Rapport explicatif

3.3 Ordonnance sur la sécurité de l’information (OSI)

a. Objet

L’OSI remplace l’ordonnance du 27 mai 2020 sur les cyberrisques (OPCy)⁵ et l’ordonnance du 4 juillet 2007 concernant la protection des informations (OPrI)⁶. Elle régit la gestion de la sécurité de l’information, la protection des informations classifiées, la sécurité informatique et les mesures de protection personnelle et physique. Elle précise les tâches, les compétences et les responsabilités correspondantes au sein de l’administration fédérale et de l’armée.

b. Champ d’application

L’OSI s’applique au Conseil fédéral, à l’administration fédérale et à l’armée. Les unités administratives de l’administration fédérale décentralisée au sens de l’art. 7a de l’ordonnance du 25 novembre 1998 sur l’organisation du gouvernement et de l’administration (OLOGA)⁷ ne relèvent de l’OSI que si leurs activités sont sensibles pour la sécurité ou peuvent représenter un risque considérable pour l’administration fédérale centralisée. Ces conditions sont remplies lorsque les unités décentralisées ont accès aux moyens informatiques de l’administration fédérale centralisée des catégories de sécurité « protection élevée » ou « protection très élevée », lorsqu’elles exploitent elles-mêmes de tels moyens informatiques ou lorsqu’elles traitent des informations classifiées de la Confédération. La ChF et les départements peuvent en outre proposer au Conseil fédéral d’assujettir d’autres unités décentralisées. Les organisations chargées de tâches administratives, mais n’appartenant pas à l’administration fédérale au sens de l’art. 2, al. 4, LOGA, sont totalement exclues du champ d’application de la LSI et donc de l’OSI. Elles sont considérées comme des tiers.

L’OSI s’applique par analogie à l’Assemblée fédérale, aux tribunaux fédéraux, au Ministère public de la Confédération et à son autorité de surveillance, ainsi qu’à la Banque nationale suisse, s’ils n’édictent pas leurs propres dispositions.

c. Collaboration avec les cantons

Dans la mesure où les cantons traitent des informations classifiées de la Confédération, les dispositions de la LSI et de l’OSI relatives aux informations classifiées sont applicables. Il en va de même des dispositions sur la sécurité informatique si les cantons accèdent aux moyens informatiques de la Confédération. En pratique, les cantons seront comme aujourd’hui tenus de satisfaire aux exigences de sécurité que l’office fédéral responsable du système informatique aura fixées en application des règles de la LSI et de l’OSI. Toutefois, les cantons peuvent s’affranchir des dispositions légales de la Confédération s’ils garantissent eux-mêmes une sécurité équivalente de l’information. Cela suppose qu’ils édictent leurs propres prescriptions de sécurité en s’appuyant sur la norme fédérale et les fassent appliquer dans leur domaine de compétence. Les normes fédérales déterminantes sont les prescriptions et exigences techniques pour la protection de base de l’informatique au sein de la Confédération et pour la protection des informations classifiées. Les cantons ne sont pas tenus de mettre en œuvre un système de management de la sécurité de l’information (SMSI).

d. Gestion de la sécurité de l’information

Les unités administratives sont tenues de sécuriser l’information au moyen d’un système de management de la sécurité de l’information approprié (SMSI). Un SMSI est un instrument de conduite servant à planifier, mettre en œuvre, vérifier et améliorer systématiquement la sécurité de l’information. Il englobe les prescriptions et procédures nécessaires et indique à qui sont dévolues, au sein de l’organisation, telles ou telles tâches, compétences et responsabilités. Cette abréviation renvoie implicitement à la norme ISO/IEC 27001 qui tend à se généraliser tant dans l’économie privée que dans les administrations publiques. Plusieurs unités administratives et départements ont déjà décidé d’appliquer systématiquement la norme ISO à leur processus visant à sécuriser l’information. Certaines ont reçu une certification formelle. L’OSI n’exige qu’un SMSI light des unités administratives : en d’autres termes, elles peuvent appliquer uniquement les principaux processus de gestion et non la norme ISO dans son intégralité. Ces processus principaux sont réglés dans l’SI. Une certification externe n’est pas exigée. Les unités administratives et les départements peuvent toutefois définir un niveau d’ambition supérieur.

5 RS 120.73

6 RS 510.411