Rapport explicatif

4 Commentaire des dispositions

4.1 Ordonnance sur la sécurité de l’information (OSI)

Préambule

Le préambule renvoie à toutes les normes légales qui attribuent au Conseil fédéral une compétence de légiférer dans le cadre de l’OSI.

Section 1 Dispositions générales Art. 1 Objet

La notion de sécurité de l’information s’applique à la sécurité de toutes les informations, y compris des données personnelles visées par la législation sur la protection des données, dont sont responsables l’administration fédérale et l’armée. L’OSI règle les tâches, responsabilités et compétences ainsi que les procédures garantissant la sécurité de l’information dans l’administration fédérale et l’armée qui sont nécessaires dans le cadre de la gestion de la sécurité de l’information, de la protection des informations classifiées, de la sécurité informatique et des mesures de protection personnelle et physique. Comme dans la LSI même (message LSI, commentaire de l’art. 1), la notion d’information n’est pas définie par l’OSI. Celle de données personnelles fait référence à celles visées dans la législation sur la protection des données.

Le rapport entre la LSI et la loi du 19 juin 1992 sur la protection des données (LPD)¹⁷ est détaillé dans le message LSI¹⁸. Les organes de sécurité selon les art. 36 ss OSI assureront, dans le cadre du SMSI, la coordination avec les conseillers en protection des données compétents.

Art. 2 Champ d’application

Al. 1 à 5 – Une liste positive détaille les autorités et organisations tenues d’appliquer cette ordonnance (message LSI, commentaire de l’art. 2 LSI) et sous quelles conditions.

Concernant le champ d’application de la LSI et de l’OSI pour les unités administratives de l’administration fédérale décentralisée au sens de l’art. 7a OLOGA ainsi que pour les organisations au sens de l’art. 2, al. 4, LOGA qui sont chargées de tâches administratives, mais qui n’appartiennent pas à l’administration fédérale : cf. ch. 3.3, let. b.

Pour les autorités concernées au sens de l’art. 2, al. 1, let. a et c à e, LSI (Assemblée fédérale, tribunaux de la Confédération, Ministère public de la Confédération et son autorité de surveillance ainsi que la Banque nationale suisse), l’OSI s’applique par analogie si elles n’édictent pas leurs propres dispositions d’exécution. Si c’est le cas et qu’elles en font usage, elles sont affranchies de l’OSI (mais pas de la LSI).

Al. 6 – Les dispositions de la section 4 de cette ordonnance s’appliquent aux cantons qui traitent des informations classifiées de la Confédération. Si ceux-ci accèdent aux moyens informatiques de la Confédération, ils sont soumis aux dispositions sur les catégories de sécurité (art. 28), les mesures de sécurité (art. 29), la sécurité de l’exploitation (art. 30) et les mesures physiques de protection (art. 34). Toutefois, les cantons peuvent s’affranchir des dispositions légales s’ils garantissent une sécurité équivalente de l’information. Cela suppose qu’ils édictent leurs propres prescriptions de sécurité en se fondant sur les normes fédérales et les fassent appliquer dans leur domaine de compétence. Les normes fédérales déterminantes sont les prescriptions et exigences techniques pour la protection de base de l’informatique au sein de la Confédération et pour la protection des informations classifiées. Les cantons ne sont pas tenus de mettre en œuvre un système de management de la sécurité de l’information (SMSI) au sens des art. 5 ss.

Il y a sécurité équivalente de l’information lorsque des mesures de sécurité autres que celles prévues dans l’OSI déploient un effet comparable et au moins aussi élevé et performant en fonction de l’avancement de la technologie selon l’art. 85, al. 1, LSI. Les cantons évaluent en premier lieu, selon leur propre appréciation, si la sécurité de l’information est équivalente.

La notion de cantons fait référence non seulement aux cantons eux-mêmes (art. 3 Cst.)¹⁹, mais aussi aux collectivités, instituts ou fondations de droit public qui relèvent du droit administratif du canton correspondant. Du côté des cantons, ils doivent vérifier dans chaque cas si une organisation ou un institut (p. ex. un hôpital, une centrale électrique, voire un institut financier) est considéré