Rapport explicatif

possible dans le processus d’acquisition. Cela permet d’identifier et de réduire de bonne heure les risques liés à l’acquisition.

3.7 Coordination des tâches et des finances

La LSI et ses ordonnances d’exécution créent les bases d’une amélioration durable de la sécurité de l’information de l’administration fédérale et de l’armée. L’accent est mis sur les informations et les moyens informatiques les plus critiques. L’introduction du SMSI est essentielle : il relie, pilote et supervise l’ensemble des mesures et des processus de la nouvelle législation. Une gestion efficiente de la sécurité de l’information favorise une sécurité plus efficace, économique et durable que ne le feraient de simples investissements dans des mesures techniques.

Le niveau d’ambition a été défini tant pour le SMSI que pour les autres mesures en ménageant les ressources. La LSI et ses ordonnances auront globalement peu de répercussions sur le personnel et sur les finances. C’est aux unités administratives et aux départements de décider s’ils veulent appliquer ou non une sécurité de l’information plus élevée à leur propre domaine de compétence et débloquer les ressources correspondantes.

3.8 Mise en œuvre

L’entrée en vigueur de la LSI et de ses ordonnances est prévue pour l’été 2023. Les délais sont suffisants pour assurer la transition vers le nouveau droit, tant pour la LSI (art. 90) que pour ses ordonnances d’exécution (art. 48 OSI, 38 OCSP et 25 OPSE).

D’autres prescriptions devront être élaborées ou actualisées avant l’entrée en vigueur de la LSI et de ses ordonnances, notamment :

 des consignes sur la gestion de la sécurité de l’information au sein de la Confédération

(art. 15 OSI) ;

 les catalogues de classification (art. 17, al. 2 et 3, OSI) ;

 des consignes sur la protection des informations classifiées (art. 21, al. 1, OSI) ;

 des consignes sur l’accréditation de sécurité des moyens informatiques (art. 23, al. 6, OSI) ;

 des consignes sur les exigences minimales auxquelles doivent répondre les catégories de

sécurité informatique (art. 29, al 1, OSI) ;

 des consignes sur la protection physique et les zones de sécurité (art. 34 et 35 OSI) ;

 les listes de fonctions pour les contrôles de sécurité relatifs aux personnes (art. 2 OCSP).

Outre l’émission de dispositions légales et techniques, trois autres conditions doivent être remplies :

 Mettre en place et en service le service spécialisé de la Confédération pour la sécurité de

l’information (art. 83 LSI). Celui-ci reprendra des tâches et ressources du domaine de

compétences actuels du Secrétariat général du DDPS (Digitalisation et cybersécurité DDPS, DCS) et du Secrétariat général du DFF (Centre national pour la cybersécurité, NCSC). Le 18 mai 2022, le Conseil fédéral a décidé de faire du NCSC un office fédéral à part entière. Il a chargé le DFF de lui présenter, d'ici à la fin de l'année 2022, des propositions concernant l'organisation du futur office et son rattachement à l'un des départements. En parallèle,

diverses questions concernant les structures de politique de sécurité de la Confédération, y compris les structures dans le domaine cyber, sont en cours d’examen. Le résultat de ces travaux en cours est déterminant pour le rattachement administratif et les ressources du

service spécialisé de la Confédération pour la sécurité de l’information. Le Conseil fédéral décidera du rattachement administratif du service spécialisé après la procédure de

consultation.

 Former les préposés à la sécurité de l’information et d’autres chargés de fonction.

 Adapter ou introduire plusieurs systèmes d’information ; cela concerne notamment SICSP, le

système d’information du CSP, ainsi que ses systèmes environnants, de même que SIPSE, le futur système d’information de la PSE ; pour l’exploitation efficiente du SMSI par les offices, l’administration fédérale travaille sur l’acquisition et l’introduction d’une application SMSI standardisée pour numériser les tâches et processus de l’OSI ; cette application devrait être prête fin 2024 pour son introduction et utilisation par les offices et les départements.

Les travaux de mise en œuvre sont coordonnés avec les autres autorités fédérales et avec les cantons. Le Conseil fédéral décidera au besoin d’une entrée en vigueur échelonnée de la LSI et de ses ordonnances.