Rapport explicatif

contenant lesdites fonctions. Le DDPS doit gérer ces listes de façon centralisée et les actualiser régulièrement sur demande des départements et de la Chancellerie fédérale (ChF).

Les listes de fonctions soumises à contrôle selon la LSI sont sensibles du point de vue de la sécurité de l’information. Elles offrent la vue d’ensemble de toutes les fonctions au sein de l’administration et de l’armée qui ont accès à des informations classifiées ou qui gèrent ou exploitent des systèmes informatiques critiques de la Confédération. Même si ces listes ne contiennent pas les noms des chargés de fonction, c’est, grâce aux réseaux sociaux, chose facile pour un attaquant potentiel de faire le lien entre une identité et une fonction et ainsi d’acquérir une cible pour des actions d’espionnage ou de sabotage. Dans le domaine militaire, les listes de fonctions détaillées permettent de tirer des conclusions sur les détails non publiés de l’organisation de l’armée. Par conséquent, les listes contenant les fonctions soumises à contrôle au sens de la LSI ne doivent pas être publiées en vertu de l’art. 6, al. 1, de la loi sur les publications officielles du 18 juin 2004¹⁴ (LPubl). Pour les mêmes raisons, la liste des fonctions selon la loi sur l’approvisionnement en électricité du 23 mars 2007¹⁵ (LApEl) ne doit pas non plus être publiée. Les listes des fonctions soumises à contrôle à des fins de lutte contre la corruption ou de protection de la réputation de la Confédération peuvent sans autre être publiées comme à présent.

Les listes de fonctions ne seront établies qu’à partir de l’ouverture de la procédure de consultation. Il faut déjà s’assurer que les critères de vérification soient bien acceptés. Il est en effet question de plusieurs milliers d’entrées potentielles à vérifier avant de les intégrer dans les listes de fonctions définitives. Des informations détaillées sur la charge de travail occasionnée par les CSP ne seront disponibles qu’après la consultation.

3.6 Ordonnance sur la procédure de sécurité relative aux entreprises (OPSE)

a. Généralités

La LSI (art. 49 à 72 LSI) introduit la procédure de sécurité relative aux entreprises. La procédure a pour objet la sécurité de l’information dans le cadre de l’attribution de mandats sensibles des autorités fédérales à des entreprises non soumises à leur surveillance directe. Elle sert à contrôler la fiabilité de l’entreprise pressentie. Les entreprises influencées par des services de renseignement étrangers ne doivent pas avoir accès aux informations sensibles ou aux moyens informatiques critiques de la Confédération. Cette nouvelle procédure abroge la méthode de gestion des risques visant à réduire l’espionnage industriel. Elle permet également de contrôler et de faire respecter la sécurité de l’information durant l’exécution du mandat.

b. Objet et champ d’application

L’OPSE règle les détails de la procédure et remplace l’ordonnance du 29 août 1990 concernant la sauvegarde du secret¹⁶, laquelle se limitait aux mandats à contenu militaire classifié. L’OPSE s’applique à toutes les autorités et organisations qui tombent sous le coup de la LSI. Elle ne s’applique aux unités de l’administration fédérale décentralisée que dans la mesure où celles-ci tombent sous le coup de l’OSI (cf. ch. 3.3, let. b).

c. Acquisitions subordonnées

L’ordonnance définit les acquisitions auxquelles s’applique la procédure dans tous les cas. Sont concernés les mandats dont l’exécution requiert l’accès à des informations classifiées SECRET et les acquisitions de systèmes sensibles traitant des informations classifiées CONFIDENTIEL de plusieurs organisations ou qui sont utilisés par plusieurs offices et départements. Pour toutes les autres acquisitions, le service spécialisé chargé de la procédure de sécurité relative aux entreprises évaluera la nécessité d’une procédure avec l’adjudicateur.

d. Coordination avec le droit des marchés publics

Comme la LSI, la nouvelle ordonnance et le nouveau droit de la Confédération sur les marchés publics se recoupent à plusieurs occasions. Ces recoupements ont été contrôlés en détail et traités lors de l’élaboration de l’avant-projet, en collaboration avec des représentants des services spécialisés. L’application en bonne et due forme de la procédure de sécurité relative aux entreprises suppose une étroite collaboration entre l’adjudicateur, le service des acquisitions et le service spécialisé chargé de ladite procédure. Cette coopération doit s’opérer le plus rapidement

14 RS 170.512