Rapport sur les résultats

Droit d’exécution de la loi sur la sécurité de l’information Rapport sur les résultats

ZH s’attend à un surcoût estimé entre 10 000 et 50 000 francs pour chaque accréditation de sécurité des moyens informatiques et pour chaque contrôle régulier de la sécurité effectué au cours de leur cycle de vie. Concernant les autres coûts, il ne lui serait actuellement pas possible de fournir des estimations définitives.

3.2 Avis sur l’ordonnance sur la sécurité de l’information (OSI)

3.2.1 Remarques générales

L’uniformisation dans le cadre de la nouvelle OSI du SMSI pour toutes les unités administratives est saluée (UDC). La centralisation donne à l’UDC l’espoir de réaliser des économies et de garantir une utilisation et un entretien efficient. Il s’agirait donc d’introduire le plus rapidement possible le même SMSI dans tous les offices.

GE souligne la complexité et le caractère coûteux de la mise en œuvre de l’ordonnance.

3.2.2 Avis sur les articles de l’OSI

Art. 2 Champ d’application

Al. 6 – La consultation a révélé que, pour plusieurs cantons (AG, BL et ZH), l’équivalence de leurs propres lois avec la LSI est difficile à démontrer.

AG souhaite que soit présentée la façon dont les cantons pourraient se prévaloir contre un accès refusé par la Confédération, sans quoi la disposition d’exception (art. 3, al. 2, LSI) n’aurait pas de sens.

Art. 6 Gestion des bases juridiques et des engagements contractuels

NE n’arrive pas à savoir si les cantons doivent également consulter le service spécialisé de la Confédération pour la sécurité de l’information lorsqu’ils établissent leurs propres bases légales pour atteindre un niveau semblable de sécurité ou lorsqu’ils mettent en œuvre par exemple les recommandations techniques.

Art. 9 Autorisation et exceptions

Al. 2 – LU souhaite que soit précisé à qui le service spécialisé de la Confédération pour la sécurité de l’information et les départements peuvent déléguer l’octroi d’exceptions.

Al. 4, let. b – LU se demande si les unités administratives, les départements et le service spécialisé de la Confédération pour la sécurité de l’information sont, dans tous les cas, informés lorsque la possibilité d’autoriser des exceptions est déléguée, afin de pouvoir mentionner ces autorisations dans leur liste également. Pour garantir le flux d’information, il recommande l’établissement d’une obligation de communiquer et d’informer pour les services auxquels la possibilité d’autoriser des exceptions a été déléguée.

Art. 12 Gestion des incidents

Al. 7, let. a – LU souhaite que soient précisées les informations qui doivent être communiquées, sans quoi cela soulèverait des problèmes, surtout du point de vue du droit sur la protection des données.

Art. 16 Principes

L’article est intelligible pour AG. Cependant, il estime que les charges auxquelles l'article se réfère ne peuvent pas être estimées.

TG et ZH soulignent un manque de clarté en ce qui concerne la compétence et la procédure en cas de demande de consultation d’informations classifiées de la Confédération au canton. TG