Rapport explicatif

Al. 1, let. d – Il est demandé une décision consciente du responsable de la sécurité, c’est-à-dire l’acceptation justifiable des risques résiduels sur la base d’un processus d’analyse et de décision minutieux.

Al. 3 – Les instructions sur la politique des risques de la Confédération et les directives et manuels qui y ont trait sont déterminants.

Art. 9 Autorisation et exceptions

Il s’agit de la gestion des exceptions aux consignes sur la sécurité de l’information en vigueur. Comme le NCSC aujourd’hui, le service spécialisé de la Confédération pour la sécurité de l’information décidera à l’avenir, sur la base de l’art. 85 LSI, des exigences de sécurité minimales qui doivent être satisfaites. Si une unité administrative n’est pas en mesure d’observer une exigence minimale, elle peut solliciter une dérogation. Le service spécialisé peut déléguer la décision sur l’octroi de la dérogation. Ainsi, le service spécialisé lui-même, le département ou une personne particulière au sein de l’unité administrative peuvent octroyer des autorisations exceptionnelles. Le principe actuel des dérogations sur les exceptions peut être repris conformément aux dispositions actuelles de l’OPCy sur la sous-délégation au sens de l’al. 2.

Art. 10 Collaboration avec les tiers

Al. 1 – La LSI qualifie de tiers les autorités, organisations et personnes de droit public ou privé qui ne sont pas des autorités ou organisations qui lui sont soumises et qui agissent indépendamment de celles-ci. Les unités administratives décentralisées sont aussi considérées comme des tiers dans la mesure où elles ne sont pas concernées par la LSI (message LSI, p. 3013 et 3019 s), ainsi que certaines organisations qui utilisent des infrastructures critiques (art. 2, al. 5, LSI).

Al. 3 – Les clauses sur la sécurité de l’information dans les contrats doivent remplir les conditions, conformément à l’art. 9 LSI (message LSI sur l’art. 9).

Art. 11 Formation et sensibilisation

Pour améliorer durablement leur sécurité, l’administration fédérale et l’armée doivent sensibiliser et former leurs collaborateurs et leurs membres sur le sujet de façon à ce qu’ils soient en mesure d’identifier eux-mêmes les dangers et les menaces, de réagir correctement et de diffuser les annonces de sécurité correspondantes.

Les unités administratives assurent la formation générale qui concerne la sécurité de l’information (avec des campagnes régulières de sensibilisation ou des formations d’entrée) pour tous les collaborateurs en y allouant le budget, le temps et les ressources correspondantes (art. 4, al. 4, OSI). Au contraire, les supérieurs hiérarchiques directs sont, selon cette disposition, responsables de la formation spécifique à la fonction de leurs collaborateurs (commentaire de l’art. 4, al. 4, OSI).

Art. 12 Gestion des incidents

Al. 1 – Les unités administratives sont responsables de la gestion des incidents et failles de sécurité. Un incident de sécurité est un événement lors duquel une atteinte est portée à la sécurité de l’information ou aux consignes de sécurité correspondantes. Un incident de sécurité non abouti est aussi un incident de sécurité. On parle d’incident de sécurité non abouti lorsqu’une atteinte aurait pu être portée à la sécurité de l’information. En revanche, une faille de sécurité est un défaut d’un moyen informatique qui, s’il est exploité, peut porter atteinte à la sécurité de l’information. Il est important de fixer au préalable qui, face à un événement, décide des mesures d’urgence et qui, pour une telle décision, doit être consulté ou informé. Celui qui détient la compétence décisionnelle en pareil cas doit nécessairement connaître les répercussions de ces mesures.

Al. 2 – Cette disposition et le droit actuel se recoupent (art. 14, al. 4, let. c, OPCy), hormis le fait que les incidents de sécurité non aboutis doivent eux aussi, désormais, être signalés.

Al. 3 et 6 – La disposition potestative souligne que le service spécialisé de la Confédération pour la sécurité de l’information peut apporter son soutien, mais n’y est pas obligé. En principe, il l’apporte sur demande des unités administratives ou des départements et, quel que soit l’importance du cas, en fonction de ses ressources (al. 6 également).