Rapport explicatif

de sécurité ainsi que les mesures d’amélioration prises ou prévues ; les conclusions des contrôles et des audits ainsi que les mesures d’amélioration prises ou prévues.

Al. 3 – Pour améliorer sur le long terme la sécurité de l’information au niveau de la Confédération, l’examen critique continu de l’efficacité de la sécurité de l’information et une adaptation permanente et judicieuse des mesures de sécurité sont nécessaires.

Art. 15 Directives de gestion de la sécurité de l’information

Cet article se réfère à l’art. 85 LSI. Le service spécialisé du Conseil fédéral obtient la compétence d’édicter les directives concernant le management de la sécurité de l’information (art. 5 à 14). Ces directives ne s’appliquent aux organes selon l’art. 2, al. 1 à 3, à savoir le domaine de compétence du Conseil fédéral.

Section 4 Informations classifiées

Les art. 18 à 20 décrivent les conditions matérielles de la classification des informations (message LSI à propos de l’art. 13). Par rapport à I’OPrl, les seuils de classification INTERNE, CONFIDENTIEL et SECRET ont été augmentés. En augmentant ces seuils pour les informations classifiées, il devra être possible de procéder à une classification ciblée. Ainsi, il devrait globalement y avoir dans l’administration fédérale un moins grand nombre d’informations classifiées, avec l’effet que cela implique sur les ressources. De plus, cette mesure influe directement sur le nombre de CSP. Cette augmentation devrait réduire les fonctions dont l’exercice est nécessaire au traitement des informations classifiées CONFIDENTIEL (OCSP et commentaire à ce propos).

Art. 16 Principes

Al. 1 – La classification est obligatoire dès lors que les critères correspondants conformément aux art. 18 ss OSI sont remplis. Le principe du besoin d’en connaître précisé à l’art. 14 LSI doit être strictement respecté. La classification de matériel est un cas concret de classification des informations auquel s’appliquent les mêmes méthodes d’évaluation et mesures de protection (y compris les consignes de l’OCSP et de l’OPSE ; cf. message LSI, p. 3020).

Al. 2 – La collecte d’informations ou de supports d’informations classifiés ou non classifiés (p. ex. papier, matériel informatique, appareils de radio) peut donner naissance à une compilation qui a besoin d’être davantage protégée qu’une information isolée qu’elle contient. C’est typiquement le cas des bases de données (p. ex. le produit deepl.com comme solution de cloud ou l’hébergement de l’Intranet de la Confédération puisque l’hébergement peut s’effectuer dans le nuage). De même, des informations isolées simples risquent de plus en plus d’évoluer vers des recueils de données à classifier du fait de la mise en œuvre de produits recourant à l’intelligence artificielle.

Al. 3 – Le fait de devoir remettre ou non un document à un demandeur (p. ex. un journaliste) sur le principe de la transparence ne dépend pas de son éventuelle mention de classification, s’évalue uniquement en fonction des critères de la Loi sur la transparence du 17 décembre 2004²¹ (LTrans).

Art. 17 Auteurs de la classification

Al.1 –Tous les collaborateurs de la Confédération (art. 4, al. 3, OSI) et les militaires peuvent être auteurs de la classification au sens de la présente ordonnance. Les tiers ne sont pas auteurs de classification. Les personnes citées aux let. a à c sont compétentes pour la classification et pour la déclassification. Des cas particuliers sont à observer, comme dans le cadre de la gestion de projets : d’après HERMES, c’est par exemple le donneur d’ordre du projet (et non le chef de projet) qui doit s’assurer de la vérification des collectes d’informations éventuellement créées en vue d’un recueil à classifier.

De manière générale, il faut s’assurer que l’information sensible soit protégée (p. ex. classifiée) dès le moment où elle est visible ou audible. C’est le plus souvent déjà trop tard si la protection n’a pas lieu directement à la source. Les supérieurs hiérarchiques des auteurs de classification ou les mandants ont le droit de modifier la classification. Mais en cas de pareille substitution qui inclut une prise de responsabilité quant à l’exactitude de la classification, ils doivent apparaître clairement comme auteurs de la classification. Si l’auteur de la classification n’est plus identifiable, il est possible de retrouver l’autorité supérieure par le truchement des Archives fédérales (AFS).