Rapport explicatif

Art. 23 Accréditation de sécurité des moyens informatiques

Al. 1 – L’OSI introduit, et c’est une nouveauté, une obligation d’accréditation pour un nombre limité de systèmes d’information sensibles (let. a à c) dans lesquels sont traitées des informations classifiées CONFIDENTIEL ou SECRET de plusieurs organisations (p. ex. une application pour la communication vidéo confidentielle). Avant une accréditation de sécurité, le moyen informatique correspondant ne doit pas être utilisé. Une telle accréditation est exigée à l’étranger et sur le plan international dès que des informations protégées d’une autorité (ou d’un État) doivent être traitées dans le système d’une autre autorité (ou d’un autre État). L’OSI comble ainsi une lacune qui, jusqu’à présent, compliquait la collaboration internationale dans le domaine de la sécurité.

Al. 2 à 4 – L’accréditation de sécurité doit rassurer sur le fait qu’un moyen informatique répond aux exigences imposées à la sécurité de l’information de la Confédération. Si elle ne peut pas être délivrée, le Conseil fédéral peut décider de supporter les risques résiduels.

Al. 5 et 6 – L’étendue de l’accréditation devra toujours être définie pour chaque cas concret. Cette tâche sera attribuée au service spécialisé de la Confédération pour la sécurité de l’information en tant que futur service d’accréditation ; une sous-délégation correspondante dans le domaine des systèmes militaires est prévue à la let. c.

Art. 24 Protection en cas de menace des informations classifiées

Le droit est d’ores et déjà en vigueur (art. 15 OPrI). Le signalement aux organes de sécurité responsables s’effectue selon la disposition relative à la gestion des incidents (art. 12 OSI).

Art. 25 Contrôle du besoin de protection et personnes autorisées

Cette disposition correspond au droit déjà en vigueur (art. 14 OPrI)

Art. 26 Archivage

Al. 1 – Les clauses sur l’archivage s’appliquent à la sauvegarde des documents dignes d’archivage de la Confédération (y compris des documents classifiés) et à leur publication en tenant compte des intérêts légitimes de la protection de la personnalité et de l’État, ainsi que de la transparence et de la traçabilité.

Al. 2 – Les AFS ont pour tâche de garantir la protection des archives classifiées et archivées de manière centralisée. Elles peuvent donc se distancier des exigences et mesures standard du service spécialisé de la Confédération pour la sécurité de l’information selon l’art. 85 LSI. Elles doivent cependant protéger les archives classifiées de telle sorte que la sécurité mise en œuvre serve de pendant au risque inhérent aux documents archivés.

Al. 3 – Le délai de protection des archives (y compris des archives classifiées) ne se prolonge pas automatiquement à leur expiration. Par contre, la classification tombe automatiquement à l’échéance du délai de protection. En d’autres termes, après expiration de ce délai, les archives peuvent être consultées (art. 10, al. 1, de l’ordonnance du 8 septembre 1999 sur l’archivage [LOAr]²³). Après expiration du délai de 30 ou de 50 ans, il n’est pas prolongé pour la plupart des informations classifiées. En revanche, le prolongement du délai de protection avant son expiration peut se justifier pour certaines constructions ou projets militaires (art. 12 de la loi fédérale du 26 juin 1998 sur l’archivage [LAr]²⁴, en relation avec l’art. 14 LOAr).

La responsabilité de demander dans les temps le prolongement du délai de protection incombe à l’office compétent. Les délais de protection des documents versés figurent sur le bordereau correspondant que l’unité administrative compétente administre dans les systèmes GEVER (ActaNova). Les fonds à protéger plus longtemps du fait d’intérêts publics et privés sensibles prépondérants (art. 12 LAr et art. 14 LOAr) sont mentionnés à l’annexe 3 de la LOAr (art. 14, al. 5).

Section 5 Sécurité des moyens informatiques Art. 27 Procédure de sécurité

La procédure de sécurité actuelle selon les art. 14b à 14e OPCy est repris dans les grandes lignes.

Al. 1 – Le besoin de protection actuel doit être déterminé sur la base des critères des catégories de sécurité visés à l’art. 27.