InitialSituation

Communiqué de presse du Conseil fédéral du 23.02.2017

Le Conseil fédéral adopte le message relatif à une loi sur la sécurité de l'information

La sécurité de l'information au sein de la Confédération doit être adaptée aux défis actuels de la société de l'information. Lors de sa séance du 22 février 2017, le Conseil fédéral a adopté le message relatif à une loi fédérale sur la sécurité de l'information. La loi crée pour toutes les autorités fédérales un cadre légal formel unique pour la protection de l'information et la sécurité des moyens informatiques.

L'utilisation abusive d'information, le vol de données ou la perturbation de systèmes d'information sensibles peuvent nuire gravement aux intérêts essentiels de la Suisse et léser les droits de personnes physiques et morales. Ils peuvent même, dans certains cas, mettre en péril l'accomplissement de tâches vitales de la Confédération. Notre évolution vers une société de l'information accentue la complexité et la dynamique de ces menaces. Le Conseil exige que ces menaces soient appréhendées et confrontées globalement et de manière coordonnée. Cette exigence implique des mesures d'ordre tant juridique qu'organisationnel.

La loi sur la sécurité de l'information établit, sur la base de normes reconnues internationalement, un cadre légal formel uniforme pour la conduite et la mise en oeuvre de la sécurité de l'information de la Confédération. Le Conseil fédéral veut améliorer la sécurité durablement tout en tenant compte des coûts. Sur la base d'une gestion des risques efficace, l'effort principal doit être porté sur les informations et les systèmes d'information les plus critiques de même que sur la standardisation des mesures de sécurité.

La loi s'adresse en premier lieu aux autorités fédérales, y compris le Parlement, les tribunaux fédéraux, le Ministère public de la Confédération et la Banque nationale suisse. Les particuliers ainsi que les acteurs du secteur de l'économie ne sont concernés par cette loi que dans la mesure où ils exercent des activités sensibles sur mandat des autorités fédérales. Le Conseil fédéral souhaite toutefois également améliorer la collaboration avec les cantons. Ceux-ci seront tenus d'assurer une sécurité égale à celle requise par la Confédération lorsqu'ils traitent des informations classifiées ou accèdent à des systèmes informatiques de la Confédération. Les cantons siègeront dans l'organe de coordination prévu par la loi et participeront activement à la standardisation des mesures de sécurité.

La loi regroupe les principales mesures de la sécurité de l'information en un seul acte juridique. Elle règle en particulier la gestion des risques, la classification des informations et la sécurité des moyens informatiques. Le principe de la transparence de l'administration doit continuer de s'appliquer sans restriction, raison pour laquelle sa primauté est explicitement reconnue.

Les dispositions régissant les contrôles de sécurité relatifs aux personnes sont transférées de la loi fédérale instituant des mesures visant au maintien de la sûreté intérieure vers la nouvelle loi sur la sécurité de l'information. Simultanément, ces dispositions sont adaptées aux besoins actuels en matière de sécurité de l'information. Le Conseil fédéral veut réduire le recours aux contrôles de sécurité relatifs aux personnes au minimum nécessaire à l'identification de risques considérables pour la Confédération. À l'avenir, la Confédération conduira nettement moins de contrôles de sécurité relatifs aux personnes.

La loi crée finalement une nouvelle procédure de contrôle et d'accompagnement des entreprises privées chargée d'effectuer des mandats sensibles de la Confédération. Le Conseil fédéral désire utiliser ce nouvel instrument, la procédure de sécurité relative aux entreprises, de manière ciblée et peu bureaucratique. Il crée aussi la base légale formelle permettant aux autorités de délivrer une déclaration de sécurité en faveur des entreprises suisses qui soumissionnent pour des mandats internationaux classifiés et qui ont, pour ce faire, besoin d'une déclaration nationale de sécurité.

Les coûts de mise en oeuvre de la loi dépendent presque complètement du niveau de sécurité que les autorités fédérales voudront atteindre et des mesures de sécurité qu'elles fixeront dans les ordonnances d'exécution. Le besoin supplémentaire en personnel devrait, pour l'essentiel, être compensé par une réduction correspondante du personnel chargé aujourd'hui de procéder aux contrôles de sécurité relatifs aux personnes. Entre quatre et onze places supplémentaires pourraient néanmoins être nécessaires à moyen terme.

Proceedings

Dépêche ATS

Délibérations au Conseil des États, 04.12.2017

La Confédération doit renforcer la sécurité de l'information

La Confédération doit mieux protéger ses informations. Le Conseil des États a adopté lundi une loi en ce sens, tout en la remaniant. Il tient à ce que les collaborateurs externes exerçant des activités sensibles soient toujours soumis à un contrôle de sécurité.

Il est nécessaire de légiférer car l'usage abusif d'information ou le vol de données peuvent mettre en péril l'accomplissement de tâches vitales de la Confédération. La loi, qui passe au National, a été adoptée par 39 voix et 4 abstentions. L'indépendant schaffhousois Thomas Minder a émis de sérieux doutes face à cet "exercice bureaucratique". Une loi n'empêchera pas les cyberattaques.

L'exécution de la loi pourrait déboucher sur la création de quatre à onze postes à moyen terme. Elle devrait être contrôlée périodiquement par un service indépendant, en particulier le Contrôle fédéral des finances. Au nom de la commission, Isidore Baumann (PDC/UR) a regretté le manque d'estimations claires des coûts, notamment pour les cantons.

La réglementation se fonde sur des normes internationales éprouvées et fixe un cadre formel. Les exigences et les mesures seront standardisées. Le principe de la transparence dans l'administration n'est pas remis en cause.

Ciblé

Afin de réduire les coûts, l'effort principal sera porté sur les informations et les systèmes les plus critiques. Les sénateurs ont ajouté l'approvisionnement en eau potable parmi les infrastructures critiques.

La loi concerne au premier chef les autorités fédérales, le Parlement, les tribunaux fédéraux, le Ministère public de la Confédération (MPC) et la Banque nationale. Les particuliers et les entreprises ne sont touchés que dans la mesure où ils exercent des activités sensibles sur mandat.

La collaboration avec les cantons qui devront assurer le même niveau de sécurité que la Confédération sera améliorée. Les cantons pourront recourir pour leurs propres besoins aux services spécialisés prévus. Ils seront également inclus dans l'organe de coordination pour la standardisation des mesures.

La conférence des futurs préposés à la sécurité de l'information assurera ce rôle. Ses membres remplaceront dans chaque département les préposés à la protection de l'information et des délégués à la sécurité informatique.

Contrôles de sécurité

Le Conseil fédéral souhaite lever le pied concernant les contrôles de sécurité, qui doivent assurer à l'embauche que certains employés ne présentent pas de danger. Il veut réduire leur nombre de quelque 80'000 par an au strict minimum nécessaire à l'identification de risques considérables pour la Confédération.

Seules les personnes qui exercent des activités sensibles devraient être concernées. Le personnel de nettoyage devrait par exemple être exclu, sauf si sa fonction implique des travaux dans une zone de sécurité.

Pour garantir la sécurité de l'information lors de l'attribution de mandats sensibles, la procédure de sécurité sera élargie aux entreprises privées. Contrairement aux personnes, elles pourront voir le respect des mesures imposées vérifié en tout temps.

Aussi pour les collaborateurs externes

Le Conseil des États a précisé que les collaborateurs externes exerçant des activités sensibles doivent systématiquement être soumis un contrôle de sécurité. Il a ajouté que des contrôles de loyauté pouvaient aussi être menés pour les personnes appelées à exercer des tâches policières ou de poursuite pénale dans le cadre de leur fonction.

L'Autorité de surveillance du MPC pourrait aussi recourir à ces contrôles. Le Secrétariat d'État aux migrations pourrait quant à lui faire vérifier la loyauté des interprètes et des traducteurs.

Protection des données

Les sénateurs sont intervenus sur un autre point : ils souhaitent que toutes les autorités et organisations concernées par la loi puissent se servir du numéro AVS pour identifier des personnes. Les préposés cantonaux à la protection des données ne sont pas d'accord : un tel usage présente des risques très élevés d'abus. Des précisions seront peut-être nécessaires, selon le ministre de la défense Guy Parmelin.

Afin de soutenir les exploitants d'infrastructures critiques, les organes fédéraux pourront traiter et échanger des ressources sensibles d'adressage du domaine des télécommunications. Le projet étend par ailleurs la protection pénale du secret de fonction aux auxiliaires externes.

Il permettra aussi de délivrer une déclaration de sécurité nationale en faveur des entreprises suisses qui soumissionnent pour des mandats internationaux classifiés. Il permettra enfin au Conseil fédéral de conclure des conventions internationales dans le domaine de la sécurité de l'information.

Dépêche ATS

Délibérations au Conseil national, 13.03.2018

Le National doute du projet de loi sur la sécurité de l'information

La loi sur la sécurité des informations de la Confédération est trop complexe. Le National n'en veut pas. La majorité des députés a douté de l'efficacité de ce texte et craint des conséquences financières trop élevées.

Par 117 voix contre 68 et 8 abstentions, la Chambre du peuple a décidé de ne pas entrer en matière. Les arguments du Conseil fédéral et de la gauche, n'ont pas suffi. Le dossier retourne au Conseil des États, qui avait adopté le projet par 39 voix et 4 abstentions. Un second refus du National serait définitif.

Personne n'a remis en question la nécessité d'agir. Toutefois, les problèmes identifiés doivent être résolus dans le cadre des lois en vigueur et par une meilleure coordination de la Confédération, a expliqué Raymond Clottu (UDC/NE) au nom de la commission.

La loi mettrait en place un système de protection de l'information démesuré qui risquerait de déployer sa propre dynamique, a-t-il encore souligné. Elle risque de se soustraire peu à peu au contrôle du Parlement, a estimé le Conseil national. Ce qui est "extrêmement dangereux", a ajouté David Zuberbühler (AR) pour le groupe UDC.

Coûts imprécis

Selon la commission préparatoire, la loi engendre trop de bureaucratie supplémentaire et ne contribue pas à une mise en oeuvre uniforme. L'argument financier a également fait mouche. Les effets de la loi ne peuvent pas être évalués pour l'instant.

Selon le niveau de sécurité, les coûts varient entre 5 et 87 millions de francs. Neuf à 78 nouvelles places de travail devraient être créées. Les conséquences financières doivent être connues, ont estimé les parlementaires. "Nous ne pouvons pas nous engager dans de telles expériences", a lancé Ida Glanzmann (PDC/LU).

Irresponsable

Pour la gauche et le Conseil fédéral, cette loi est nécessaire et essentielle. Et sa complexité ne doit pas être un argument pour la rejeter. "Il y a urgence à agir", a soutenu Carlo Sommaruga (PS/GE). Les autorités se développent sur Internet et sont face à des défis majeurs et la menace est réelle.

Pour le PBD, ne pas entrer en matière est irresponsable. Rosmarie Quadranti (PBD/ZH) a également reproché à la commission un refus de travailler. Selon elle, la commission avait en main les outils pour élaguer la loi.

Combler les lacunes

Le dispositif actuel est insuffisant et lacunaire. Il est dispersé sur plus de dix lois, a argumenté M. Sommaruga. La proposition du Conseil fédéral apporte plus de cohérence dans la mise en oeuvre et améliore les contrôles de sécurité. Les lacunes de sécurité pourraient être comblées et la coordination renforcée à un coût acceptable par rapport au risque pour la sécurité.

"L'argument financier ne tient pas la route. Cinq millions de francs, c'est mille fois moins que le budget de l'armée", a rappelé le Genevois. De plus, les coûts de rétablissement sont bien supérieurs aux coûts des mesures qui permettent de réduire les risques en amont, a plaidé en vain le conseiller fédéral Guy Parmelin.

Le Parlement garderait le contrôle, a-t-il encore assuré. Les ordonnances seront soumises aux commissions concernées.

Dépêche ATS

Délibérations au Conseil des États, 26.09.2018

Le Conseil des États veut une loi sur la sécurité de l'information

La Confédération doit mieux protéger ses informations contre les cyberrisques. Selon le Conseil des États, elle ne peut se passer d'une loi sur la sécurité de l'information. Les sénateurs ont tacitement confirmé mercredi leur entrée en matière sur le projet. Le National aura le dernier mot.

En mars dernier, la Chambre du peuple avait refusé par 117 voix contre 68 de débattre d'une loi qu'elle jugeait trop complexe. Selon la majorité de droite, les problèmes identifiés doivent être résolus dans le cadre des lois en vigueur et par une meilleure coordination de la Confédération. Et de craindre la création d'un monstre bureaucratique.

Un deuxième refus d'entrer en matière de la part du National signerait l'arrêt de mort du projet. En attendant, le Conseil des États reste convaincu de la nécessité et de l'urgence d'un cadre légal formel unique pour la protection de l'information et la sécurité des moyens informatiques.

Et Isidor Baumann (PDC/UR) de rappeler au nom de la commission, que c'est le Parlement qui avait appelé de ses voeux un tel projet. C'est le système actuel qui est bureaucratique et inefficace.

Un seul maillon fragilisé risque de faire casser toute la chaîne, a averti le ministre de la défense Guy Parmelin. Le Conseil fédéral est prêt à se pencher en détail sur certains points critiques de la nouvelle loi, notamment concernant les coûts. Mais pour cela, il faut entrer en matière.

Destiné aux autorités

La loi s'adresse en premier lieu aux autorités fédérales, y compris au Parlement, aux tribunaux fédéraux, au Ministère public de la Confédération et à la Banque nationale suisse. Les particuliers et les acteurs du secteur de l'économie ne sont concernés que dans la mesure où ils exercent des activités sensibles sur mandat des autorités fédérales.

Le Conseil des États souhaite que toutes les autorités et organisations concernées par la loi puissent se servir du numéro AVS pour identifier des personnes. Les préposés cantonaux à la protection des données ont tiré la sonnette d'alarme à ce sujet : selon eux, cela présente des risques très élevés d'abus et les autorités devraient y renoncer.

Dépêche ATS

Délibérations au Conseil national, 04.06.2020

Le National soutient la loi sur la sécurité de l'information

La Confédération doit mieux protéger ses informations contre les cyberrisques. Le National a finalement approuvé jeudi le projet par 131 voix contre 53. Au grand dam de l'UDC. Le dossier retourne au Conseil des États.

En mars 2018, la Chambre du peuple avait refusé l'entrée en matière à près de deux contre un. La majorité avait estimé la réforme trop complexe, elle doutait de son efficacité et craignait son coût. Le Conseil des États a décidé l'inverse en automne 2018, forçant la main au National.

Le projet veut renforcer et sécuriser le fonctionnement de l'État, a expliqué Pierre-Alain Fridez (PS/JU) au nom de la commission. Les différentes cyberattaques ont montré les lacunes dans notre système. La loi offre un cadre moderne au domaine de la cybersécurité, a avancé la conseillère fédérale Viola Amherd.

La réglementation se fonde sur des normes internationales éprouvées. Le principe de la transparence dans l'administration n'est pas remis en cause. Seule l'UDC s'est opposée à un "monstre bureaucratique". Selon David Zuberbühler (UDC/AR), le projet n'augmente pas la sécurité de l'information, mais les coûts.

Destiné aux autorités

La loi s'adresse en premier lieu aux autorités fédérales, y compris au Parlement, aux tribunaux fédéraux, au Ministère public de la Confédération et à la Banque nationale suisse. Un standard minimal sera introduit. Les particuliers et les acteurs du secteur de l'économie ne sont concernés que dans la mesure où ils exercent des activités sensibles sur mandat des autorités fédérales.

La collaboration avec les cantons qui devront assurer le même niveau de sécurité que la Confédération sera améliorée. Les cantons pourront recourir pour leurs propres besoins aux services spécialisés prévus. Ils seront également inclus dans l'organe de coordination pour la standardisation des mesures.

Contrôles de sécurité

Le Conseil fédéral souhaite lever le pied concernant les contrôles de sécurité, qui doivent assurer à l'embauche que certains employés ne présentent pas de danger. Il veut réduire leur nombre de quelque 80'000 par an au strict minimum nécessaire à l'identification de risques considérables pour la Confédération.

Seules les personnes qui exercent des activités sensibles devraient être concernées ; il s'agit notamment des collaborateurs externes qui seront soumis à un contrôle systématique. Les magistrats cantonaux élus par le peuple ou par le parlement du canton ne devraient pas y être soumis, a tacitement décidé la Chambre.

Des contrôles de loyauté pourraient aussi être menés pour les personnes appelées à exercer des tâches policières ou de poursuite pénale dans le cadre de leur fonction. L'Autorité de surveillance du MPC pourrait aussi recourir à ces contrôles. Le Secrétariat d'État aux migrations pourrait quant à lui faire vérifier la loyauté des interprètes et des traducteurs.

Les tiers auxquels la société nationale du réseau de transport attribue des fonctions critiques peuvent être soumis à un contrôle périodique de sécurité relatif aux personnes.

Les autorités et organisations concernées pourront prendre des mesures dans les zones de sécurité. Les appareils de prises de vue et de son pourront être interdits.

AVS

Contrairement aux sénateurs, le Conseil national ne souhaite pas que toutes les autorités et organisations concernées par la loi puissent systématiquement se servir du numéro AVS pour identifier des personnes, a-t-il décidé par 137 voix contre 52. Ces organisations auront toutefois la possibilité de l'utiliser de manière temporaire.

Pour Beat Flach, ce numéro permet d'identifier en toute sécurité une personne et d'éviter des confusions. Son utilisation ne représente pas une lacune dans la sécurité de l'information. Le numéro AVS est très bien sécurisé, a avancé la ministre de la défense.

Contrôle du Parlement

Le National a suivi le Conseil des États et ajouté nommément l'approvisionnement en eau potable et en énergie parmi les infrastructures critiques. Les installations hospitalières ne seront pas explicitement mentionnées. Elles sont déjà incluses dans la notion d'"infrastructures essentielles au fonctionnement de l'économie et du bien-être de la population".

Le Conseil fédéral devrait consulter les commissions compétentes lorsqu'il fixe les objectifs et les coûts de la sécurité de l'information, a décidé le National par 158 voix contre 22. Cette disposition est superflue, a estimé Mme Amherd. Le Parlement a déjà cette compétence.

Dépêche ATS

Délibérations au Conseil des États, 15.09.2020

Le Conseil des États maintient l'utilisation du numéro AVS

Les autorités et les organisations concernées par la loi sur la sécurité de l'information devraient pouvoir utiliser le numéro AVS pour identifier des personnes. Par 31 voix contre 10, le Conseil des États veut maintenir ce point de la réforme. La balle retourne dans le camp du National.

Le numéro AVS constitue le moyen le plus fiable d'identifier les personnes, a expliqué Olivier Français (PLR/VD) au nom de la commission.

Aujourd'hui déjà, plus de 9000 offices, hors des assurances sociales, utilisent cet identifiant, a précisé la ministre de la défense Viola Amherd. Par ailleurs, le projet de modification de la loi sur l'AVS prévoit lui aussi son utilisation systématique par les autorités.

De l'avis de Mathias Zopfi (Verts/GL), son utilisation risque d'entraîner des abus. L'utilisation d'un numéro personnel non traçable fonctionne tout aussi bien. Suivant le Conseil fédéral, il proposait que les services puissent générer un numéro personnel dérivé du numéro AVS selon un processus unidirectionnel et irréversible.

Le National y est également opposé. Ces organisations ne devraient pouvoir l'utiliser que de manière temporaire.

Le Conseil fédéral ne devrait pas consulter les commissions compétentes lorsqu'il fixe les objectifs et les coûts de la sécurité de l'information. Les sénateurs se sont tacitement opposés à cette demande du National. Cette disposition est superflue, a estimé M. Français. Le Parlement a déjà cette compétence, a précisé la conseillère fédérale.

Dépêche ATS

Délibérations au Conseil national, 23.09.2020

La loi sur la sécurité de l'information à bout touchant

La loi sur la sécurité de l'information est à bout touchant. Le Conseil national n'a pas cédé quant à l'utilisation du numéro AVS par les autorités et les organisations concernées par la loi qui doivent identifier des personnes. Il a toutefois éliminé une autre divergence. Le dossier repasse au Conseil des États.

Le numéro AVS constitue le moyen le plus fiable d'identifier les personnes. "On y gagnera en sécurité et en efficacité", a soutenu Maja Riniker (PLR/AG).

Aujourd'hui déjà, plus de 9000 offices, hors des assurances sociales, utilisent cet identifiant, a précisé la ministre de la défense Viola Amherd. Par ailleurs, le projet de modification de la loi sur l'AVS prévoit lui aussi son utilisation systématique par les autorités.

Rien n'y a fait. Les députés ont tenu bon et refusé l'utilisation du numéro AVS par 90 voix contre 87 et 9 abstensions. Ces organisations auront la possibilité d'utiliser ce numéro de manière temporaire, a rappelé Alois Gmür (PDC/SZ) au nom de la commission.

Les députés ont toutefois cédé sur le dernier point de discorde. Le Conseil fédéral ne devra pas consulter les commissions compétentes lorsqu'il fixe les objectifs et les coûts de la sécurité de l'information. Le Parlement a déjà cette compétence, a précisé la conseillère fédérale.

Dépêche ATS

Délibérations au Conseil des États, 08.12.2020

Sécurité de l'information - Impasse sur l'utilisation du numéro AVS pour identifier un individu

La loi sur la sécurité de l'information n'est pas encore sous toit. Le Conseil des États n'a pas cédé mardi concernant l'utilisation du numéro AVS pour identifier des personnes. L'objet retourne au National.

Contrairement à la Chambre du peuple, les sénateurs souhaitent que toutes les autorités et organisations concernées par la loi puissent systématiquement se servir du numéro AVS pour identifier des personnes. Ils ont confirmé mardi leur position par 30 voix contre 10.

Le numéro AVS constitue le moyen le plus fiable d'identifier les personnes. C'est une solution "rationnelle, économique et efficace", a déclaré Olivier Français (PLR/VD) au nom de la commission.

Son utilisation ne représente pas une lacune dans la sécurité de l'information. Le numéro AVS est très bien sécurisé, a avancé la ministre de la défense Viola Amherd. Aujourd'hui déjà, plus de 9000 offices, hors des assurances sociales, utilisent cet identifiant.

Par ailleurs, le projet de modification de la loi sur l'AVS - adoptée à une large majorité en juin par le Conseil des États et ce mardi par le National - prévoit lui aussi son utilisation systématique par les autorités, a-t-elle ajouté.

Dépêche ATS

Délibérations au Conseil national, 10.12.2020

Accord sur l'utilisation du numéro AVS pour identifier un individu

La loi sur la sécurité de l'information est sous toit. Le National s'est rallié jeudi au Conseil des États pour autoriser l'utilisation systématique du numéro AVS pour identifier des personnes.

Les députés avaient jusqu'ici toujours refusé que toutes les autorités et organisations concernées par la loi puissent systématiquement se servir du numéro AVS pour identifier des personnes. Ils ont revu leur position jeudi par 140 voix contre 46.

Le numéro AVS constitue le moyen le plus fiable d'identifier les personnes. Il est très bien sécurisé, a déclaré Pierre-Alain Fridez (PS/JU) au nom de la commission. Par le passé, on pouvait déterminer la date de naissance d'une personne grâce à son numéro AVS, aujourd'hui il ne contient plus aucune information personnelle.

Plusieurs intervenants, dont la ministre de la défense Viola Amherd, ont également souligné que le Conseil national a mis sous toit mardi la révision de la loi sur l'AVS qui prévoit elle aussi l'utilisation systématique du numéro AVS par les autorités. En outre, aujourd'hui déjà, plus de 9000 offices, hors des assurances sociales, utilisent cet identifiant, comme des crèches ou des écoles de coiffure, a rappelé la Valaisanne.

"Toutes les données doivent être protégées", a contré en vain Léonore Porchet (Verts/VD), dénonçant une "épidémie de vols d'identité" aux États-Unis. Jean-Luc Addor (UDC/VS) a de son côté dénoncé une "insécurité de l'information".

Destiné aux autorités

Le projet veut renforcer et sécuriser le fonctionnement de l'État. Il offre un cadre moderne au domaine de la cybersécurité. La réglementation se fonde sur des normes internationales éprouvées. Le principe de la transparence dans l'administration n'est pas remis en cause.

La loi s'adresse en premier lieu aux autorités fédérales, y compris au Parlement, aux tribunaux fédéraux, au Ministère public de la Confédération et à la Banque nationale suisse. Un standard minimal sera introduit. Les particuliers et les acteurs du secteur de l'économie ne sont concernés que dans la mesure où ils exercent des activités sensibles sur mandat des autorités fédérales.

La collaboration avec les cantons qui devront assurer le même niveau de sécurité que la Confédération sera améliorée. Les cantons pourront recourir pour leurs propres besoins aux services spécialisés prévus. Ils seront également inclus dans l'organe de coordination pour la standardisation des mesures.