Rapport explicatif

3.2 Conditions générales et principes

Dans le message LSI, le Conseil fédéral a justifié la nécessité formelle et matérielle de cette loi. Le contexte et les objectifs et solutions du Conseil fédéral n’ont pas perdu en actualité. Ils fournissent la base conceptuelle du droit d’exécution relatif à la LSI. Il en va de même pour l’appréciation de la menace, la direction stratégique de la Suisse et les principes d’action que le Conseil fédéral a définis le 18 avril 2018 dans la Stratégie nationale de protection de la Suisse contre les cyberrisques 2018 à 2022. Pour la mise en œuvre de la sécurité de l’information au sein de l’administration fédérale et de l’armée, plusieurs autres stratégies sont à prendre en considération, notamment les stratégies informatiques nationales et internes à la Confédération.

Pour l’élaboration de ladite législation d’exécution, les cinq principes ci-après ont été définis comme orientations stratégiques.

a. Responsabilité partagée de la sécurité

Conformément à l’art. 45 de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)⁴, les directeurs des unités administratives sont responsables de l’exécution des tâches qui leur sont déléguées, de même que de la protection de leurs informations et moyens informatiques. Or cette responsabilité seule ne suffit pas dans un environnement numérisé interconnecté. Des informations sont échangées, des systèmes interconnectés et des fichiers rendus disponibles pour un usage partagé sur le principe once only. De ce fait, des menaces et attaques à l’encontre d’une organisation ou de ses fournisseurs peuvent se propager au domaine de compétence d’autres organisations. La sécurité de l’information est donc une tâche globale à responsabilité partagée qui exige des objectifs communs, une approche coordonnée et des normes minimales.

b. Approche fondée sur les risques

Obtenir une sécurité absolue relève de l’impossible. Les risques sont inévitables. Les mesures applicables à la protection de base de la Confédération protègent contre une multitude de menaces en fonction des risques encourus. Elles servent à la sécurité globale de l’information de la Confédération et doivent être respectées. De plus, les responsables doivent gérer activement les risques pour la sécurité de l’information, en prenant en compte et en priorisant les vulnérabilités, les menaces et leurs éventuelles répercussions sur l’exécution des tâches. Un niveau de sécurité approprié pourra ainsi être obtenu. Avec telle une approche fondée sur les risques, l’accent peut être mis tant sur les risques que sur les possibilités, les nouvelles idées, les applications ou les technologies.

c. Harmonisation et standardisation

La confiance dans la cyberadministration passe par une sécurité de l’information appropriée. C’est vrai tant pour les affaires nationales que pour l’interconnexion internationale toujours croissante des autorités. Une harmonisation nationale et internationale des règlements et la standardisation des mesures de sécurité sont souhaitables. La standardisation présente d’autres avantages importants : les coûts de sécurité des projets sont plus faciles à calculer et à planifier ; de plus, la clarté des exigences en matière de sécurité aide les services de développement et d’acquisition à sécuriser les moyens informatiques.

d. Neutralité des technologies

De nouvelles technologies, concepts ou formes de travail en lien avec la sécurité apparaissent avec l’informatisation croissante. Les ordonnances doivent être en mesure d’intégrer des évolutions comme l’informatique en nuage, l’Internet des objets, l’intelligence artificielle ou l’informatique quantique sans nécessiter constamment des adaptations. Il convient donc de définir en premier lieu les principes, tâches, compétences et responsabilités à leur niveau. Quant aux consignes liées aux technologies, elles doivent être définies au niveau des directives et des normes techniques.

e. Permettre la digitalisation

Les besoins en digitalisation doivent être intégrés de bonne heure dans les projets législatifs. Lorsque des tâches, processus et procédures sont vérifiés sur le plan juridique ou redéfinis, il faut s’assurer que les nouvelles consignes permettront la digitalisation.

4 RS 172.010.59