Rapport explicatif

Al. 2, let. a – Pour pouvoir influer efficacement sur la sécurité de l’information de l’entreprise, le service spécialisé PSE a besoin d’un interlocuteur par lequel passent tous les contacts.

Al. 2, let. b – Le préposé à la sécurité doit rendre des comptes au service spécialisé PSE sur la mise en œuvre du plan de sécurité. Le service spécialisé PSE veille à ce que les préposés reçoivent une formation initiale et continue appropriée.

Al. 2, let. c – dans les cas où l’entreprise a été autorisée par l’adjudicateur à faire appel à des souscontractants, le préposé à la sécurité a la légitimité pour déposer la demande d’ouverture de la procédure de sécurité pour le sous-contractant auprès du service spécialisé PSE (art. 4, al. 1, let. c).

Art. 13 Communication de l’adjudication

Al. 1 – Les contrats-cadres sont en général l’élément qui déclenche l’établissement d’une déclaration de sécurité. En revanche, les spécificités d’un mandat associées au contrat-cadre peuvent parfois tant influer sur le risque pour la sécurité de l’information qu’il devient nécessaire d’ajuster le plan de sécurité. Il est dès lors décisif que le service spécialisé PSE soit toujours mis au courant de la situation sécuritaire de l’entreprise.

A. 2 – Les informations que doit fournir l’adjudicateur pour l’élaboration du plan de sécurité comprennent notamment :

 des indications sur le niveau de sensibilité du mandat selon l’art. 5 LSI ;

 le nom des personnes à qui est confiée l’exécution du mandat sensible (pour effectuer les

contrôles de sécurité relatifs aux personnes) ;

 des indications sur l’utilisation des moyens informatiques de l’entreprise, notamment si ceux-ci

fonctionnent en réseau ou isolément.

Art. 14 Contenu et examen du plan de sécurité

Al. 1 – L’examen mené sur place garantit que les mesures du plan de sécurité nécessaires, appropriées et adaptées à la situation peuvent être imposées à l’entreprise de façon ciblée. Il favorise la sécurité de l’information tout en épargnant à l’entreprise une charge de travail disproportionnée.

A. 2 – Le service spécialisé PSE donne à l’entreprise un cadre pour l’élaboration du plan de sécurité dans lequel elle doit prendre et documenter les mesures de sécurité adaptées à la situation. Il y a lieu de documenter les mesures organisationnelles (p. ex. gestion des clés, surveillance des locaux), personnelles (contrôles de sécurité relatifs aux personnes), techniques (p. ex. utilisation des moyens informatiques) et physiques (protection contre les effractions).

Al. 3 – L’élaboration de plans de sécurité peut s’avérer complexe, notamment parce qu’une certaine marge de manœuvre doit être accordée à l’entreprise. Si le plan de sécurité proposé ne passe pas d’emblée l’examen du service spécialisé PSE (art. 59, al. 2, LSI), ce dernier doit accorder à l’entreprise un délai supplémentaire pour l’améliorer et donner des consignes concrètes sur ce qui doit être amélioré et comment.

Al. 4 – Par analogie avec l’art. 5, al. 3, ce délai d’ordre doit donner aux adjudicateurs un point de repère pour la planification et la coordination de la procédure d’adjudication et engager le service spécialisé PSE à observer le principe de célérité.

Art. 15 Contrôles de sécurité relatifs aux personnes

Al. 1 – L’entreprise doit s’organiser pour l’exécution d’un mandat sensible de façon à ce que seul un nombre minimal de personnes absolument nécessaires à l’accomplissement du mandat soient soumises à un CSP. Les demandes de contrôle pour des personnes qui n’exercent que des activités potentiellement sensibles sont illicites et seront rejetées par le service spécialisé PSE.

Al. 2 – Pour des raisons économiques, il peut être judicieux d’autoriser les grandes entreprises à engager elles-mêmes des CSP. Ceci ne change rien au fait que le service spécialisé PSE définira de façon exhaustive qui sera vraiment contrôlé.