Rapport explicatif

Section 5 Déclaration de sécurité relative aux entreprises et répétition de la procédure Art. 16 Établissement de la déclaration de sécurité relative aux entreprises

Limiter la déclaration de sécurité relative aux entreprises à quelques éléments d’activités sensibles au sens de l’art. 5, let. b, LSI n’est pas prévu par la loi, mais est compatible avec les objectifs de la LSI, voire dicté par le principe de proportionnalité. D’une part, il est clair que l’on ne peut pas, par exemple, imposer à une entreprise des mesures de protection aussi étendues pour le traitement d’informations classifiées CONFIDENTIEL que pour le traitement d’informations classifiées SECRET. D’autre part, il faut impérativement adapter un plan de sécurité axé sur CONFIDENTIEL si des informations classifiées SECRET sont nouvellement concernées. La sécurité de droit doit être établie par décision sur le niveau de traitement autorisé.

Art. 17 Information de la part de l’entreprise

Al. 1 et 2 – Ces listes non exhaustives concrétisent l’art. 63, al. 2, LSI sur le contenu de l’obligation d’annoncer des changements affectant la sécurité au sein de l’entreprise.

Al. 3 – L’action dès un premier soupçon, sans attendre les conséquences d’un incident, peut favoriser une intervention en temps utile. Ainsi, un tel soupçon est réputé soumis à l’obligation d’annoncer.

Al. 4 – Les changements et les incidents peuvent non seulement toucher l’entreprise, mais aussi les sous-contractants ou les fournisseurs. Tandis que les sous-contractants agréés sont soumis à l’obligation primaire d’annoncer conformément aux al. 1 et 2, cela n’est pas le cas pour les fournisseurs qui ne sont qu’indirectement en contact avec l’activité sensible. L’entreprise doit également annoncer si ces derniers sont concernés par un incident pouvant avoir des répercussions sur l’activité sensible.

Al. 5 – Cette disposition doit permettre d’éviter qu’une déclaration de sécurité relative aux entreprises arrive à expiration durant un mandat en cours, que le rapport contractuel devienne subitement illicite et qu’il doive donner lieu à une rédhibition. La situation peut être contournée en demandant à temps un renouvellement de la déclaration de sécurité (cf. aussi commentaire de l’art. 20, al. 2).

Art. 18 Devoirs de l’adjudicateur

Al. 1 – Les adjudicateurs sont fréquemment en contact étroit avec les entreprises, si bien qu’il est très probable qu’ils remarquent d’éventuels faits répréhensibles. L’obligation d’annoncer de l’entreprise est donc étendue à l’adjudicateur pour les changements ou incidents touchant la sécurité, dans la mesure où il fait de pareils constats dans l’entreprise. La prise de mesures d’urgence incombe également à l’adjudicateur.

Al. 2, let. a – Les faits cités à l’art. 44 LMP peuvent avoir un impact négatif sur la mise en œuvre du plan de sécurité et doivent donc, selon les circonstances, être appréciés sous l’angle de la sécurité de l’information. L’adjudicateur doit donc signaler au service spécialisé PSE quand il fait pareils constats. Cette obligation d’annoncer s’applique aussi quand l’adjudicateur ne prévoit pas d’annuler l’adjudication.

A. 2, let. b – Les changements impactant la sécurité apportés au mandat ont souvent des répercussions sur le plan de sécurité, d’où la nécessité de tenir le service spécialisé PSE au courant.

Al. 2, let. c – Ce qui vaut pour le changement d’un mandat s’applique par analogie à l’octroi d’un nouveau mandat. Voir les commentaires ci-avant sur la let. b.

Art. 19 Certificat international de sécurité

Al. 1 – L’établissement d’un certificat international de sécurité est un acte administratif sans spécificités et charges significatives, c’est pourquoi une taxe forfaitaire de 100 francs est prélevée.

Al. 2 – Il en va autrement lorsque l’entreprise n’est pas encore au bénéfice d’une déclaration de sécurité suisse. La réalisation nécessaire au préalable de la procédure de sécurité relative aux entreprises représente une charge dans laquelle le temps consacré à la procédure doit être pris en compte. La marge tarifaire à ce sujet varie selon l’urgence et la qualification exigée du personnel exécutant.