Rapport explicatif

supplémentaire d’environ 0,2 FTE par rapport à aujourd’hui. L’application SMSI (ch. 3.8) améliorera l’efficience du SMSI.

Les offices n’auront pas tous la même charge de travail supplémentaire. En effet, les départements et les offices peuvent définir un niveau d’ambition supérieur, avec les répercussions correspondantes sur les coûts. Par ailleurs, certains offices et départements répondent déjà aux consignes : armasuisse, swisstopo, l’OFSPO, l’OFIT et ASTRA sont, par exemple, des offices certifiés ISO. Le DDPS applique un SMSI complet depuis plusieurs années déjà. Le DFI a aussi décidé de demander à ses offices la mise en œuvre d’un SMSI.

b. Accréditation de sécurité de moyens informatiques (art. 23 OSI)

La charge de travail associée à l’accréditation de moyens informatiques ne peut pas encore être chiffrée. Il s’agit d’une nouvelle tâche pour laquelle l’administration fédérale n’a pas encore de recul. Après l’ouverture de la procédure de consultation, le Conseil fédéral examinera les compétences et les ressources nécessaires à l’accomplissement de cette tâche.

c. Préposés à la sécurité de l’information des départements (art. 40 OSI)

Le nouveau droit accroîtra légèrement la charge de travail des préposés, soit 0,2 FTE. Cette charge supplémentaire est due en partie aux tâches de pilotage et de coordination définies dans la LSI. De plus, ils devront désormais approuver l’ouverture de CSP auprès des tiers qui ne sont pas pris en compte par la procédure de sécurité relative aux entreprises. Les départements qui attribuent de nombreux mandats sensibles auront une charge de travail légèrement supérieure.

d. Service spécialisé de la Confédération pour la sécurité de l’information (art. 41 OSI)

Les ressources de ce service ne seront établies qu’après la procédure de consultation (cf. ch. 3.8). Si des ressources supplémentaires devaient s’avérer nécessaires, ce qui n’est pas prévisible actuellement, la charge supplémentaire sera modérée.

e. Application des mesures techniques de sécurité et contrôle de celles-ci

Les coûts de l’application des mesures techniques de sécurité et leur contrôle, notamment dans le domaine de la cybersécurité, représentent aujourd’hui déjà des coûts normaux de projets et d’utilisation. Ils doivent être planifiés en conséquence et inscrits au budget ordinaire (art. 42 OSI), ce qui inclut les coûts de réalisation des contrôles et des audits selon l’art. 13 OSI et les contrôles d’efficacité selon l’art. 29, al. 3, OSI (art. 18, al. 3, LSI).

f. Modification de l’OIAM

Le champ d’application de l’OIAM s’étend aux unités administratives de l’administration fédérale décentralisée. Si ces dernières veulent utiliser un système IAM, elles devront répondre aux exigences de l’OIAM. Les coûts correspondants doivent être planifiés dans ce cadre et inscrits au budget ordinaire.

g. Ordonnance sur les contrôles de sécurité relatifs aux personnes

Les indications détaillées sur la charge de travail liée aux CSP ne seront disponibles qu’après la procédure de consultation, car les listes de fonctions déterminantes seront établies à partir de l’ouverture de la consultation.

h. Ordonnance sur la procédure de sécurité relative aux entreprises

Pour la réalisation de la procédure de sécurité relative aux entreprises, le DDPS a déjà augmenté les ressources du service spécialisé chargé de cette procédure de 1,5 équivalent plein temps. Aucune ressource supplémentaire n’est nécessaire.

5.2 Conséquences pour les cantons

Les coûts de mise en œuvre par les cantons sont encore incertains. L’application de la LSI et des ordonnances au niveau des cantons est toutefois limitée. Ces coûts s’appliqueront majoritairement dans le cadre de projets ou lors du recours à des prestations de la Confédération. Ils devront être évalués dans ce contexte. Les séances de travail avec les cantons ont montré que la pratique était hétérogène. Évaluer la charge pour les cantons est un objectif important de la consultation.

5.3 Conséquences pour les milieux économiques

Les conséquences pour les milieux économiques ont été présentées dans le message LSI. Elles sont très faibles. Les milieux économiques sont concernés par la LSI et ses dispositions 45/46