Rapport sur les résultats

[Geben Sie Text ein]

La BNS salue expressément le fait que les autorités soient libres d’édicter leurs propres dispositions d’exécution aux termes de l’art. 87 du projet de LSI. Toutefois, le rapport explicatif (en p. 17) mentionne que «l’exécution en toute autonomie présente un inconvénient: toutes les exigences minimales de la sécurité de l’information devant être satisfaites par toutes les autorités de la Confédération doivent nécessairement figurer dans la loi: dès lors, le projet comporte de nombreuses dispositions qui, si l’on se tenait à la hiérarchie normative, relèveraient davantage du niveau de l’ordonnance». La BNS comprend tout à fait les efforts que déploie le législateur dans le projet de loi en vue de régler également certaines exigences sur le plan de l’organisation des autorités concernées qui sont indépendantes au niveau constitutionnel. Mais, précisément, le fait de tenir compte du fait que les dispositions d’exécution du Conseil fédéral s’appliquent par analogie aux autorités concernées – dans la mesure où ces dernières n’édictent pas de dispositions au sens de l’art. 87 – et qu’il entraîne ainsi un retrait d’autonomie de ces autorités mérite d’émettre une certaine réserve. En effet, sur le plan pratique, le projet ancre sur le plan de la loi des éléments devant se situer à l’échelon de l’ordonnance, ce qui porte atteinte à l’autonomie en matière d’exécution.

Le TF fait observer que cet article a une portée considérable pour le TF et qu’il ne doit pas être modifié à son détriment.

Insecor estime que le fait que chaque autorité fédérale puisse édicter ses propres dispositions d’exécution n’est pas vraiment pertinent quant à l’objectif visé. En effet, c’est justement dans les ordonnances que l’on trouve des précisions importantes au sujet du texte légal, précisions qui, dans le domaine de la sécurité de l’information, ne doivent pas à nouveau être dispersées dans divers actes législatifs. En fin de compte, il existe encore et toujours la possibilité d’édicter des ordonnances départementales ou des directives prenant en compte les besoins spécifiques d’une unité administrative.

Pour le Conseil des EPF, il s’agira d’examiner de quelles parties de la loi les institutions du domaine des EPF et le Conseil des EPF pourraient être exclus; le Conseil des EPF demande que, tout au moins, le chapitre concernant le contrôle de sécurité relatif aux entreprises ne soit applicable ni aux institutions du domaine des EPF ni au Conseil des EPF (voir à ce sujet en particulier la prise de position relative aux art. 65 et suivants).

Art. 88 Exigences et mesures standard

BE demande de compléter l’art. 88 par un nouvel al. 4 avec la teneur suivante: «⁴ Le Conseil fédéral règle, par voie d’ordonnance, quelles autorités concernées sont compétentes, individuellement ou collectivement, pour établir des déclarations obligatoires au sujet des exigences et mesures standard ayant trait à des activités ou à des systèmes exécutés ou utilisés en commun par plusieurs autorités. Dans la mesure où des autorités cantonales concernées sont touchées par cette disposition, il est nécessaire de demander leur consentement.» Dans divers domaines, les autorités fédérales et cantonales collaborent étroitement ou les autorités cantonales exécutent des mandats qui leur sont conférés par la Confédération, par exemple, dans le domaine de la police. Par ailleurs, des fichiers ou des systèmes TIC (par exemple des réseaux) de diverses autorités doivent fréquemment être reliés pour que les autorités puissent accomplir les tâches qui leur sont dévolues. Dans ces cas-là, BE estime qu’il n’est pas judicieux que les autorités partenaires adoptent des niveaux de sécurité différents. De ce fait, une autorité compétente unique désignée par le Conseil fédéral devrait déterminer le niveau de sécurité de l’information pour l’ensemble de l’activité à accomplir. Toutefois, pour éviter qu’une autorité fédérale détermine de manière unilatérale des mesures qui se traduiraient par un surcroît élevé de frais pour les cantons, il conviendra de toujours s’assurer du consentement des autorités cantonales éventuellement concernées.

De l’avis du PDC, il importe que le Conseil fédéral définisse des exigences de sécurité standardisées ainsi que des mesures en matière d’organisation, de personnel, de techniques et de construction également standardisées en matière de sécurité de l’information. Ces exigences et mesures devraient tenir compte des acquis de l’enseignement et de la technique et constituer des recommandations pour les autorités concernées.

Privatim recommande d’examiner d’urgence dans quelle mesure les exigences et mesures standard doivent être déclarées obligatoires pour toutes les autorités et organisations sou-