Rapport explicatif

personnelle au numéro d’enregistrement de l’e-ID et à ce qu’il transmette ce numéro d’enregistrement et ces données au FI.

5. Le service d’identité transmet le numéro d’enregistrement de l’e-ID accompagné des

données attestées au FI.

6. Le FI attribue au requérant un moyen d’authentification (support de l’e-ID) qui permettra à

ce dernier de s’identifier sur Internet.

7. Le FI veille à l’attribution correcte du numéro d’enregistrement et du moyen

d’authentification de l’e-ID puis active cet e-ID afin que le titulaire puisse l’utiliser.

L’ensemble du processus ne devrait pas durer plus de quelques minutes. Les opérations techniques qui y sont liées sont définies au moyen de normes et de protocoles techniques.

1.2.5 Niveaux de garantie

Toutes les transactions ne requièrent pas le même niveau de garantie. Des exigences trop élevées en matière de sécurité peuvent être perçues comme gênantes en pratique, favoriser les actes de contournement et provoquer une augmentation des coûts, ce qui est problématique pour l’acceptation et la sécurité d’un système e-ID. C’est la raison pour laquelle des systèmes e-ID présentant trois niveaux de garantie sont reconnus. Ces niveaux sont déterminés par le processus d’établissement, la gestion du système et l’utilisation des e-ID ainsi que d’autres mesures de sécurité techniques ou organisationnelles.

La loi définit uniquement les catégories d’e-ID possibles, appelées ici « niveaux de garantie » (cf. art. 5 AP). Chaque niveau de garantie offre un degré de fiabilité différent. Le niveau de garantie requis pour les différents types d’applications est déterminé dans les réglementations spéciales ou par les exploitants d’un service utilisateur du secteur privé. Le niveau de garantie choisi pour un portail de cyberéducation peut ainsi être différent de celui requis pour le vote électronique ou des applications de cybersanté.

La dénomination et les caractéristiques des niveaux de garantie proposés ont été reprises du règlement eIDAS et des dispositions d’exécution s’y rapportant³. On distingue ainsi trois niveaux de garantie – faible, substantiel et élevé – présentant un degré de fiabilité divers concernant les données attribuées. En principe, un e-ID d’un niveau de garantie substantiel ou élevé peut toujours être utilisé pour des services utilisateurs requérant un niveau de garantie inférieur.

Les trois niveaux de garantie prévus pour les systèmes e-ID reconnus en Suisse satisfont aux mêmes exigences de sécurité que ceux définis par le règlement eIDAS de l’UE (art. 8 du règlement eIDAS et dispositions d’exécution s’y rapportant) et correspondent également aux niveaux de garantie définis par le NIST⁴ pour les applications de cyberadministration aux États-Unis. Ces niveaux de garantie constituent aujourd’hui une norme internationale. Pour atteindre leur but, ils se distingueront par des spécifications techniques, des normes et des procédures – y compris des contrôles techniques – qui leur seront propres. Ils doivent encore faire l’objet d’une réflexion plus approfondie.

Ce modèle permet, par exemple, d’enregistrer dans un premier temps à un niveau faible un