au service spécialisé de la Confédération en matière de sécurité de l’information. LB suggère de modifier la LSI dans ce sens.

Art. 21 Catégories de sécurité des moyens TIC

De l’avis d’it-rm, il convient de compléter l’al. 2, let. a, en y ajoutant les notions de fiabilité, d’authenticité et d’anonymat (voir observations au sujet de l’art. 4, al. 2).

Pour le Conseil des EPF, le classement de moyens TIC par lesquels des données personnelles méritant d’être particulièrement protégées sont traitées reste flou. Les commentaires figurant en p. 44, 48 et 49 du rapport explicatif sont difficilement compréhensibles et ne fournissent pas d’indications claires. La déclaration figurant en p. 44 du rapport explicatif – selon laquelle «le traitement de données personnelles sensibles dans un système d’information implique la classification du concept de sécurité de l’information y relatif» – est surprenante. Concrètement, il conviendrait ainsi de protéger le concept, mais pas les données ellesmêmes, ce qui n’a pas de sens.

Selon l’appréciation du Conseil des EPF, cette disposition est très floue (que signifie exactement le terme «protection de base»?) et génère des incertitudes qui ne devraient pas simplement être réglée au niveau des dispositions d’exécution. Quelques institutions du domaine des EPF sont parties de l’idée qu’elles ne disposent ou ne disposeront pratiquement d’aucune information qui devrait être classifiée en tant que document interne, confidentiel ou secret au sens de la présente loi (selon l’art. 14 échelons de classification). Le rapport explicatif corrobore d’ailleurs cette appréciation et, par conséquent, ces institutions n’exploitent pas de moyen TIC des échelons de sécurité «protection élevée» ou «protection très élevée».

Art. 22 Exigences de sécurité pour la catégorie de sécurité «protection de base»

Insecor se demande qui détermine les exigences minimales. L’al. 1 est en contradiction avec le mandat légal de la LSI, qui doit fixer les exigences minimales applicables aux moyens TIC pour l’administration fédérale (cf. par ex. l’art. 17, al. 1, let. d, OIAF). Par ailleurs, il est dit à l’al. 2: «Tous les moyens TIC doivent répondre à ces exigences minimales». Qui contrôle que ces normes soient respectées et sur quelle base, respectivement quelles exigences? Tous ces points devraient encore être précisés.

Selon it-rm, l’al. 1 devrait être complété par la phrase suivante: «Il convient de respecter les normes minimales fixées par le service de coordination.» Des normes minimales relatives aux besoins de protection devront également être déterminées par le service de coordination.

Indépendamment de ses préoccupations au sujet des ingérences dans la souveraineté des cantons (art. 3 Cst) et de la subsidiarité (art. 5a et art. 43a Cst), LB propose, pour ce qui est du domaine de l’infrastructure TIC, que l’on confère au service spécialisé de la Confédération la compétence de définir des exigences uniformes pour toute la Suisse concernant les trois échelons de sécurité des moyens TIC, au moins par l’élaboration de normes, de directives, de recommandations, de listes de contrôle ou d’exigences minimales. L’art. 88 LSI en constituerait la base légale.

Art. 23 Concept de sécurité de l’information

SO est d’avis que les contenus minimaux des concepts de sécurité de l’information devraient être inscrits dans la loi ou tout au moins concrétisés dans les dispositions d’exécution de l’ordonnance.

Pour privatim, le texte de cet acte législatif laisse planer le flou sur ce que signifie concrètement un concept de sécurité de l’information, sur son contenu minimal et sur les effets d’un tel concept. Privatim suggère donc d’examiner si c’est dans la loi, dans l’ordonnance d’exécution de la LSI ou dans le message y relatif qu’il convient de spécifier ce qui doit comporter un concept de sécurité de l’information. Si l’on ne le fait pas, on ne pourra garantir une uniformité à l’échelon fédéral et le libellé de l’art. 23 LSI ne constituera alors que des mots creux.