Rapport explicatif

e. Protection des informations classifiées et sécurité informatique

Les critères de classification des informations et d’attribution d’une catégorie de sécurité aux moyens informatiques s’appuient sur les critères de gestion des risques de la Confédération. Ces critères sont forcément imprécis et nécessitent une interprétation. Des outils seront créés pour leur application. La Confédération va réduire la quantité d’informations classifiées.

Concernant les mesures concrètes de protection des informations classifiées et de garantie de la sécurité informatique, l’OSI reprend en majorité les règles actuelles de l’OPrI et de l’OPCy. Les consignes détaillées, y compris sur les exigences techniques actuellement manquantes sur le traitement électronique des informations classifiées, seront rédigées probablement d’ici fin 2023 et harmonisées avec les normes internationales dès lors que cela s’avère possible et judicieux.

f. Accréditation de sécurité des moyens informatiques

L’OSI introduit une obligation d’accréditation pour un nombre limité de systèmes d’information sensibles au sein desquels des informations classifiées CONFIDENTIEL ou SECRET sont traitées (p. ex. une application pour la communication vidéo confidentielle). L’OSI comble ainsi une lacune qui complique aujourd’hui la collaboration internationale dans le domaine de la sécurité. Une accréditation de sécurité est exigée à l’étranger et sur le plan international quand des informations protégées d’une autorité (ou d’un État) doivent être traitées dans le système d’une autre autorité (ou d’un autre État). Elle atteste que le système de destination répond aux exigences de sécurité imposées et que les risques résiduels peuvent être supportés conformément aux techniques les plus récentes. Si l’accréditation de sécurité ne peut pas être accordée, le Conseil fédéral doit évaluer les risques résiduels et décider de l’utilisation des moyens informatiques.

g. Sécurité des personnes

La prise de responsabilité vis-à-vis des risques de sécurité liés aux personnes est une tâche de direction permanente. Le nouvel art. 20a de la loi fédérale sur le personnel de la Confédération du 24 mars 2000⁸ (LPers), introduit par la LSI, permet aux unités administratives d’exiger des candidats à un poste et de ses employés qu’ils produisent un extrait de leur casier judiciaire et du registre des poursuites, si cela est nécessaire pour préserver leurs intérêts. La pratique a montré qu’une fois le contrôle de sécurité relatif aux personnes (CSP) effectué, les risques correspondants ne donnaient souvent plus matière à discussion. Dans l’esprit d’un suivi largement répandu sur le plan international (appelé aftercare), les collaborateurs contrôlés doivent donc signaler à leur employeur des faits de leur environnement privé et professionnel qui pourraient menacer la sécurité (p. ex. un chantage suite à de lourdes dettes dues à des jeux de hasard). Le traitement d’un risque potentiellement élevé ressort de la compétence de l’employeur. Celui-ci peut exiger des collaborateurs concernés les extraits visés à l’art. 20a LPers, y compris durant la période de répétition du CSP. Selon le cas, une telle annonce peut entraîner une répétition extraordinaire du CSP.

h. Responsables de la sécurité et préposés à la sécurité de l’information

Une nouveauté importante de l’OSI concerne les directions d’office. L’OSI leur délègue des tâches, compétences et responsabilités concrètes dans le domaine de la sécurité de l’information qu’elles peuvent, si nécessaire, confier à un membre de leur direction (responsable de la sécurité). Les responsables de la sécurité surveillent le SMSI de l’office et prennent toutes les décisions importantes relatives à la sécurité de l’information. Les activités de surveillance opérationnelles relèvent des préposés correspondants, conformément à l’art. 37. L’OSI fusionne les rôles actuels de délégué à la sécurité informatique et de préposé à la protection des informations dans celui de préposé à la sécurité de l’information. Ses tâches seront précisées en conséquence et complétées par la gestion du SMSI.

Au sens des art. 37, 38 et 41–42 LOGA, les départements sont responsables du pilotage, de la coordination et de la surveillance de la sécurité de l’information en leur sein. Ils définissent notamment la politique de sécurité de l’information et l’organisation de la sécurité départementale. La responsabilité opérationnelle de la sécurité incombe au secrétaire général, pour autant que les chefs de département n’en décident pas autrement. Les préposés à la sécurité de l’information continuent d’assumer la coordination et la surveillance opérationnelles (art. 81 LSI).