Rapport sur les résultats

Droit d’exécution de la loi sur la sécurité de l’information Rapport sur les résultats

3.1.1 Appréciation de la faisabilité et de l’intelligibilité

La consultation a révélé que les dispositions d’exécution de la LSI et de son application sont, en principe, intelligibles pour la majorité des cantons (AG, AI, AR, BL, BS, BE, GE, GL, GR, LU, NE, NW, OW, SG, SH, SO, SZ, TI, TG, UR, VD, VS, ZG et ZH). Quant aux effets, il reste encore quelques incertitudes. Ces incertitudes concernent non seulement le financement, mais aussi les degrés d’équivalence dans le domaine de la sécurité de l’information ainsi que les conditions et prescriptions minimales applicables, bien qu'encore en suspens. Pour certaines parties consultées (FR (SITel), JU et VD), la charge liée à la mise en œuvre est difficile à évaluer en raison de ces incertitudes.

Divers cantons prévoient leur propre législation sur la sécurité de l’information (AG, BE, FR) ou examinent dans quelle mesure et sous quelle forme les dispositions nécessaires et les bases existantes doivent ou peuvent être respectivement formulées ou adaptées (NW, SH, UR et ZH).

Pour BL, une incertitude surgit pour des communes et d’autres organisations quant à savoir comment des institutions ou entreprises de droit public installés dans les cantons sont aussi raccordés aux systèmes d’information de la Confédération. Le droit d’exécution avec état au 24 août 2022 n’établirait pas clairement qui doit veiller à ce que les mesures de sécurité soient respectées par ces organisations. Il pense qu'il est possible que les cantons ne le soient pas pour les communes. Pour lui, un concept établi dans le cadre proposé serait dès lors bien plus efficace si tous ceux qui veulent être raccordés aux moyens d’information de la Confédération devaient remplir les conditions fixées par cette dernière. Cette solution clarifierait et simplifierait beaucoup plus les choses, et les mesures de sécurité pourraient être efficacement mises en œuvre.

AR se demande si la Constitution fédérale oblige les cantons à assurer une sécurité générale de l’information – en dehors des exigences relatives à la sécurité des données qui doivent être respectées dans le cadre de la protection des données personnelles, de la personnalité et de la sphère privée. Parallèlement, il lui semble évident que la protection des données personnelles tirerait aussi profit d’un accroissement de la sécurité générale de l’information.

FR (SITel) propose d’uniformiser les exigences techniques hétérogènes de la Confédération lors de l’établissement des directives qui font encore défaut. Actuellement, la Confédération aurait par exemple trois « public key infrastructures » (PKI). Selon le canton FR, il lui serait difficile de savoir quelle sécurité garantir au juste si la Confédération impose des exigences ambiguës. Et d'ajouter que si l’Administration numérique suisse (ANS) devait n’avoir qu’une seule fonction, elle devrait servir d’organe fédérateur en rapport avec les systèmes d’information et, dès lors aussi, avec le domaine de la sécurité de l’information. FR souhaite que l’ANS s’implique davantage dans les matières qui touchent les cantons et leurs systèmes d’information. Sans organe fédérateur, le paysage informationnel du canton serait ingérable, d’autant plus pour les cantons ne disposant pas des mêmes budgets que la Confédération.

JU et VD souhaitent des dispositions d’ordonnance en rapport avec les effets et les attentes vis-àvis des cantons.

SG synchronise autant que possible les exigences de sécurité dans le canton avec celles de la Confédération sur la protection de base. Une harmonisation dans ce sens du SMSI cantonal est en cours. Une analyse d’impact montrerait quelles mesures concrètes doivent ensuite être appliquées dans des projets. Les droits d’accès doivent être attribués, dans le respect des directives de la Confédération, aux acteurs des offices qui en ont besoin pour remplir leur mandat légal.

Pour TI, l’obligation de soumettre le personnel des unités administratives et de la justice du canton ainsi que d’autres organes externes assumant des tâches selon la réglementation du droit fédéral à des CSP n’est pas claire. Selon lui, l’impossibilité de consulter la liste exhaustive des fonctions soumises à contrôle soulève des questions sur le plan de la mise en œuvre.