Rapport explicatif

Art. 36 Responsables de la sécurité de la ChF et des unités administratives

Al. 1 – Responsable signifie ici l’obligation personnelle de rendre des comptes à l’organe supérieur. Elle suppose que la personne responsable a les pouvoirs, en particulier financiers, de prendre, de contrôler ou de corriger des mesures. Ceci doit être distingué du devoir d’exécution des mesures de surveillance. Dans ce cas, la personne mandatée est responsable de l’exécution et est la seule à devoir rendre des comptes.

Al. 2 – L’obligation personnelle de rendre compte est déléguée avec la délégation de la responsabilité de la sécurité. De ce fait, la délégation devrait être justifiée (commentaire de l’art. 8, al. 2, let. a, OSI).

Al. 3, let. b – En principe, toutes les décisions importantes qui concernent la sécurité de l’information doivent être prises par ce rôle.

Al. 4 – Le mandat confié aux préposés à la sécurité de l’information selon l’art. 37 OSI peut, par exemple, prendre la forme de directives internes ou d’objectifs annuels au sens de l’art. 5, al. 2, OSI. Concernant la notion de conflit d’intérêts, voir le message LSI, art. 82, al. 3.

Art. 37 Préposés à la sécurité de l’information des unités administratives

La désignation d’une suppléance officielle est nouvelle. Ce rôle correspond largement à celui actuel de délégué à la sécurité informatique des unités administratives (DSIO).

Art. 38 Sécurité de l’information dans les services standard

En principe, ce rôle auprès des services standard a les mêmes tâches que le rôle de préposé à la sécurité de l’information des unités administratives selon l’art. 37 OSI.

Art. 39 Responsabilité des départements en matière de sécurité

Al. 1 à 2 – Le pilotage et la surveillance de la sécurité de l’information sont des tâches stratégiques et les tâches essentielles des départements (art. 38 LOGA, commentaire de l’art. 5, al. 1).

Al. 3 – Cette disposition permet aux départements avec une organisation plus centralisée (comme le DFAE) de concrétiser leurs besoins internes d’organisation dans le cadre de l’OSI.

Art. 40 Préposés à la sécurité de l’information des départements

La désignation d’une suppléance officielle est nouvelle (art. 81, al. 1, LSI). Ce rôle réunit celui de délégué à la sécurité informatique (DSID) et celui de préposé à la protection des informations des départements.

Let. e – Puisque les rôles doivent travailler en étroite collaboration selon les art. 37 et 40, le rôle visé à l’art. 40 devrait être associé au choix d’une nouvelle personne pour le rôle visé à l’art. 37.

Let. f – La procédure de contrôle actuel des documents SECRET est reprise sans changement.

Let. g – Ce rôle se voit attribuer une tâche supplémentaire dans le domaine des CSP. Les détails seront précisés par voie de directives et les titulaires du rôle seront formés en conséquence.

Let. h – Aujourd’hui, les rapports annuels des DSID doivent être envoyés au NCSC. Désormais, les titulaires du rôle, selon cette disposition, devront rendre des comptes à la personne responsable de la sécurité du département selon l’art. 39 OSI (art. 14 OSI). Cette dernière transmet ensuite le rapport au service spécialisé de la Confédération pour la sécurité de l’information pour que celui-ci, de son côté, puisse établir un rapport annuel sur l’état de la sécurité de l’information à l’intention du Conseil fédéral (art. 83, al. 1, let. h, LSI).

Art. 41 Service spécialisé de la Confédération pour la sécurité de l’information

Al. 1 – Les tâches générales du service spécialisé de la Confédération pour la sécurité de l’information sont décrites aux art. 83 LSI et 41 OSI ; les tâches contextuelles, dans d’autres dispositions de l’OSI.

Al. 3 – La Conférence des préposés à la sécurité de l’information au sens de l’art. 82, al. 2, let. c, LSI conseille le service spécialisé de la Confédération pour la sécurité de l’information sur tous les aspects de la coordination de l’exécution et sur tous les points d’importance stratégique.

Al. 4 – Le rôle d’autorité nationale de sécurité est à présent attribué au service spécialisé de la Confédération pour la sécurité de l’information. Aujourd’hui, il est exercé par le domaine