Rapport explicatif

fonctions doivent être mises à jour en conséquence. Les autres autorités soumises à la LSI règlent elles-mêmes les compétences.

Art. 8 Contrôle du personnel cantonal et des tiers

Al. 1 – La définition des fonctions d’employés cantonaux qui sont soumis à un contrôle conformément à l’art. 29, al. 1, let. b, LSI est en principe du ressort des cantons. Pour garantir un traitement homogène, le DDPS doit assumer ici une fonction de pilotage. Pour ce faire, il consulte le service spécialisé de la Confédération pour la sécurité de l’information.

Al. 2 – Les fonctions des tiers qui exécutent pour une autorité ou une organisation engagée un mandat qui inclut l’exercice d’une activité sensible ne peuvent pas être définies à l’avance, mais résultent des nécessités des différents mandats. Pour que la nécessité du contrôle soit aussi garantie ici, les décisions doivent être centralisées.

Art. 9 Contrôle de fiabilité extraordinaire de l’IFSN

Cet article correspond par son contenu à la réglementation en vigueur de l’art. 5 OCSPN.

Section 4 Degrés de contrôle

Le rattachement du contrôle de la loyauté selon la loi sur l’asile au sujet du degré de contrôle du contrôle de sécurité de base est déjà précisé à l’art. 29a de la loi du 26 juin 1998 sur l’asile³¹ (LAsi) et ne nécessite donc pas d’être précisé dans l’ordonnance.

Art. 10 Contrôles de sécurité relatifs aux personnes selon la LSI

Al. 1, let. a – La notion de traitement fait ici référence à tout rapport avec des informations, indépendamment des moyens et procédés utilisés, notamment l’obtention, la conservation, l’enregistrement, l’utilisation, le remaniement, la communication, l’archivage, la suppression ou la destruction d’informations. Si de telles informations ne sont traitées qu’exceptionnellement et que le traitement d’informations classifiées ne concerne pas une fonction à proprement parler, un CSP n’est pas nécessaire.

Al. 1, let. b – Les notions que sont l’administration, l’exploitation, la maintenance et le contrôle de moyens informatiques couvrent toutes les activités visées à l’art. 5, let. b, LSI qui sont associées à des droits d’accès particuliers aux moyens informatiques de la Confédération ou qui placent les personnes chargées de les exercer dans une situation où elles pourraient porter fortement atteinte aux intérêts par le vol de données ou le sabotage selon l’art. 1, al. 2, LSI. Seuls les contenus des informations traitées décident si les utilisateurs des moyens informatiques exercent une activité sensible. De ce fait, ce sont surtout les administrateurs et les responsables des applications des systèmes qui sont recensés. La notion d’exploitation se réfère à l’activité des fournisseurs de prestations au sens de l’art. 19 LSI. Il doit être clairement distingué de l’expression exploiter un système d’information que l’on trouve dans la législation sur la protection des données et qui ne vise en fait qu’à régler le recours à un système d’information par un bénéficiaire de prestations (p. ex. art. 24, al. 1, LSI). Les activités sensibles dans le cadre du développement ou de la construction de systèmes d’information sont incluses à la let. b comme partie de l’administration et de l’exploitation.

Al. 1, let. c – La délimitation de zones ou de locaux en zones de sécurité constitue une mesure physique en faveur de la sécurité de l’information, notamment pour protéger les locaux abritant des serveurs ou certaines salles de conduite. Une zone de sécurité exige une protection conséquente. Les personnes qui doivent accéder à de telles zones font l’objet d’un contrôle de sécurité de base.

Al. 1, let. d – Si des traités internationaux prévoient un contrôle, le degré de contrôle s’oriente en fonction des consignes du traité. Si le traité ne contient pas de réglementation spécifique, on effectuera toujours un contrôle de sécurité de base.

Al. 2, let. a et b – Voir commentaire de l’al. 1, let. a et b.

Al. 2, let. c et d – Les personnes qui exercent des activités sensibles pour le Service de renseignement de la Confédération (SRC) ou son autorité de surveillance, le Renseignement militaire et le Centre des opérations électroniques de la Base d’aide au commandement le font