Rapport explicatif

Rapport explicatif

1 Contexte

Le 18 décembre 2020, l’Assemblée fédérale a adopté la LSI¹. Le délai référendaire a expiré mi-avril 2021 sans avoir été utilisé. Cette nouvelle loi crée une base légale uniforme pour la sécurité de l’information au sein de la Confédération.

La notion de sécurité de l’information englobe toutes les exigences et mesures visant à protéger la confidentialité, l’intégrité, la disponibilité et la traçabilité des informations et données de tout type, de même que la disponibilité et l’intégrité des moyens informatiques. La plupart des informations étant aujourd’hui traitées sous forme électronique, un accent est mis sur la cybersécurité. Reste que cette notion englobe toutes les procédures de traitement, documents papier et déclarations orales compris, et ne se limite pas uniquement au traitement électronique. Dans le langage courant, les deux notions sont souvent utilisées comme synonyme.

La présente législation d’exécution de la LSI a été élaborée avec des représentants des autres autorités fédérales et des cantons. Dans son message du 22 février 2017 concernant la loi sur la sécurité de l’information (message LSI)², le Conseil fédéral a annoncé qu’il consulterait les autres autorités fédérales et les cantons à propos de toutes les dispositions importantes (Cf. ch. 1.5,

p. 2820). Cette consultation doit permettre d’atteindre un degré de sécurité aussi homogène que possible et de répondre à satisfaction aux besoins de toutes les autorités fédérales et des cantons. Une procédure de consultation a donc été organisée.

2 Comparaison avec le droit étranger, notamment européen

Dans de nombreux pays européens, les bases légales de la sécurité de l’information sont adaptées aux nouvelles réalités de la société de l’information. En raison des ordres juridiques et des structures des États pour partie très hétérogènes, la hiérarchie normative des réglementations en question et leur champ d’application ne peuvent que difficilement être comparés. En revanche, on peut affirmer que les dispositions de la LSI et de sa législation d’exécution correspondent globalement aux réglementations des divers États analysés ou qu’elles sont pour le moins coordonnées avec elles. Sur le plan organisationnel, grâce au service spécialisé de la Confédération pour la sécurité de l’information, la Confédération dispose d’un interlocuteur unique au niveau international. La coopération dans ce domaine devrait s’en trouver simplifiée et gagner en efficacité.

3 Présentation du projet

3.1 Législation d’exécution relative à la LSI

Le droit d’exécution relatif à la LSI se compose de quatre ordonnances :

 L’ordonnance sur la sécurité de l’information (OSI, ch. 3.3);

 une modification de l’ordonnance du 19 octobre 2016 sur les systèmes de gestion des

données d’identification et les services d’annuaires de la Confédération³ (OIAM, ch. 3.4) ;

 l’ordonnance sur les contrôles de sécurité relatifs aux personnes (OCSP, cf. ch. 3.5) ;

 l’ordonnance sur la procédure de sécurité relative aux entreprises (OPSE, ch. 3.6).

Le 12 janvier 2022, le Conseil fédéral a ouvert la procédure de consultation sur le projet d’une obligation de signaler les cyberattaques contre les infrastructures critiques. L’introduction d’une telle obligation de signalement entraîne la révision complète du chap. 5 de la LSI. Cette révision de la LSI et de son ordonnance doit entrer en vigueur à la fin 2023. Il n’est donc pas judicieux d’adopter une nouvelle ordonnance pour couvrir les besoins actuels, dès lors qu’il faudra la revoir intégralement au cours des prochains mois. D’où l’abandon temporaire de l’idée d’édicter des dispositions d’exécution concernant le chap. 5.