Rapport explicatif

Al. 4 – Voir les nouvelles obligations d’annoncer les violations portées à la sécurité des données selon la nouvelle loi sur la protection des données (nLPD²⁰, cf. art. 24) qui devrait entrer en vigueur le 1^er septembre 2023.

Al. 5, let. b et d – Voir le message LSI à propos des art. 17 et 88 LSI.

Al. 5, let. e: La haute importance politique dépend des intérêts politiques concernés. Celle-ci doit être examinée au cas par cas avec la personne responsable de la sécurité du département correspondant (art. 39 OSI).

Al. 7 – On entend par responsabilité la compétence décisionnelle opérationnelle. Toutefois, l’unité administrative ou le département concerné reste responsable de la sécurité de l’information (commentaire de l’art. 4 OSI). Si la responsabilité relève du service spécialisé de la Confédération pour la sécurité de l’information, celui-ci peut ordonner seul des mesures immédiates ou avoir recours à des spécialistes (y compris à des tiers selon l’art. 10 OSI). Les coûts engagés dans ce cas sont entièrement à la charge de l’unité administrative responsable ou du département et s’effectuent en concertation avec celui-ci. La prise en charge de la responsabilité doit être justifiée (commentaire de l’art. 8, al. 1, OSI).

Art. 13 Planification des contrôles et des audits

Le manque de contrôles et d’audits est une lacune essentielle dans la gestion de la sécurité de l’information de l’administration fédérale et de l’armée. Seuls des audits adéquats permettent aux organisations de connaître le niveau de sécurité de leurs informations, de savoir quels risques elles encourent et quelles mesures s’imposent (message LSI, p. 2978). Cette disposition exige que les unités administratives et les départements définissent annuellement les contrôles et les audits fondés sur les risques qu’ils effectueront l’année prochaine et pourquoi. Une vérification du SMSI planifiée en vertu de l’art. 5, al. 3, OSI doit être inscrite sur le plan de contrôle et d’audit. Le plan d’audit et les ressources nécessaires seront approuvés par le responsable de la sécurité de l’unité administrative (art. 36, al. 3, let. d, OSI). L’art. 13 ne précise pas le nombre de contrôles et d’audits à effectuer. Cette décision relève uniquement de l’unité administrative. Avec le plan de contrôle et d’audit à élaborer obligatoirement, la direction de l’office doit prendre une décision positive traçable.

Les contrôles au sens de cette ordonnance sont des vérifications ponctuelles qui ont un champ d’application limité ; ils peuvent être effectués de façon informelle par quelques personnes et au coût souvent inférieur à celui des audits. Une unité administrative peut, par exemple, planifier le contrôle de l’actualité de la documentation sur la sécurité ou le contrôle du respect de la politique du bureau bien rangé. En revanche, les audits suivent une procédure formalisée et sont souvent réalisés par une organisation indépendante. Ils examinent si des systèmes, des processus ou des systèmes de gestion respectent les consignes en vigueur ou les normes exigées.

Al. 2 – Les contrôles et les audits peuvent, si les contrats avec des tiers l’autorisent, porter sur le respect des consignes par des tiers, notamment des fournisseurs. Si un tel contrôle est prévu et si le tiers dispose d’une déclaration de sécurité (art. 61 ss LSI), une coordination avec le service spécialisé chargé de la procédure de sécurité relative aux entreprises permet d’éviter que la Confédération contrôle plusieurs fois les mêmes éléments chez un partenaire.

Al. 3 – Sur demande des autorités fédérales, le service spécialisé de la Confédération pour la sécurité de l’information peut procéder à des vérifications (art. 83, al. 1, let. c, LSI). Le niveau d’ambition est volontairement peu élevé et l’extension de la capacité d’audit du service spécialisé de la Confédération pour la sécurité de l’information n’est pas envisagée actuellement. Depuis des années, le Contrôle fédéral des finances (CDF) procède à des audits de qualité et à des examens transversaux dans le domaine de la sécurité de l’information. Ces audits ont en point de mire les risques que cible le service spécialisé de la Confédération pour la sécurité de l’information et couvrent ainsi les besoins au niveau de la Confédération.

Art. 14 Compte rendu

Al. 1 et 2 – Le compte rendu couvre notamment les points suivants : l’état et l’efficacité du SMSI des unités administratives ; l’état des objets à protéger, de la mise en œuvre des mesures de sécurité et de la prise en charge des risques résiduels ; l’état de la formation ; des indications sur les contrôles de sécurité relatifs aux personnes et sur les procédures de sécurité relative aux entreprises effectués pour le département ou la ChF ; les conclusions sur les incidents et failles