Rapport sur les résultats

Droit d’exécution de la loi sur la sécurité de l’information Rapport sur les résultats

VS appliquerait une politique de la sécurité de l’information et des directives-cadres qui fixeraient les objectifs, les principes généraux et l’organisation de la sécurité de l’information, lesquels s’appliqueraient à toutes les autorités cantonales. Les communes et les institutions cantonales ne seraient par contre pas concernées par les lignes directrices en vigueur. Toutefois, tous les accès à la Confédération par le truchement des cantons seraient gérés et sécurisés par l’administration cantonale. Le canton propose aux communes qui le désirent un soutien subsidiaire dans le domaine de la cybersécurité et offrira, dès 2023, la solution de sensibilisation eCyAd mise au point par la Confédération dans le cadre de la deuxième stratégie de protection de la Suisse contre les cyberrisques.

Pour ZG, les exigences sont compréhensibles, mais n’établissent pas suffisamment les obligations des cantons. De plus, il estime que l’approche fédéraliste suivie, selon laquelle les directives fédérales ne sont applicables que si les réglementations cantonales ne suffisent pas à répondre aux exigences de sécurité de la Confédération, complique le tout.

ZG déclare que la responsabilité principale vis-à-vis de la sécurité lors du traitement d’informations classifiées de la Confédération incombe aux organes cantonaux qui traitent ces données ou ont accès aux moyens informatiques de la Confédération (notamment : office des affaires militaires et de la protection civile, organisation d’urgence, police zougoise, association pour des mesures concernant le marché du travail). Ces organes auraient défini les processus, compétences et mesures nécessaires permettant de garantir le niveau de sécurité exigé par la Confédération. À ce propos, les prescriptions de la Confédération ont été appliquées uniquement lorsque celles des cantons et leurs mesures étaient insuffisantes au regard des exigences de sécurité de la Confédération. Le personnel des organes est responsable du respect des directives lors de la manipulation des informations classifiées et des moyens informatiques. Le bon comportement envers de telles informations et de tels moyens exige que les autorités fédérales établissent des directives à l’intention de ces organes.

3.1.2 Évaluation des conséquences financières

La consultation a très largement montré les conséquences financières de la mise en œuvre de la LSI.

Pour AG, AI, BL, BS, GL et VS, la mise en œuvre de la LSI n’implique ni changement conséquent ni surcroît de coûts. BL attend seulement un surcoût limité dans le domaine de la conformité et un gel temporaire des ressources en personnel. VS accorde une attention particulière à d’éventuelles modifications en lien avec des fonctions exigeant un CSP.

Plusieurs cantons (AR, FR [SITel], GE, JU, SG, SH, SZ, TG, UR et ZG) n’ont pas pu évaluer correctement les conséquences financières lors de la consultation.

NE estime les coûts entre 500 000 et 3 millions de francs pour la mise en œuvre d’un SMSI et le renforcement de la sécurité. Des adaptations techniques supplémentaires pourraient se chiffrer à plusieurs millions.

NW estime les surcoûts annuels à quelque 100 000 francs.

OW estime les coûts annuels à 50 000 francs.

SZ établit à 425 pour cent supplémentaire de postes et s’attend à des investissements dans le SMSI et les systèmes de sécurité qui auraient aussi à voir indirectement avec la mise en œuvre des ordonnances. Les charges financières supplémentaires en lien avec la nouvelle LSI sont estimées, pour la première année, à un montant global de 300 000 francs pour le personnel et les investissements.

TI et ZG s’attendent, en plus des coûts de personnel comme ceux consacrés aux formations et aux CSP, à des coûts liés à la concrétisation des mesures de sécurité techniques.