Projet

«%ASFF_YYYY_ID» Sécurité de la Confédération

Art. 28 Attribution des catégories de sécurité «protection élevée» et

«protection très élevée»

(art. 17 LSI)

¹ La catégorie de sécurité «protection élevée» est attribuée à un moyen informatique lorsqu’une violation de la sécurité de l’information est susceptible de provoquer un préjudice considérable selon l’art. 19 ou un préjudice de 50 millions à 500 millions de francs.

² La catégorie de sécurité «protection très élevée» est attribuée à un moyen informatique lorsqu’une violation de la sécurité de l’information est susceptible de provoquer un préjudice considérable selon l’art. 20 ou un préjudice d’au moins 500 millions de francs.

Art. 29 Mesures de sécurité

(art. 6, al. 3, 18 et 85 LSI)

¹ Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à tous les services visés à l’art. 2, al. 1 à 3 qui concernent les exigences minimales auxquelles doivent répondre les catégories de sécurité visées à l’art. 17 LSI.

² Il tient compte des exigences concernant la sécurité des données sensibles au sens de la législation sur la protection des données et celle des autres informations que la Confédération doit protéger en vertu de ses obligations légales ou contractuelles.

³ L’efficacité des mesures de sécurité des moyens informatiques suivants doit être contrôlée au moins tous les cinq ans avant leur mise en exploitation, en cas de changements importants durant l’exploitation:

a. les moyens informatiques de la catégorie de sécurité «protection élevée» qui sont utilisés pour accomplir des tâches dépassant le cadre d’une autorité ou d’un département;

b. les moyens informatiques de la catégorie de sécurité «protection très élevée».

⁴ Les départements et la Chancellerie fédérale intègrent leurs moyens informatiques de la catégorie de sécurité «protection très élevée» dans leur gestion de la continuité.

Art. 30 Sécurité de l’exploitation

(art. 19 LSI)

¹ Les unités administratives veillent à ce que les responsabilités en matière de sécurité informatique soient définies au niveau opérationnel dans les accords de projets et les conventions de prestations conclus avec les fournisseurs internes de prestations.

² Les fournisseurs internes de prestations mettent à la disposition des unités administratives, de la Chancellerie fédérale, des départements et du service spécialisé de la Confédération pour la sécurité de l’information les informations dont ils ont besoin pour assurer la sécurité de l’information.