Rapport explicatif

Al. 2 – Les écarts par rapport aux consignes exigent toujours un consentement exprès de l’instance habilitée à éditer des directives (commentaire sur l’autorisation d’exceptions selon l’art. 9 OSI).

La méthode actuelle de gestion des risques visant à protéger de l’espionnage est couverte par les règles sur la procédure de sécurité relative aux entreprises et n’exige plus de règles séparées (art. 55 à 58 LSI).

Al. 3 – Un risque résiduel peut être un risque accepté ou un risque inconnu (manuel sur la gestion des risques de la Confédération). L’OSI précise qu’un risque résiduel ne peut être qu’un risque accepté. Il est question de risque résiduel lorsque le risque initial peut être réduit à un niveau approprié par des mesures de pilotage (pour éviter les risques, les diminuer ou les transférer).

Al. 4 – L’acceptation justifiable (commentaire de l’art. 8, al. 2, OSI) des risques résiduels est importante, car celle-ci confirme un processus d’analyse et de décision minutieux et donc une décision consciente sur les risques résiduels que l’on est prêt à accepter. La délégation de cette décision peut généralement s’effectuer par une instruction ou au cas par cas (p. ex. dans le cadre d’un projet informatique) à un autre membre de la direction (de façon également justifiable).

Al. 5 et 6 – Une menace nouvelle ou récurrente peut remettre en question, entièrement ou partiellement, une analyse des risques déjà effectuée, d’où la nécessité d’adapter le concept de risque.

Du fait de la progression rapide des technologies et de la complexification des menaces dans le domaine de la sécurité de l’information, il s’agit de vérifier chaque année si un changement affectant la sécurité s’est produit. Le délai fixé à cinq ans pour la répétition de la procédure de sécurité au sens de l’art. 14e, al. 1, OPCy ne s’applique donc plus.

Art. 28 Attribution des catégories de sécurité « protection élevée » et « protection très élevée »

Désormais, les moyens informatiques (définition légale à l’art. 5, let. a, en relation avec l’art. 17 LSI) sont subdivisés en trois catégories de sécurité : « protection de base », « protection élevée » et « protection très élevée ». Par contre, l’actuelle OPCy ne prévoit que deux catégories de sécurité : « protection de base » et « protection accrue ». Le classement dans l’une des trois nouvelles catégories est fonction des intérêts publics de la Confédération, d’après l’art. 1, al. 2, let. a à e, LSI. La « protection de base » s’applique désormais aussi aux cantons (art. 3 LSI) dans la mesure où ils entrent dans le champ d’application de la LSI.

Contrairement aux critères de classification des informations classifiées, la catégorisation des moyens informatiques s’appuie sur l’aspect financier. En effet, une violation de la disponibilité ou de l’intégrité d’informations traitées par des moyens informatiques est plus facilement quantifiable que, par exemple, une violation de la confidentialité d’un document classifié. Les critères financiers s’appuient sur les critères de la matrice d’évaluation de la gestion des risques de la Confédération.

Art. 29 Mesures de sécurité

Al.1 – Sur la base de l’art. 85 LSI, le service spécialisé de la Confédération pour la sécurité de l’information édicte des directives sur les exigences minimales pour chaque échelon de sécurité selon l’art. 17. Ces consignes doivent s’appliquer à tous les organes, selon l’art. 2, al. 1 à 3.

Al. 2 – Concernant les questions en lien avec la protection des données et leur sécurité fondée sur les risques, le service spécialisé de la Confédération pour la sécurité de l’information veille à établir une coordination efficace avec le proposé fédéral à la protection des données et à la transparence (PFPDT) et les conseillers en protection des données, conformément à la LPD (également art. 82, al. 1, LSI). Concernant l’approche fondée sur les risques, voir le commentaire de l’art. 4, al. 1, OSI. Les directives de ce service spécialisé, selon l’al. 1, doivent être harmonisées avec les dispositions en vigueur sur la protection des données. À cet égard, il faut veiller à ce que les notions « protection élevée » et « protection très élevée » selon l’art. 17 LSI ne se confondent pas avec, par exemple, les notions propres à la législation sur la protection des données de « risque », « risque faible » ou « risque élevé ».

Al. 3 – Les let. a et b distinguent deux types de risques qui exigent une attention particulière par rapport à l’efficacité des mesures de sécurité. De ce fait, une vérification est due dès que des évolutions sensibles des risques s’esquissent, mais au plus tard tous les cinq ans. La base juridique de la vérification périodique figure à l’art. 18, al. 3, LSI.

Al. 4 – Voir le commentaire de l’art. 5, al. 4, OSI. 20/46