Ordonnance du 8 novembre 2023 sur la sécurité de l’information dans l’administration fédérale et l’armée (Ordonnance sur la sécurité de l’information, OSI) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza dell’8 novembre 2023 sulla sicurezza delle informazioni in seno all’Amministrazione federale e all’esercito (Ordinanza sulla sicurezza delle informazioni, OSIn)" shortForm="OSIn"/><FRBRname xml:lang="de" value="Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (Informationssicherheitsverordnung, ISV)" shortForm="ISV"/><FRBRname xml:lang="fr" value="Ordonnance du 8 novembre 2023 sur la sécurité de l’information dans l’administration fédérale et l’armée (Ordonnance sur la sécurité de l’information, OSI)" shortForm="OSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/xml"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2025-q1-rel-1.7.1"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Chancellerie fédérale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/FRA" showAs="fr"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>128.1 </docNumber></p><p><docTitle>Ordonnance <br/>sur la sécurité de l’information dans l’administration fédérale et l’armée</docTitle></p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">(Ordonnance sur la sécurité de l’information, OSI)</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">du 8 novembre 2023 (État le 1<sup>er</sup> mai 2025)</p></preface><preamble><p>Le Conseil fédéral suisse,</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">vu les art. 2, al. 3 et 4, 12, al. 3, 83, al. 3, 84, al. 1, 85, al. 1 et 2, et 86, al. 4, de la loi du 18 décembre 2020 sur la sécurité de l’information (LSI)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>128</b></ref></p></authorialNote>,</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">arrête:</p></preamble><body><section eId="sec_1"><num>Section 1</num><heading>Dispositions générales</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>Objet</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 1 LSI)</subheading><paragraph eId="art_1/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">La présente ordonnance régit les tâches, les responsabilités, les compétences et les procédures qui permettent de garantir la sécurité de l’information au sein de l’administration fédérale et de l’armée.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Champ d’application</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 2 et 3 LSI)</subheading><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La présente ordonnance s’applique:</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>au Conseil fédéral;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>aux départements;</p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p>à la Chancellerie fédérale (ChF), aux secrétariats généraux, aux groupements et aux offices fédéraux;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p>à l’armée.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><blockList><listIntroduction eId="art_2/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les dispositions suivantes de la LSI et de la présente ordonnance s’appliquent aux unités de l’administration fédérale décentralisée au sens de l’art. 2, al. 3, de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2022_2022_2022" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.010</b></ref></p></authorialNote> et aux organisations et personnes visées à l’art. 2, al. 4, LOGA:<authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. II 1 de l’O du 2 avr. 2025 sur la numérisation, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2025</b> 235</ref>).</p></authorialNote></listIntroduction><item eId="art_2/para_2/lbl_a"><num>a. </num><p>les art. 5, 6, 9, 10, 12 à 15, 20 à 23 et 27 à 73 LSI et les art. 16, 21, 24, 26, 32, 34 et 35 de la présente ordonnance, lorsqu’elles traitent des informations classifiées de la Confédération;</p></item><item eId="art_2/para_2/lbl_b"><num>b.<authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. II 1 de l’O du 2 avr. 2025 sur la numérisation, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2025</b> 235</ref>).</p></authorialNote> </num><p>les art. 5, 6, 9, 10 et 16 à 73 LSI et 10 à 12, 27 et 29 à 35 de la présente ordonnance, lorsqu’elles accèdent aux moyens informatiques des fournisseurs internes de prestations informatiques visés à l’art. 10 de l’ordonnance du 2 avril 2025 sur la numérisation (ONum)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2023/754" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.019.1</b></ref></p></authorialNote> ou délèguent l’exploitation de leurs moyens informatiques à ces fournisseurs.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La ChF et les départements peuvent, dans leur domaine de compétence, soumettre les unités de l’administration fédérale décentralisée qui exercent constamment des activités sensibles à l’ensemble des dispositions de la LSI.</p></content></paragraph><paragraph eId="art_2/para_4"><num>4</num><content><blockList><listIntroduction eId="art_2/para_4/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les dispositions suivantes de la présente ordonnance s’appliquent aux cantons, sous réserve de l’art. 3, al. 2, LSI:</listIntroduction><item eId="art_2/para_4/lbl_a"><num>a. </num><p>les dispositions de la section 4, lors du traitement d’informations classifiées de la Confédération;</p></item><item eId="art_2/para_4/lbl_b"><num>b. </num><p>les art. 28 à 30 et 34, lors de l’accès aux moyens informatiques de la Confédération.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le Groupement Défense assume pour l’armée les tâches, compétences et responsabilités que la présente ordonnance assigne aux unités administratives visées à l’art. 2, al. 1, let. c.</p></content></paragraph></article></section><section eId="sec_2"><num>Section 2</num><heading>Principes</heading><article eId="art_3"><num><b>Art. 3</b></num><heading>Objectifs de sécurité</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 2, let. a, LSI)</subheading><paragraph eId="art_3/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les organisations visées à l’art. 2, al. 1, veillent ensemble à protéger leurs informations et leurs moyens informatiques en fonction du risque et à faire preuve d’une résilience appropriée face aux risques pour la sécurité de l’information.</p></content></paragraph><paragraph eId="art_3/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles contribuent, en collaborant et en échangeant des informations avec les autres autorités fédérales, les cantons, les communes, les milieux économiques, la société, les milieux scientifiques et les partenaires internationaux, à améliorer la sécurité de l’information de la Suisse.</p></content></paragraph><paragraph eId="art_3/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles œuvrent à l’harmonisation, sur le plan national et international, des prescriptions et des niveaux en matière de sécurité afin de permettre l’interaction des autorités fédérales avec d’autres autorités de la Confédération ainsi qu’avec les cantons, les communes et les partenaires internationaux.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Responsabilité</heading><paragraph eId="art_4/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives sont responsables de la protection des informations qu’elles traitent ou dont elles délèguent le traitement et de la sécurité des moyens informatiques qu’elles exploitent elles-mêmes ou font exploiter par des tiers.</p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles assument toutes les tâches relevant de leur domaine de compétence que la présente ordonnance ou d’autres dispositions du droit fédéral n’attribuent pas à une autre organisation ou à un autre service.</p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les collaborateurs de l’administration fédérale et les militaires qui traitent des informations ou utilisent des moyens informatiques de la Confédération sont responsables du respect des prescriptions en la matière.</p></content></paragraph><paragraph eId="art_4/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les supérieurs de tous les échelons sont responsables de la formation liée à la sécurité de l’information de leurs collaborateurs et des militaires qui leur sont subordonnés en fonction de leurs tâches et s’assurent que ceux-ci respectent les prescriptions.</p></content></paragraph></article></section><section eId="sec_3"><num>Section 3</num><heading>Gestion de la sécurité de l’information</heading><article eId="art_5"><num><b>Art. 5</b></num><heading>Système de management de la sécurité de l’information</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, LSI)</subheading><paragraph eId="art_5/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, établissent chacune un système de management de la sécurité de l’information (SMSI).</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles fixent les objectifs de leur SMSI, vérifient chaque année si ces objectifs ont été atteints et relèvent les indicateurs nécessaires à cette fin.</p></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles font contrôler leur SMSI au moins tous les trois ans par un service indépendant ou par leur département et veillent à améliorer continuellement le système.</p></content></paragraph><paragraph eId="art_5/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles coordonnent leur SMSI avec la gestion ordinaire des risques, la gestion de la continuité des activités et la gestion des crises.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Gestion des bases légales et des obligations contractuelles</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, LSI)</subheading><paragraph eId="art_6/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les unités administratives visées à l’art. 2, al. 1, let. c, les départements et le service spécialisé de la Confédération pour la sécurité de l’information établissent la liste des bases légales déterminantes pour leur domaine de compétence et de leurs obligations contractuelles en matière de sécurité de l’information et la tiennent à jour.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Inventaire des objets à protéger</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, LSI)</subheading><paragraph eId="art_7/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, dressent l’inventaire de leurs objets à protéger et le tiennent à jour.</p></content></paragraph><paragraph eId="art_7/para_2"><num>2</num><content><blockList><listIntroduction eId="art_7/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Par objets à protéger, on entend des objets indépendants, plusieurs objets de même nature ou des objets connexes:</listIntroduction><item eId="art_7/para_2/lbl_a"><num>a. </num><p>les collections d’informations traitées dans le but d’exécuter un processus d’affaires de la Confédération;</p></item><item eId="art_7/para_2/lbl_b"><num>b. </num><p>les moyens informatiques visés à l’art. 5, let. a, LSI.</p></item></blockList></content></paragraph><paragraph eId="art_7/para_3"><num>3</num><content><blockList><listIntroduction eId="art_7/para_3/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> L’inventaire mentionne:</listIntroduction><item eId="art_7/para_3/lbl_a"><num>a. </num><p>le besoin de protection des objets à protéger;</p></item><item eId="art_7/para_3/lbl_b"><num>b. </num><p>les responsabilités liées aux objets à protéger;</p></item><item eId="art_7/para_3/lbl_c"><num>c. </num><p>la participation de tiers;</p></item><item eId="art_7/para_3/lbl_d"><num>d. </num><p>le résultat de l’évaluation des risques;</p></item><item eId="art_7/para_3/lbl_e"><num>e. </num><p>la mise en œuvre des mesures de sécurité et l’acceptation des risques qui ne peuvent pas être réduits de manière suffisante (risques résiduels);</p></item><item eId="art_7/para_3/lbl_f"><num>f. </num><p>les contrôles et les audits périodiques;</p></item><item eId="art_7/para_3/lbl_g"><num>g. </num><p>le cas échéant, l’utilisation partagée des objets à protéger.</p></item></blockList></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Gestion des risques</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 2, let. b, et 8 LSI)</subheading><paragraph eId="art_8/para_1"><num>1</num><content><blockList><listIntroduction eId="art_8/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, évaluent en continu les risques pour leurs objets à protéger et assument notamment les tâches suivantes:</listIntroduction><item eId="art_8/para_1/lbl_a"><num>a. </num><p>elles analysent régulièrement les menaces et les vulnérabilités et en évaluent les répercussions sur les objets à protéger;</p></item><item eId="art_8/para_1/lbl_b"><num>b. </num><p>elles mettent en œuvre les mesures nécessaires et en contrôlent les effets;</p></item><item eId="art_8/para_1/lbl_c"><num>c. </num><p>elles contrôlent le respect des directives;</p></item><item eId="art_8/para_1/lbl_d"><num>d. </num><p>elles démontrent l’acceptation des risques résiduels.</p></item></blockList></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information, l’Office fédéral de la cybersécurité (OFCS), les unités administratives qui fournissent des prestations et les organes de sécurité de la Confédération informent les unités administratives visées à l’art. 2, al. 1, let. c, et les départements des menaces et vulnérabilités actuelles et des risques qui les concernent. Ils recommandent au besoin des mesures de limitation des risques.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, rendent compte de leurs risques pour la sécurité de l’information dans le cadre du processus ordinaire de gestion des risques conformément aux directives de l’Administration fédérale des finances.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Autorisation et liste des exceptions</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, LSI)</subheading><paragraph eId="art_9/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Si une unité administrative n’est pas en mesure d’observer une consigne contraignante pour elle d’une directive générale et abstraite visée à l’art. 85 LSI concernant un objet à protéger, elle doit obtenir une autorisation exceptionnelle du service ayant émis la directive.</p></content></paragraph><paragraph eId="art_9/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> <span>Si une exception relevant du domaine de compétence du service spécialisé de la Confédération pour la sécurité de l’information concerne également des directives de la ChF sur la transformation numérique et la gouvernance de l’informatique, le service spécialisé consulte au préalable le délégué TNI.</span><span><authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. II 1 de l’O du 2 avr. 2025 sur la numérisation, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2025</b> 235</ref>).</p></authorialNote></span></p></content></paragraph><paragraph eId="art_9/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, les départements et le service spécialisé de la Confédération pour la sécurité de l’information établissent la liste de leurs autorisations exceptionnelles en vigueur.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Collaboration avec les tiers</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 9 LSI)</subheading><paragraph eId="art_10/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, évaluent les risques pour leurs objets à protéger lors de la collaboration avec des tiers et leur dépendance vis-à-vis de tiers.</p></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les services d’achat centraux visés à l’art. 5 de l’ordonnance du 1<sup>er</sup> mai 2024 sur l’organisation des marchés publics de l’administration fédérale (Org‑OMP)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.056.15</b></ref></p></authorialNote> collaborent à l’évaluation et mettent les informations nécessaires à disposition.<authorialNote><p> Nouvelle teneur selon l’art. 44 al. 2 ch. 1 de l’O du 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2024 sur l’organisation des marchés publics de l’administration fédérale, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> juil. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 224</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_10/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information, après avoir consulté l’OFCS et la Conférence des achats de la Confédération visée à l’art. 30 Org OMP, émet des recommandations quant aux dispositions relatives à la sécurité de l’information devant figurer dans tous les contrats d’acquisition ou de prestation de la Confédération.<authorialNote><p> Nouvelle teneur selon l’art. 44 al. 2 ch. 1 de l’O du 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2024 sur l’organisation des marchés publics de l’administration fédérale, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> juil. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 224</ref>).</p></authorialNote></p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Formation et sensibilisation</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, et 20, al. 1, let. c, LSI)</subheading><paragraph eId="art_11/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, forment leurs collaborateurs à leur entrée en fonction, puis périodiquement de manière à ce qu’ils puissent assumer leurs responsabilités en matière de sécurité de l’information. Elles établissent la liste des formations et des participants.</p></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><blockList><listIntroduction eId="art_11/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les formations portent notamment sur:</listIntroduction><item eId="art_11/para_2/lbl_a"><num>a. </num><p>l’identification correcte du besoin de protection des informations;</p></item><item eId="art_11/para_2/lbl_b"><num>b. </num><p>l’utilisation sûre des informations et des moyens informatiques;</p></item><item eId="art_11/para_2/lbl_c"><num>c. </num><p>la réaction correcte en cas de soupçon d’incident de sécurité;</p></item><item eId="art_11/para_2/lbl_d"><num>d. </num><p>la connaissance de l’organisation de sécurité et des interlocuteurs en cas de questions relatives à la sécurité de l’information;</p></item><item eId="art_11/para_2/lbl_e"><num>e. </num><p>les tâches de contrôle des supérieurs; </p></item><item eId="art_11/para_2/lbl_f"><num>f. </num><p>la mise en œuvre de la sécurité de l’information dans les projets et dans l’exploitation.</p></item></blockList></content></paragraph><paragraph eId="art_11/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, les départements et le service spécialisé de la Confédération pour la sécurité de l’information veillent à sensibiliser régulièrement les collaborateurs de tous les échelons aux risques pour la sécurité de l’information.</p></content></paragraph><paragraph eId="art_11/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information établit des outils de formation et de sensibilisation.</p></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Gestion des incidents</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, et 10, al. 1, LSI)</subheading><paragraph eId="art_12/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, fixent en accord avec leurs fournisseurs de prestations la manière dont les incidents et les failles de sécurité sont annoncés et maîtrisés ou traités. Elles règlent la compétence d’ordonner des mesures immédiates.</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Si un fournisseur de prestations découvre des incidents ou des failles de sécurité qui concernent une unité administrative à laquelle il fournit des prestations, il les lui annonce immédiatement et l’aide à les maîtriser ou à les traiter.</p></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information et l’OFCS peuvent aider les unités administratives visées à l’art. 2, al. 1, let. c, et les départements à maîtriser les incidents de sécurité et à traiter les failles de sécurité.</p></content></paragraph><paragraph eId="art_12/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, vérifient lors de la maîtrise des incidents de sécurité s’il est nécessaire de faire une annonce au Préposé fédéral à la protection des données et à la transparence en vertu de la législation sur la protection des données.</p></content></paragraph><paragraph eId="art_12/para_5"><num>5</num><content><blockList><listIntroduction eId="art_12/para_5/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles informent immédiatement leur département et le service spécialisé de la Confédération pour la sécurité de l’information de l’incident ou de la faille de sécurité si l’une des conditions suivantes est remplie:</listIntroduction><item eId="art_12/para_5/lbl_a"><num>a. </num><p>le fonctionnement de l’administration fédérale pourrait être compromis;</p></item><item eId="art_12/para_5/lbl_b"><num>b. </num><p>un moyen informatique relevant des catégories de sécurité «protection élevée» ou «protection très élevée» est concerné;</p></item><item eId="art_12/para_5/lbl_c"><num>c. </num><p>plusieurs départements pourraient être touchés;</p></item><item eId="art_12/para_5/lbl_d"><num>d. </num><p>la protection des informations classifiées d’un État ou d’une organisation internationale avec lequel ou laquelle le Conseil fédéral a conclu un traité international visé à l’art. 87 LSI pourrait être menacée;</p></item><item eId="art_12/para_5/lbl_e"><num>e. </num><p>l’incident ou la faille de sécurité pourrait avoir une grande importance politique;</p></item><item eId="art_12/para_5/lbl_f"><num>f. </num><p>l’incident ou la faille de sécurité requiert des mesures sortant de la procédure fixée à l’al. 1.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_6"><num>6</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information évalue le risque et le soutien requis avec l’unité administrative concernée.</p></content></paragraph><paragraph eId="art_12/para_7"><num>7</num><content><blockList><listIntroduction eId="art_12/para_7/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Dans les cas visés à l’al. 5, il peut, en accord avec l’unité administrative et le département concernés, diriger les opérations de maîtrise de l’incident de sécurité ou de traitement de la faille de sécurité ou en déléguer la direction à l’OFCS avec son approbation. Ils ont dans ce cadre les tâches et les compétences suivantes:</listIntroduction><item eId="art_12/para_7/lbl_a"><num>a. </num><p>ils peuvent obliger les unités administratives, les fournisseurs de prestations et les tiers concernés à leur communiquer toutes les informations nécessaires;</p></item><item eId="art_12/para_7/lbl_b"><num>b. </num><p>ils peuvent ordonner des mesures immédiates;</p></item><item eId="art_12/para_7/lbl_c"><num>c. </num><p>ils peuvent demander l’aide de spécialistes externes;</p></item><item eId="art_12/para_7/lbl_d"><num>d. </num><p>ils informent la direction des unités administratives concernées et des départements de l’avancement des opérations.</p></item></blockList></content></paragraph><paragraph eId="art_12/para_8"><num>8</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Lorsque la sécurité de l’information a été rétablie à la suite d’un incident ou d’une faille de sécurité et que les travaux de suivi nécessaires et leur financement ont été arrêtés, le service spécialisé de la Confédération pour la sécurité de l’information ou l’OFCS rend la direction des opérations à l’unité administrative concernée.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Planification des contrôles et des audits</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, 81, al. 2, let. c, et 83, al. 1, let. c, LSI)</subheading><paragraph eId="art_13/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, et les départements fixent dans une planification annuelle de contrôle et d’audit la manière de contrôler en fonction du risque le respect des prescriptions de la présente ordonnance et l’efficacité des mesures permettant de garantir la sécurité de l’information dans leur domaine de compétence et auprès des tiers mandatés.</p></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les audits menés auprès des tiers disposant d’une déclaration de sécurité relative aux entreprises visée à l’art. 61 LSI doivent être coordonnés avec le service spécialisé chargé de mener la procédure de sécurité relative aux entreprises.</p></content></paragraph><paragraph eId="art_13/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information recueille le besoin de contrôle et d’audit pour garantir la sécurité de l’information de l’ensemble de l’administration fédérale et de l’armée.</p></content></paragraph><paragraph eId="art_13/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il peut, en accord avec la ChF ou le département responsable, réaliser des audits ou en confier la réalisation au Contrôle fédéral des finances.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Compte rendu</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, 81, al. 2, let. c, et 83, al. 1, let. h, LSI)</subheading><paragraph eId="art_14/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La ChF, les départements, l’OFCS et les fournisseurs internes de prestations informatiques visés à l’art. 10 ONum<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2023/754" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.019.1</b></ref></p></authorialNote><span> rendent compte chaque année au service spécialisé de la Confédération pour la sécurité de l’information de la situation en matière de sécurité de l’information dans leur domaine de compétence. Ils collectent les informations nécessaires auprès des unités administratives et de leurs fournisseurs de prestations.</span><span><authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. II 1 de l’O du 2 avr. 2025 sur la numérisation, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2025</b> 235</ref>).</p></authorialNote></span></p></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information rend compte chaque année au Conseil fédéral de la situation en matière de sécurité de l’information au sein de la Confédération.</p></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il coordonne les comptes rendus avec les autorités visées à l’art. 2, al. 1, LSI.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Directives relatives à la gestion de la sécurité de l’information</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 85 LSI)</subheading><paragraph eId="art_15/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 et 3, qui concernent les exigences minimales auxquelles la gestion de la sécurité de l’information visée aux art. 5 à 14 doit répondre.</p></content></paragraph></article></section><section eId="sec_4"><num>Section 4</num><heading>Informations classifiées</heading><article eId="art_16"><num><b>Art. 16</b></num><heading>Principes</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 11 et 14 LSI)</subheading><paragraph eId="art_16/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La communication et la mise à disposition d’informations classifiées et l’établissement de supports d’information classifiés doivent être limités autant que possible.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Si des informations sont regroupées dans un recueil, il faut réévaluer la classification.</p></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Auteurs de la classification</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 12 LSI)</subheading><paragraph eId="art_17/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, et les départements fixent dans un catalogue de classification la manière de classifier les informations souvent traitées dans leur domaine de compétence et la durée de la classification.</p></content></paragraph><paragraph eId="art_17/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information contrôle les catalogues de classification et émet si nécessaire une recommandation.</p></content></paragraph><paragraph eId="art_17/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Après avoir consulté la Conférence des préposés à la sécurité de l’information, il fixe dans des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, la manière de classifier les informations souvent traitées par plusieurs départements et la durée de la classification.</p></content></paragraph><paragraph eId="art_17/para_4"><num>4</num><content><blockList><listIntroduction eId="art_17/para_4/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les personnes et les services suivants sont compétents pour classifier et déclassifier les informations qui ne figurent pas dans les catalogues de classification:</listIntroduction><item eId="art_17/para_4/lbl_a"><num>a. </num><p>le personnel de la Confédération et les militaires;</p></item><item eId="art_17/para_4/lbl_b"><num>b. </num><p>les adjudicateurs, lorsque des informations de la Confédération sont traitées par des tiers.</p></item></blockList></content></paragraph><paragraph eId="art_17/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le personnel de la Confédération, les militaires et les tiers sont compétents pour marquer formellement les supports d’information qu’ils établissent ou les informations qu’ils communiquent oralement.</p></content></paragraph></article><article eId="art_18"><num><b>Art. 18</b></num><heading>Échelon de classification «interne»</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 13, al. 1, LSI)</subheading><paragraph eId="art_18/para_1"><num>1</num><content><blockList><listIntroduction eId="art_18/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les informations susceptibles de nuire de la manière suivante aux intérêts définis à l’art. 1, al. 2, let. a à d, LSI si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «interne»:</listIntroduction><item eId="art_18/para_1/lbl_a"><num>a. </num><p>un important processus d’affaires du Conseil fédéral ou de l’administration fédérale ou un processus de conduite important de l’armée est entravé;</p></item><item eId="art_18/para_1/lbl_b"><num>b. </num><p>l’exécution d’engagements des autorités de poursuite pénale, du Service de renseignement de la Confédération (SRC), de l’armée ou des autres organes de sécurité de la Confédération est entravée;</p></item><item eId="art_18/para_1/lbl_c"><num>c. </num><p>des personnes subissent des lésions corporelles;</p></item><item eId="art_18/para_1/lbl_d"><num>d. </num><p>la sécurité nucléaire ou la sûreté d’installations nucléaires ou de matières nucléaires sont indirectement compromises;</p></item><item eId="art_18/para_1/lbl_e"><num>e. </num><p>la Suisse subit un désavantage sur les plans de la politique extérieure ou de l’économie;</p></item><item eId="art_18/para_1/lbl_f"><num>f. </num><p>les relations entre la Confédération et les cantons ou entre les cantons sont perturbées.</p></item></blockList></content></paragraph><paragraph eId="art_18/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Sont également classifiées «interne» les informations permettant de tirer des conclusions sur des informations classifiées «confidentiel» ou «secret» si elles sont portées à la connaissance d’une personne non autorisée.</p></content></paragraph></article><article eId="art_19"><num><b>Art. 19</b></num><heading>Échelon de classification «confidentiel»</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 13, al. 2, LSI)</subheading><paragraph eId="art_19/para"><content><blockList><listIntroduction eId="art_19/para/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les informations susceptibles de nuire considérablement de la manière suivante aux intérêts définis à l’art. 1, al. 2, let. a à d, LSI si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «confidentiel»:</listIntroduction><item eId="art_19/para/lbl_a"><num>a. </num><p>la capacité de décision et d’action du Conseil fédéral, du Parlement, de plusieurs unités administratives ou de plusieurs corps de troupe de l’armée sont entravées durant plusieurs jours;</p></item><item eId="art_19/para/lbl_b"><num>b. </num><p>l’exécution d’opérations des autorités de poursuite pénale, du SRC, de l’armée ou des autres organes de sécurité de la Confédération conforme aux objectifs est compromise;</p></item><item eId="art_19/para/lbl_c"><num>c. </num><p>les moyens et les méthodes opérationnels des services de renseignement et des autorités de poursuite pénale de la Confédération ou l’identité de sources et de personnes exposées sont divulgués;</p></item><item eId="art_19/para/lbl_d"><num>d. </num><p>la sécurité de la population est compromise durant plusieurs jours ou des personnes ou des groupes de personnes meurent;</p></item><item eId="art_19/para/lbl_e"><num>e. </num><p>la sécurité nucléaire ou la sûreté d’installations nucléaires ou de matières nucléaires sont compromises;</p></item><item eId="art_19/para/lbl_f"><num>f. </num><p>l’approvisionnement économique du pays ou l’exploitation d’infrastructures critiques sont entravés;</p></item><item eId="art_19/para/lbl_g"><num>g. </num><p>la Suisse subit un désavantage considérable sur les plans de la politique extérieure ou de l’économie ou les relations diplomatiques avec un État ou avec une organisation internationale sont rompues;</p></item><item eId="art_19/para/lbl_h"><num>h. </num><p>la position de la Suisse est temporairement considérablement affaiblie lors de négociations relatives à des affaires importantes de politique extérieure.</p></item></blockList></content></paragraph></article><article eId="art_20"><num><b>Art. 20</b></num><heading>Échelon de classification «secret»</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 13, al. 3, LSI)</subheading><paragraph eId="art_20/para"><content><blockList><listIntroduction eId="art_20/para/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les informations susceptibles de nuire gravement de la manière suivante aux intérêts définis à l’art. 1, al. 2, let. a à d, LSI si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «secret»:</listIntroduction><item eId="art_20/para/lbl_a"><num>a. </num><p>la capacité de décision et d’action du Conseil fédéral, du Parlement, de plusieurs unités administratives ou de plusieurs corps de troupe de l’armée sont annihilées durant des jours ou entravées pendant des semaines;</p></item><item eId="art_20/para/lbl_b"><num>b. </num><p>l’exécution d’opérations d’importance stratégique des autorités de poursuite pénale, du SRC, de l’armée ou des autres organes de sécurité de la Confédération est compromise ou entravée durant des jours dans une mesure particulièrement importante;</p></item><item eId="art_20/para/lbl_c"><num>c. </num><p>des sources stratégiques, l’identité de personnes particulièrement exposées ou les moyens et les méthodes stratégiques des services de renseignement et des autorités de poursuite pénale de la Confédération sont divulgués;</p></item><item eId="art_20/para/lbl_d"><num>d. </num><p>la sécurité de la population est compromise durant des semaines dans une mesure particulièrement importante ou un grand nombre de personnes meurent;</p></item><item eId="art_20/para/lbl_e"><num>e. </num><p>la sécurité nucléaire ou la sûreté d’installations nucléaires ou de matières nucléaires sont compromises dans une mesure particulièrement importante;</p></item><item eId="art_20/para/lbl_f"><num>f. </num><p>l’approvisionnement économique du pays ou l’exploitation d’infrastructures critiques ne sont plus assurés durant des jours;</p></item><item eId="art_20/para/lbl_g"><num>g. </num><p>la Suisse subit durant des semaines des conséquences particulièrement lourdes sur les plans de la politique extérieure ou de l’économie, telles que des mesures d’embargo ou des sanctions;</p></item><item eId="art_20/para/lbl_h"><num>h. </num><p>la position de la Suisse est affaiblie lors de négociations relatives à des affaires stratégiques de politique extérieure durant des années.</p></item></blockList></content></paragraph></article><article eId="art_21"><num><b>Art. 21</b></num><heading>Directives relatives au traitement</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 6, al. 2, 84, al. 1, et 85 LSI)</subheading><paragraph eId="art_21/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent le traitement des informations classifiées et fixe les exigences de sécurité minimales en matière d’organisation, de personnel et de construction, de même que sur le plan technique. Il tient compte pour ce faire des normes internationales en la matière.</p></content></paragraph><paragraph eId="art_21/para_2"><num>2</num><content><blockList><listIntroduction eId="art_21/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il consulte au préalable les services suivants:</listIntroduction><item eId="art_21/para_2/lbl_a"><num>a. </num><p>l’OFCS;</p></item><item eId="art_21/para_2/lbl_b"><num>b. </num><p>le service cryptographique de l’armée;</p></item><item eId="art_21/para_2/lbl_c"><num>c.<authorialNote><p> Nouvelle teneur selon l’art. 44 al. 2 ch. 1 de l’O du 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2024 sur l’organisation des marchés publics de l’administration fédérale, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> juil. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 224</ref>).</p></authorialNote> </num><p>l’Office fédéral de l’armement (armasuisse);</p></item><item eId="art_21/para_2/lbl_d"><num>d. </num><p>les organes de l’administration fédérale et de l’armée responsables de la sécurité des objets.</p></item></blockList></content></paragraph><paragraph eId="art_21/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La ChF règle le traitement des affaires classifiées du Conseil fédéral.</p></content></paragraph><paragraph eId="art_21/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le traitement des informations classifiées provenant de l’étranger est régi par les prescriptions correspondant à l’échelon de classification étranger. Les dispositions différentes figurant dans un traité international visé à l’art. 87 LSI sont réservées.</p></content></paragraph></article><article eId="art_22"><num><b>Art. 22</b></num><heading>Mesures de sécurité liées à l’engagement</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 6, al. 2, et 85 LSI)</subheading><paragraph eId="art_22/para_1"><num>1</num><content><blockList><listIntroduction eId="art_22/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Si des informations classifiées sont traitées dans le cadre d’un engagement ou d’une opération et ne sont accessibles qu’à un cercle fermé d’utilisateurs clairement identifiable, les personnes suivantes peuvent, après avoir consulté le service spécialisé de la Confédération pour la sécurité de l’information, arrêter des directives spécifiques à l’engagement ou à l’opération visant à simplifier le traitement:</listIntroduction><item eId="art_22/para_1/lbl_a"><num>a. </num><p>le directeur de l’Office fédéral de la police;</p></item><item eId="art_22/para_1/lbl_b"><num>b. </num><p>le directeur du SRC;</p></item><item eId="art_22/para_1/lbl_c"><num>c. </num><p>le chef de l’armée;</p></item><item eId="art_22/para_1/lbl_d"><num>d. </num><p>le chef du commandement des Opérations;</p></item><item eId="art_22/para_1/lbl_e"><num>e. </num><p>le directeur de l’Office fédéral de la douane et de la sécurité des frontières.</p></item></blockList></content></paragraph><paragraph eId="art_22/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les personnes visées à l’al. 1 veillent à ce qu’il soit clairement indiqué sur les supports d’information que les prescriptions de traitement simplifié s’appliquent.</p></content></paragraph><paragraph eId="art_22/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les directives relatives au traitement visées à l’art. 21 s’appliquent en dehors du cercle d’utilisateurs et à la conservation des informations en vue de leur archivage.</p></content></paragraph></article><article eId="art_23"><num><b>Art. 23</b></num><heading>Certification de sécurité des moyens informatiques</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 83, al. 1, let. e, LSI)</subheading><paragraph eId="art_23/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les moyens informatiques sont certifiés sur le plan de la sécurité avant leur mise en exploitation si cela est nécessaire à la collaboration nationale ou internationale.</p></content></paragraph><paragraph eId="art_23/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La certification de sécurité est effectuée par le service spécialisé de la Confédération pour la sécurité de l’information, après consultation du service cryptographique de l’armée et d’armasuisse.<authorialNote><p> Nouvelle teneur selon l’art. 44 al. 2 ch. 1 de l’O du 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2024 sur l’organisation des marchés publics de l’administration fédérale, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> juil. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/224" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 224</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_23/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elle atteste que le moyen informatique remplit les exigences minimales correspondant à l’échelon de classification concerné et que les risques résiduels sont acceptables en fonction de l’état des connaissances techniques.</p></content></paragraph><paragraph eId="art_23/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elle est répétée en cas de changements importants concernant les risques ou le moyen informatique.</p></content></paragraph><paragraph eId="art_23/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le Département fédéral de la défense, de la protection de la population et des sports (DDPS) fixe la procédure relative à la certification de sécurité en tenant compte des normes internationales en la matière.</p></content></paragraph></article><article eId="art_24"><num><b>Art. 24</b></num><heading>Protection en cas de menace pour des informations classifiées</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 10, al. 1, et 11, al. 1, LSI)</subheading><paragraph eId="art_24/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Quiconque constate que des informations classifiées ont été compromises, ont disparu ou qu’il en a été fait une utilisation abusive ou encore que des informations n’ont pas été classifiées alors qu’elles auraient dû l’être ou qu’elles ont été classifiées de manière erronée prend les mesures de protection nécessaires.</p></content></paragraph><paragraph eId="art_24/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il en informe immédiatement l’auteur de la classification et les organes de sécurité concernés.</p></content></paragraph></article><article eId="art_25"><num><b>Art. 25</b></num><heading>Contrôle du besoin de protection et cercle des personnes autorisées</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 11, al. 2, LSI)</subheading><paragraph eId="art_25/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les auteurs de la classification contrôlent le besoin de protection de leurs informations classifiées et le cercle des personnes autorisées au moins tous les cinq ans et les examinent systématiquement lorsque les informations sont proposées aux Archives fédérales.</p></content></paragraph></article><article eId="art_26"><num><b>Art. 26</b></num><heading>Archivage</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 12, al. 3, LSI)</subheading><paragraph eId="art_26/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> L’archivage des informations classifiées est régi par les dispositions de la législation fédérale sur l’archivage.</p></content></paragraph><paragraph eId="art_26/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les Archives fédérales veillent à ce que la sécurité de l’information visée dans la présente ordonnance soit garantie.</p></content></paragraph><paragraph eId="art_26/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les archives cessent d’être classifiées une fois que le délai de protection est échu. La prolongation du délai de protection est régie par l’art. 14 de l’ordonnance du 8 septembre 1999 sur l’archivage<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1999/371" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>152.11</b></ref></p></authorialNote>.</p></content></paragraph></article></section><section eId="sec_5"><num>Section 5</num><heading>Sécurité des moyens informatiques </heading><article eId="art_27"><num><b>Art. 27</b></num><heading>Procédure de sécurité</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 16 LSI)</subheading><paragraph eId="art_27/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, doivent pouvoir démontrer le besoin de protection de leurs objets à protéger et leur importance pour la gestion de la continuité des activités.</p></content></paragraph><paragraph eId="art_27/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles mettent en œuvre les consignes minimales des différentes catégories de sécurité et vérifient si des mesures de sécurité supplémentaires sont nécessaires.</p></content></paragraph><paragraph eId="art_27/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles démontrent les risques résiduels.</p></content></paragraph><paragraph eId="art_27/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les responsables de la sécurité de l’information (art. 36) décident si les risques résiduels sont acceptables. Ils peuvent déléguer cette décision à d’autres membres de la direction.</p></content></paragraph><paragraph eId="art_27/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La procédure de sécurité est répétée en cas de changements importants concernant la menace, la technologie, les tâches ou la situation de l’organisation.</p></content></paragraph><paragraph eId="art_27/para_6"><num>6</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, contrôlent chaque année si un changement important a eu lieu.</p></content></paragraph><paragraph eId="art_27/para_7"><num>7</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent la procédure de sécurité visée à l’art. 16 LSI.</p></content></paragraph></article><article eId="art_28"><num><b>Art. 28</b></num><heading>Attribution des catégories de sécurité «protection élevée» et «protection très élevée»</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 17 LSI)</subheading><paragraph eId="art_28/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La catégorie de sécurité «protection élevée» est attribuée à un moyen informatique lorsqu’une violation de la sécurité de l’information est susceptible de provoquer un préjudice visé à l’art. 19 ou un dommage de 50 à 500 millions de francs.</p></content></paragraph><paragraph eId="art_28/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La catégorie de sécurité «protection très élevée» est attribuée à un moyen informatique lorsqu’une violation de la sécurité de l’information est susceptible de provoquer un préjudice visé à l’art. 20 ou un dommage supérieur à 500 millions de francs.</p></content></paragraph></article><article eId="art_29"><num><b>Art. 29</b></num><heading>Mesures de sécurité</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 6, al. 3, 18 et 85 LSI)</subheading><paragraph eId="art_29/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences minimales pour les catégories de sécurité visées à l’art. 17 LSI.</p></content></paragraph><paragraph eId="art_29/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il tient compte des exigences concernant la sécurité des données personnelles au sens de la législation sur la protection des données et celle des autres informations que la Confédération doit protéger en vertu de ses obligations légales ou contractuelles.</p></content></paragraph><paragraph eId="art_29/para_3"><num>3</num><content><blockList><listIntroduction eId="art_29/para_3/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> L’efficacité des mesures de sécurité applicables aux moyens informatiques suivants doit être contrôlée avant leur mise en exploitation, ainsi que durant l’exploitation en cas de changements importants des risques, mais au moins tous les cinq ans:</listIntroduction><item eId="art_29/para_3/lbl_a"><num>a. </num><p>les moyens informatiques de la catégorie de sécurité «protection élevée» qui sont utilisés pour accomplir des tâches dépassant le cadre d’une autorité ou d’un département;</p></item><item eId="art_29/para_3/lbl_b"><num>b. </num><p>les moyens informatiques de la catégorie de sécurité «protection très élevée».</p></item></blockList></content></paragraph><paragraph eId="art_29/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> La ChF et les départements intègrent leurs moyens informatiques de la catégorie de sécurité «protection très élevée» dans leur gestion de la continuité.</p></content></paragraph></article><article eId="art_30"><num><b>Art. 30</b></num><heading>Sécurité de l’exploitation</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 19 LSI)</subheading><paragraph eId="art_30/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, veillent à ce que les responsabilités en matière de sécurité de l’information au niveau opérationnel soient consignées dans les accords de projets et les conventions de prestations conclus avec les fournisseurs internes de prestations.</p></content></paragraph><paragraph eId="art_30/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les fournisseurs internes de prestations mettent à la disposition des unités administratives visées à l’art. 2, al. 1, let. c, des départements et du service spécialisé de la Confédération pour la sécurité de l’information les informations dont ceux-ci ont besoin pour assurer la sécurité de l’information.</p></content></paragraph><paragraph eId="art_30/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ils veillent à disposer, sur le plan du personnel et des finances, des capacités et compétences nécessaires à la détection précoce, à l’analyse technique et à la maîtrise ou au traitement des incidents et des failles de sécurité qui les concernent ou qui concernent les bénéficiaires de leurs prestations dans le cadre des accords et conventions visés à l’al. 1.</p></content></paragraph><paragraph eId="art_30/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ils surveillent l’utilisation de leur infrastructure informatique et l’examinent régulièrement à la recherche de menaces et de vulnérabilités techniques. Ils peuvent charger des tiers d’effectuer cet examen.</p></content></paragraph><paragraph eId="art_30/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le traitement des données personnelles dans le cadre de la surveillance et de l’examen visés à l’al. 4 est régi par l’ordonnance du 22 février 2012 sur le traitement des données personnelles et des données des personnes morales lors de l’utilisation de l’infrastructure électronique de la Confédération<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2012/160" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.010.442</b></ref></p></authorialNote>.</p></content></paragraph></article></section><section eId="sec_6"><num>Section 6</num><heading>Mesures relatives aux personnes et protection physique</heading><article eId="art_31"><num><b>Art. 31</b></num><heading>Vérification de l’identité des personnes et des machines</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 20 et 85 LSI)</subheading><paragraph eId="art_31/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Après avoir consulté le délégué TNI, le service spécialisé de la Confédération pour la sécurité de l’information peut émettre des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences techniques minimales auxquelles doit satisfaire la vérification, en fonction du risque, de l’identité des personnes et des machines qui ont besoin d’accéder à des informations, à des moyens informatiques, à des locaux et à d’autres infrastructures de la Confédération.</p></content></paragraph><paragraph eId="art_31/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le traitement des données personnelles effectué lors de la vérification de l’identité dans les systèmes de gestion des données d’identification visés à l’art. 24 LSI est régi par les dispositions de l’ordonnance du 19 octobre 2016 sur les systèmes de gestion des données d’identification et les services d’annuaires de la Confédération<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2016/610" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.010.59</b></ref></p></authorialNote>.</p></content></paragraph></article><article eId="art_32"><num><b>Art. 32</b></num><heading>Sécurité relative aux personnes</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 6, al. 2 et 3, 8 et 20, al. 1, let. a et c, LSI)</subheading><paragraph eId="art_32/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, veillent à ce que les collaborateurs soumis à un contrôle de sécurité relatif aux personnes visé dans l’ordonnance du 8 novembre 2023 sur les contrôles de sécurité relatifs aux personnes (OCSP)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2023/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>128.31</b></ref></p></authorialNote> soient sensibilisés chaque année à l’activité sensible déterminante et aux risques qui y sont liés.</p></content></paragraph><paragraph eId="art_32/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ces collaborateurs sont tenus d’annoncer à leur employeur les circonstances privées ou professionnelles susceptibles de les empêcher d’exercer leur activité sensible dans le respect des prescriptions.</p></content></paragraph></article><article eId="art_33"><num><b>Art. 33</b></num><heading>Soupçon de comportement répréhensible</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 2, let. c, LSI) </subheading><paragraph eId="art_33/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Lorsque la violation des prescriptions en matière de sécurité de l’information paraît constituer en même temps une infraction, la ChF et les départements transmettent le dossier de l’enquête et les procès-verbaux d’audition au Ministère public de la Confédération ou à l’auditeur en chef de l’armée suisse.</p></content></paragraph><paragraph eId="art_33/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ils saisissent les objets qui sont à même de servir de moyens de preuve dans une procédure.</p></content></paragraph></article><article eId="art_34"><num><b>Art. 34</b></num><heading>Mesures de protection physique</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 22 et 85 LSI)</subheading><paragraph eId="art_34/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Après avoir consulté les organes de l’administration fédérale et de l’armée responsables de la sécurité des objets, le service spécialisé de la Confédération pour la sécurité de l’information peut émettre des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences minimales de protection physique des informations et des moyens informatiques.</p></content></paragraph><paragraph eId="art_34/para_2"><num>2</num><content><blockList><listIntroduction eId="art_34/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il tient compte à cet égard: </listIntroduction><item eId="art_34/para_2/lbl_a"><num>a. </num><p>du cycle de vie entier des informations et des moyens informatiques;</p></item><item eId="art_34/para_2/lbl_b"><num>b. </num><p>des exigences spécifiques à la place de travail;</p></item><item eId="art_34/para_2/lbl_c"><num>c. </num><p>des stratégies et des plans d’hébergement de l’administration fédérale et de l’armée.</p></item></blockList></content></paragraph></article><article eId="art_35"><num><b>Art. 35</b></num><heading>Zones de sécurité</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 23 et 85 LSI)</subheading><paragraph eId="art_35/para_1"><num>1</num><content><blockList><listIntroduction eId="art_35/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, peuvent établir les zones de sécurité suivantes:</listIntroduction><item eId="art_35/para_1/lbl_a"><num>a. </num><p>zone de sécurité 1: les locaux et les espaces dans lesquels des informations classifiées «confidentiel» sont fréquemment traitées ou des moyens informatiques de la catégorie de sécurité «protection élevée» sont exploités;</p></item><item eId="art_35/para_1/lbl_b"><num>b. </num><p>zone de sécurité 2: les locaux et les espaces dans lesquels des informations classifiées «secret» sont fréquemment traitées ou des moyens informatiques de la catégorie de sécurité «protection très élevée» sont exploités.</p></item></blockList></content></paragraph><paragraph eId="art_35/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ces locaux et ces espaces ne sont considérés comme des zones de sécurité que si l’organe de l’administration fédérale ou de l’armée responsable de la sécurité des objets confirme avant leur mise en exploitation et ensuite au moins tous les cinq ans que les exigences en matière de sécurité sont remplies.</p></content></paragraph><paragraph eId="art_35/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Après avoir consulté les organes de l’administration fédérale et de l’armée responsables de la sécurité des objets, le service spécialisé de la Confédération pour la sécurité de l’information émet des directives générales et abstraites s’appliquant à toutes les organisations visées à l’art. 2, al. 1 à 3, qui concernent les exigences en matière de sécurité pour les zones de sécurité et leur établissement.</p></content></paragraph><paragraph eId="art_35/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, peuvent prendre des mesures aux alentours des zones de sécurité afin d’identifier les actes d’espionnage électromagnétique et de s’en protéger.</p></content></paragraph></article></section><section eId="sec_7"><num>Section 7</num><heading>Organisation de sécurité</heading><article eId="art_36"><num><b>Art. 36</b></num><heading>Responsables de la sécurité de l’information des unités administratives visées à l’art. 2, al. 1, let. c</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, LSI)</subheading><paragraph eId="art_36/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le chancelier de la Confédération, les secrétaires généraux et les directeurs des unités administratives visées à l’art. 2, al. 1, let. c, sont responsables de la sécurité de l’information dans leur domaine de compétence.</p></content></paragraph><paragraph eId="art_36/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ils peuvent déléguer la responsabilité en matière de sécurité de l’information à un membre de la direction s’il dispose des pouvoirs nécessaires pour prendre des mesures, les contrôler et les corriger.</p></content></paragraph><paragraph eId="art_36/para_3"><num>3</num><content><blockList><listIntroduction eId="art_36/para_3/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les responsables de la sécurité de l’information des unités administratives visées à l’art. 2, al. 1, let. c, assument notamment les tâches suivantes:</listIntroduction><item eId="art_36/para_3/lbl_a"><num>a. </num><p>ils assurent la mise en place, l’exploitation, le contrôle et l’amélioration continue du SMSI dans leur domaine de compétence et émettent les directives nécessaires;</p></item><item eId="art_36/para_3/lbl_b"><num>b. </num><p>ils prennent toutes les décisions qui ont une influence déterminante sur la sécurité de l’information dans leur domaine de compétence, notamment concernant l’organisation, les processus, l’acceptation des risques et les objectifs de sécurité;</p></item><item eId="art_36/para_3/lbl_c"><num>c. </num><p>ils décident des mesures nécessaires, notamment concernant la formation et la sensibilisation;</p></item><item eId="art_36/para_3/lbl_d"><num>d. </num><p>ils approuvent la planification annuelle de contrôle et d’audit et mettent les ressources nécessaires à disposition.</p></item></blockList></content></paragraph><paragraph eId="art_36/para_4"><num>4</num><content><blockList><listIntroduction eId="art_36/para_4/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le chancelier de la Confédération, les secrétaires généraux et les directeurs des unités administratives visées à l’art. 2, al. 1, let. c, confient des tâches à leurs préposés à la sécurité de l’information visés à l’art. 37 et s’assurent:</listIntroduction><item eId="art_36/para_4/lbl_a"><num>a.</num><p>qu’ils disposent des compétences et des ressources appropriées, et</p></item><item eId="art_36/para_4/lbl_b"><num>b. </num><p>qu’ils ne se voient confier aucune tâche susceptible d’entraîner un conflit d’intérêts avec les tâches visées à l’art. 37.</p></item></blockList></content></paragraph></article><article eId="art_37"><num><b>Art. 37</b></num><heading>Préposés à la sécurité de l’information des unités administratives visées à l’art. 2, al. 1, let. c</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, LSI)</subheading><paragraph eId="art_37/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, désignent un ou plusieurs préposés à la sécurité de l’information et leurs suppléants.</p></content></paragraph><paragraph eId="art_37/para_2"><num>2</num><content><blockList><listIntroduction eId="art_37/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les préposés à la sécurité de l’information accomplissent les tâches et assument les compétences suivantes:</listIntroduction><item eId="art_37/para_2/lbl_a"><num>a. </num><p>ils exploitent le SMSI de l’unité administrative sur mandat du responsable de la sécurité de l’information;</p></item><item eId="art_37/para_2/lbl_b"><num>b. </num><p>ils élaborent les bases de décision nécessaires à l’intention du responsable de la sécurité de l’information et lui proposent des mesures à prendre;</p></item><item eId="art_37/para_2/lbl_c"><num>c. </num><p>ils sont les interlocuteurs principaux de l’unité administrative pour les questions de sécurité de l’information et conseillent les personnes et les services responsables et les aident à accomplir leurs tâches et à exécuter leurs obligations dans le domaine de la sécurité de l’information;</p></item><item eId="art_37/para_2/lbl_d"><num>d. </num><p>ils veillent à la mise en œuvre des directives en matière de sécurité de l’information et à l’application de la procédure de sécurité visée à l’art. 27;</p></item><item eId="art_37/para_2/lbl_e"><num>e. </num><p>ils exercent la surveillance de la liste des bases légales, de l’inventaire des objets à protéger et de la liste des autorisations exceptionnelles;</p></item><item eId="art_37/para_2/lbl_f"><num>f. </num><p>ils exercent la surveillance de la planification de la formation et de la sensibilisation visées à l’art. 11 et proposent au responsable de la sécurité de l’information l’organisation de mesures de formation et de sensibilisation supplémentaires;</p></item><item eId="art_37/para_2/lbl_g"><num>g. </num><p>ils demandent l’ouverture de la procédure de sécurité relative aux entreprises visée à l’art. 4 de l’ordonnance du 8 novembre 2023 sur la procédure de sécurité relative aux entreprises (OPSEnt)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2023/737" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>128.41</b></ref></p></authorialNote>;</p></item><item eId="art_37/para_2/lbl_h"><num>h. </num><p>ils coordonnent la maîtrise des incidents de sécurité et le traitement des failles de sécurité dans l’unité administrative et auprès des tiers mandatés;</p></item><item eId="art_37/para_2/lbl_i"><num>i. </num><p>ils établissent la planification annuelle de contrôle et d’audit et la soumettent au responsable de la sécurité de l’information pour approbation;</p></item><item eId="art_37/para_2/lbl_j"><num>j. </num><p>ils contrôlent périodiquement la présence de supports d’information classifiés «secret» et la sécurité de ceux-ci dans leur domaine de compétence;</p></item><item eId="art_37/para_2/lbl_k"><num>k. </num><p>sur mandat du responsable de la sécurité de l’information, ils peuvent contrôler ou faire contrôler l’utilisation des informations aux postes de travail ouverts, partagés ou non verrouillables et dans les moyens informatiques de l’unité administrative;</p></item><item eId="art_37/para_2/lbl_l"><num>l. </num><p>ils rendent compte chaque semestre au responsable de la sécurité de l’information de la situation en matière de sécurité de l’information.</p></item></blockList></content></paragraph></article><article eId="art_38"><num><b>Art. 38</b><authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. II 1 de l’O du 2 avr. 2025 sur la numérisation, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> mai 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/235" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2025</b> 235</ref>).</p></authorialNote></num><heading>Sécurité de l’information dans les moyens informatiques mis à disposition de manière centralisée</heading><paragraph eId="art_38/para_1"><num><span>1</span></num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"><span> Le délégué TNI est chargé de garantir la sécurité de l’information dans les moyens informatiques mis à disposition de manière centralisée par le secteur TNI.</span></p></content></paragraph><paragraph eId="art_38/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il désigne un ou plusieurs préposés à la sécurité de l’information et leurs suppléants.</p></content></paragraph><paragraph eId="art_38/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les préposés à la sécurité de l’information assument les tâches visées à l’art. 37, al. 2, pour les moyens informatiques mis à disposition de manière centralisée par le secteur TNI et informent l’administration fédérale et l’armée des risques pour la sécurité de l’information<i>.</i></p></content></paragraph></article><article eId="art_39"><num><b>Art. 39</b></num><heading>Responsabilité des départements en matière de sécurité de l’information</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, et 81 LSI)</subheading><paragraph eId="art_39/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les départements sont responsables du pilotage et de la surveillance de la sécurité de l’information dans leur domaine de compétence.</p></content></paragraph><paragraph eId="art_39/para_2"><num>2</num><content><blockList><listIntroduction eId="art_39/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ils accomplissent à cet égard notamment les tâches suivantes:</listIntroduction><item eId="art_39/para_2/lbl_a"><num>a. </num><p>ils déterminent la politique en matière de sécurité de l’information et l’organisation de sécurité du département, y compris la conduite technique des préposés à la sécurité de l’information visés à l’art. 37;</p></item><item eId="art_39/para_2/lbl_b"><num>b. </num><p>ils édictent les directives nécessaires et en surveillent la mise en œuvre;</p></item><item eId="art_39/para_2/lbl_c"><num>c. </num><p>ils surveillent le SMSI des unités administratives visées à l’art. 2, al. 1, let. c, et relèvent les indicateurs nécessaires à cette fin; </p></item><item eId="art_39/para_2/lbl_d"><num>d. </num><p>ils fixent des objectifs annuels de sécurité pour les unités administratives visées à l’art. 2, al. 1, let. c, et vérifient qu’elles les ont atteints;</p></item><item eId="art_39/para_2/lbl_e"><num>e. </num><p>ils approuvent la planification annuelle de contrôle et d’audit du département et mettent les ressources nécessaires à disposition;</p></item><item eId="art_39/para_2/lbl_f"><num>f. </num><blockList><listIntroduction eId="art_39/para_2/lbl_f/listintro">ils confient des tâches à leurs préposés à la sécurité de l’information visés à l’art. 40 et s’assurent:</listIntroduction><item eId="art_39/para_2/lbl_f/lbl_1"><num>1. </num><p>qu’ils disposent des compétences et des ressources appropriées, et</p></item><item eId="art_39/para_2/lbl_f/lbl_2"><num>2. </num><p>qu’ils ne se voient confier aucune tâche susceptible d’entraîner un conflit d’intérêts avec les tâches visées à l’art. 40.</p></item></blockList></item></blockList></content></paragraph><paragraph eId="art_39/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ils peuvent fixer pour leur domaine de compétence des exigences en matière de sécurité qui dépassent les exigences minimales du service spécialisé de la Confédération pour la sécurité de l’information.</p></content></paragraph><paragraph eId="art_39/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Pour autant que le chef de département n’en décide pas autrement, la sécurité de l’information dans le département relève de la responsabilité du secrétaire général qui agit sous son mandat.</p></content></paragraph></article><article eId="art_40"><num><b>Art. 40</b></num><heading>Préposés à la sécurité de l’information des départements</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, et 81 LSI)</subheading><paragraph eId="art_40/para"><content><blockList><listIntroduction eId="art_40/para/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les préposés à la sécurité de l’information des départements accomplissent les tâches suivantes en plus de celles qui sont visées à l’art. 81, al. 2, LSI:</listIntroduction><item eId="art_40/para/lbl_a"><num>a. </num><p>ils assurent la coordination interdépartementale de la sécurité de l’information;</p></item><item eId="art_40/para/lbl_b"><num>b. </num><p>ils élaborent les bases de décision nécessaires à l’intention du responsable de la sécurité de l’information et lui proposent des mesures à prendre;</p></item><item eId="art_40/para/lbl_c"><num>c. </num><p>ils coordonnent la maîtrise des incidents de sécurité et le traitement des failles de sécurité impliquant plusieurs unités administratives visées à l’art. 2, al. 1, let. c;</p></item><item eId="art_40/para/lbl_d"><num>d. </num><p>ils établissent la planification annuelle de contrôle et d’audit du département et la soumettent au responsable de la sécurité de l’information pour approbation;</p></item><item eId="art_40/para/lbl_e"><num>e. </num><p>ils représentent le département au sein d’organes spécialisés;</p></item><item eId="art_40/para/lbl_f"><num>f. </num><p>ils sont consultés pour le choix des préposés à la sécurité de l’information des unités administratives visés à l’art. 37;</p></item><item eId="art_40/para/lbl_g"><num>g. </num><p>ils vérifient périodiquement et en cas de changement ou de départ d’un membre du Conseil fédéral ou du chancelier de la Confédération que tous les supports d’information classifiés «secret» sont présents et au complet;</p></item><item eId="art_40/para/lbl_h"><num>h. </num><p>ils rendent compte chaque année au responsable de la sécurité de l’information du département de la situation en matière de sécurité de l’information dans le département.</p></item></blockList></content></paragraph></article><article eId="art_41"><num><b>Art. 41</b></num><heading>Préposé à la sécurité de l’information du Conseil fédéral</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 81, al. 1, let. a, LSI)</subheading><paragraph eId="art_41/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Le DDPS nomme le préposé à la sécurité de l’information du Conseil fédéral et son suppléant.</p></content></paragraph></article><article eId="art_42"><num><b>Art. 42</b></num><heading>Service spécialisé de la Confédération pour la sécurité de l’information</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, et 83 LSI)</subheading><paragraph eId="art_42/para_1"><num>1</num><content><blockList><listIntroduction eId="art_42/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information accomplit les tâches et assume les compétences suivantes pour l’administration fédérale et l’armée:</listIntroduction><item eId="art_42/para_1/lbl_a"><num>a. </num><p>il élabore des stratégies sur des thèmes pertinents pour la sécurité;</p></item><item eId="art_42/para_1/lbl_b"><num>b. </num><p>il peut demander des informations, émettre des avis et proposer des modifications concernant des projets dans le domaine de la sécurité;</p></item><item eId="art_42/para_1/lbl_c"><num>c. </num><p>il participe à la formation des membres de l’organisation de sécurité;</p></item><item eId="art_42/para_1/lbl_d"><num>d. </num><p>il prépare des modèles et des aides;</p></item><item eId="art_42/para_1/lbl_e"><num>e. </num><p>il aide les préposés à la sécurité de l’information à contrôler les supports d’information classifiés «secret»;</p></item><item eId="art_42/para_1/lbl_f"><num>f. </num><p>il assume la responsabilité des solutions de sécurité certifiées utilisées dans toute l’administration fédérale et l’armée.</p></item></blockList></content></paragraph><paragraph eId="art_42/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il consulte la Conférence des préposés à la sécurité de l’information lors de l’accomplissement de ces tâches et de celles visées à l’art. 83, al. 1, LSI.</p></content></paragraph><paragraph eId="art_42/para_3"><num>3</num><content><blockList><listIntroduction eId="art_42/para_3/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il représente la Suisse dans les relations internationales en tant qu’autorité nationale de sécurité et assume dans ce contexte les tâches suivantes:</listIntroduction><item eId="art_42/para_3/lbl_a"><num>a. </num><p>il élabore les traités internationaux visés à l’art. 87 LSI et en contrôle la mise en œuvre;</p></item><item eId="art_42/para_3/lbl_b"><num>b. </num><p>il veille à ce que les incidents de sécurité qui concernent des informations classifiées d’États partenaires soient clarifiés de manière appropriée;</p></item><item eId="art_42/para_3/lbl_c"><num>c. </num><p>il exécute les contrôles prévus dans les traités internationaux ou les fait exécuter;</p></item><item eId="art_42/para_3/lbl_d"><num>d. </num><p>il représente la Suisse dans des organismes internationaux spécialisés;</p></item><item eId="art_42/para_3/lbl_e"><num>e. </num><p>il autorise l’arrivée d’étrangers en Suisse pour participer à des projets classifiés et l’envoi de personnes à l’étranger pour participer à des projets classifiés;</p></item><item eId="art_42/para_3/lbl_f"><num>f. </num><p>il délivre les certificats de sécurité visés à l’art. 30 OCSP<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2023/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>128.31</b></ref></p></authorialNote>.</p></item></blockList></content></paragraph><paragraph eId="art_42/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il fait partie du Secrétariat d’État à la politique de sécurité du DDPS.</p></content></paragraph></article><article eId="art_43"><num><b>Art. 43</b></num><heading>Tâches et compétences de l’OFCS</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 7, al. 1, et 84, al. 1, LSI)</subheading><paragraph eId="art_43/para_1"><num>1</num><content><blockList><listIntroduction eId="art_43/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> L’OFCS accomplit les tâches et assume les compétences suivantes:</listIntroduction><item eId="art_43/para_1/lbl_a"><num>a. </num><p>il conseille l’administration fédérale et l’armée ainsi que les organes de sécurité visés aux art. 81 à 83 LSI pour toutes les questions liées à la sécurité technique de l’information;</p></item><item eId="art_43/para_1/lbl_b"><num>b. </num><p>il siège à la Conférence des préposés à la sécurité de l’information visée à l’art. 82 LSI;</p></item><item eId="art_43/para_1/lbl_c"><num>c. </num><p>il peut, afin d’évaluer et d’améliorer la situation en matière de sécurité technique de l’information de la Confédération, rechercher des menaces et des vulnérabilités techniques sur Internet ou, en concertation avec les responsables de la sécurité de l’information et les fournisseurs de prestations, dans l’infrastructure informatique de l’administration fédérale; il peut en charger d’autres services de l’administration fédérale ou des tiers.</p></item></blockList></content></paragraph><paragraph eId="art_43/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Il coordonne ses activités avec celles du service spécialisé de la Confédération pour la sécurité de l’information.</p></content></paragraph></article></section><section eId="sec_8"><num>Section 8</num><heading>Coûts et évaluation</heading><article eId="art_44"><num><b>Art. 44</b></num><heading>Coûts</heading><paragraph eId="art_44/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les coûts décentralisés de la sécurité de l’information font partie des coûts de projet et d’exploitation.</p></content></paragraph><paragraph eId="art_44/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, veillent à ce que les coûts soient suffisamment pris en compte et démontrés lors de la planification.</p></content></paragraph><paragraph eId="art_44/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information perçoit un émolument de 100 francs pour établir et envoyer les certificats de sécurité visés à art. 30 OCSP<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2023/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>128.31</b></ref></p></authorialNote> pour les personnes qui n’exercent pas d’activité sensible de la Confédération.</p></content></paragraph></article><article eId="art_45"><num><b>Art. 45</b></num><heading>Évaluation</heading><subheading fedlex:role="reference" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> (art. 88 LSI)</subheading><paragraph eId="art_45/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Six ans après l’entrée en vigueur de la présente ordonnance et ensuite tous les dix ans, le service spécialisé de la Confédération pour la sécurité de l’information demande au Contrôle fédéral des finances d’évaluer la législation sur la sécurité de l’information au sein de la Confédération.</p></content></paragraph></article></section><section eId="sec_9"><num>Section 9</num><heading>Traitement des informations et des données personnelles</heading><article eId="art_46"><num><b>Art. 46</b></num><heading>Généralités</heading><paragraph eId="art_46/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les organisations visées à l’art. 2, al. 1 à 3, et les organes de sécurité de la Confédération peuvent traiter les informations utiles à la sécurité de l’information, y compris les données personnelles.</p></content></paragraph><paragraph eId="art_46/para_2"><num>2</num><content><blockList><listIntroduction eId="art_46/para_2/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ils peuvent échanger les informations, y compris les données personnelles, visées à l’al. 1 entre eux et avec des organisations nationales, internationales ou étrangères de droit public ou privé, dans la mesure où:</listIntroduction><item eId="art_46/para_2/lbl_a"><num>a. </num><p>cela est utile à la sécurité de l’information;</p></item><item eId="art_46/para_2/lbl_b"><num>b. </num><p>aucune obligation de maintien du secret légale ou contractuelle n’est violée;</p></item><item eId="art_46/para_2/lbl_c"><num>c. </num><p>les dispositions de la législation fédérale en matière de protection des données sont respectées, et</p></item><item eId="art_46/para_2/lbl_d"><num>d. </num><p>ces organisations assument des tâches légales dans le domaine de la sécurité de l’information qui correspondent à celles de l’autorité ou de l’organisation qui communique les informations.</p></item></blockList></content></paragraph><paragraph eId="art_46/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Pour autant que cela soit nécessaire pour maîtriser un incident de sécurité ou traiter une faille de sécurité, ils peuvent également traiter et échanger des données sensibles visées à l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> de personnes qui ont ou auraient participé à l’incident ou à la faille de sécurité ou qui sont ou seraient concernées par l’incident ou la faille de sécurité.</p></content></paragraph><paragraph eId="art_46/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Si, lors d’un incident de sécurité survenant au sein de la Confédération ou auprès de tiers collaborant avec la Confédération, des informations de la Confédération sont dérobées et publiées sur Internet, ils peuvent télécharger et analyser ces informations afin d’évaluer l’atteinte portée à la Confédération et de prendre les mesures de protection nécessaires. Ils ne peuvent pas traiter les données qui ne sont pas utiles à cette évaluation.</p></content></paragraph><paragraph eId="art_46/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Ils peuvent appliquer ces mesures en cas de soupçon concret.</p></content></paragraph></article><article eId="art_47"><num><b>Art. 47</b></num><heading>Application SMSI</heading><paragraph eId="art_47/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les organisations visées à l’art. 2, al. 1 à 3, peuvent exploiter un système d’information pour gérer la sécurité de l’information (application SMSI).</p></content></paragraph><paragraph eId="art_47/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles peuvent traiter dans l’application SMSI toutes les informations liées à la gestion de la sécurité de l’information en vertu de la présente ordonnance et les données sensibles visées à l’art. 46, al. 3.</p></content></paragraph><paragraph eId="art_47/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Elles peuvent relier leurs applications SMSI et échanger des informations pertinentes pour la sécurité de l’information par des interfaces automatisées.</p></content></paragraph></article><article eId="art_48"><num><b>Art. 48</b></num><heading>Services électroniques de formulaire</heading><paragraph eId="art_48/para_1"><num>1</num><content><blockList><listIntroduction eId="art_48/para_1/listintro" xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information peut exploiter des services électroniques de formulaire et les relier à son application SMSI dans les buts suivants:</listIntroduction><item eId="art_48/para_1/lbl_a"><num>a. </num><p>gérer les déplacements visés à l’art. 42, al. 3, let. e;</p></item><item eId="art_48/para_1/lbl_b"><num>b. </num><p>établir et envoyer les certificats internationaux de sécurité visés à l’art. 30 OCSP<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2023/736" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>128.31</b></ref></p></authorialNote>;</p></item><item eId="art_48/para_1/lbl_c"><num>c. </num><p>établir et envoyer les certificats internationaux de sécurité visés à l’art. 66 LSI.</p></item></blockList></content></paragraph><paragraph eId="art_48/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les données personnelles figurant dans l’annexe 1 peuvent être traitées à l’aide des services de formulaire visés à l’al. 1. Elles peuvent être conservées pendant dix ans au plus.</p></content></paragraph><paragraph eId="art_48/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les organisations visées à l’art. 2, al. 1 à 3, peuvent exploiter des services électroniques de formulaire pour annoncer des incidents et des failles de sécurité et les relier à leur application SMSI.</p></content></paragraph><paragraph eId="art_48/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> À l’aide des services de formulaire visés à l’al. 3, elles peuvent traiter les données personnelles, y compris les données sensibles visées à l’art. 46, al. 3, qui sont nécessaires à la maîtrise des incidents de sécurité et au traitement des failles de sécurité. Elles doivent effacer ces données du service de formulaire immédiatement après leur communication. Elles peuvent provisoirement les enregistrer avant l’envoi durant 24 heures au plus.</p></content></paragraph></article></section><section eId="sec_10"><num>Section 10</num><heading>Dispositions finales</heading><article eId="art_49"><num><b>Art. 49</b></num><heading>Dispositions d’exécution particulières</heading><paragraph eId="art_49/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Le DDPS peut déclarer contraignantes pour les cantons des versions datées des directives générales et abstraites visées aux art. 17, al. 3, 21, al. 1, 29, al. 1 et 34, al. 1.</p></content></paragraph></article><article eId="art_50"><num><b>Art. 50</b></num><heading>Abrogation et modification d’autres actes</heading><paragraph eId="art_50/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">L’abrogation et la modification d’autres actes sont réglées dans l’annexe 2.</p></content></paragraph></article><article eId="art_51"><num><b>Art. 51</b></num><heading>Dispositions transitoires</heading><paragraph eId="art_51/para_1"><num>1</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les directives en matière de sécurité informatique émises par le Centre national pour la cybersécurité (NCSC) et les exceptions qu’il a autorisées avant l’entrée en vigueur de la présente ordonnance conservent leur validité durant trois ans au plus après l’entrée en vigueur de la présente ordonnance.</p></content></paragraph><paragraph eId="art_51/para_2"><num>2</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Le service spécialisé de la Confédération pour la sécurité de l’information ou le NCSC prend les décisions concernant les changements des directives et des exceptions autorisées émises par le NCSC avant l’entrée en vigueur de la présente ordonnance.</p></content></paragraph><paragraph eId="art_51/para_3"><num>3</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les directives en matière de protection de l’information émises par la Conférence des secrétaires généraux ou l’organe de coordination pour la protection des informations au sein de la Confédération avant l’entrée en vigueur de la présente ordonnance conservent leur validité durant deux ans au plus après l’entrée en vigueur de la présente ordonnance.</p></content></paragraph><paragraph eId="art_51/para_4"><num>4</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les unités administratives visées à l’art. 2, al. 1, let. c, mettent en place leur SMSI (art. 5) dans les trois ans après l’entrée en vigueur de la présente ordonnance. </p></content></paragraph><paragraph eId="art_51/para_5"><num>5</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les catalogues de classification (art. 17) doivent être établis au plus tard un an après l’entrée en vigueur de la présente ordonnance.</p></content></paragraph><paragraph eId="art_51/para_6"><num>6</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> L’OFCS assume jusqu’au 30 juin 2025 les tâches et les compétences du service spécialisé de la Confédération pour la sécurité de l’information visées aux art. 9, al. 2 et 3, 11, al. 3 et 4, 12, al. 3 et 6 à 8, 15, 27, al. 7, 29, al. 1, et 31, al. 1.</p></content></paragraph><paragraph eId="art_51/para_7"><num>7</num><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration"> Les directives émises par l’OFCS en application de l’al. 6 conservent leur validité durant deux ans au plus après l’entrée en vigueur de la présente ordonnance.</p></content></paragraph></article><article eId="art_52"><num><b>Art. 52</b></num><heading>Entrée en vigueur</heading><paragraph eId="art_52/para"><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">La présente ordonnance entre en vigueur le 1<sup>er</sup> janvier 2024.</p></content></paragraph></article></section></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza dell’8 novembre 2023 sulla sicurezza delle informazioni in seno all’Amministrazione federale e all’esercito (Ordinanza sulla sicurezza delle informazioni, OSIn)" shortForm="OSIn"/><FRBRname xml:lang="de" value="Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (Informationssicherheitsverordnung, ISV)" shortForm="ISV"/><FRBRname xml:lang="fr" value="Ordonnance du 8 novembre 2023 sur la sécurité de l’information dans l’administration fédérale et l’armée (Ordonnance sur la sécurité de l’information, OSI)" shortForm="OSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/xml"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Annexe 1</block></container></preface><mainBody><p>(art. 48)</p><level eId="annex_1/lvl_u1"><heading>Traitement des données à l’aide de services électroniques de formulaire </heading><intro><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les données personnelles suivantes peuvent être traitées à l’aide des services de formulaire ci-dessous:</p></intro><level eId="annex_1/lvl_u1/lvl_1"><num>1. </num><heading>Service de formulaire pour le but visé à l’art. 48, al. 1, let. a</heading><content><blockList><item eId="annex_1/lvl_u1/lvl_1/lbl_a"><num>a. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_1/lbl_a/listintro">Données relatives à la personne:</listIntroduction><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_1"><num>1. </num><p>Prénoms et noms*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_2"><num>2. </num><p>Numéro AVS</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_3"><num>3. </num><p>Civilité, titre et rang*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_4"><num>4. </num><p>Date de naissance*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_5"><num>5. </num><p>Lieu d’origine et lieu de naissance*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_6"><num>6. </num><p>Nationalités*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_a/lbl_7"><num>7. </num><p>Numéro de carte d’identité et de passeport, lieu d’établissement et validité*</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_1/lbl_b"><num>b. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_1/lbl_b/listintro">Données concernant les fonctions professionnelles ou militaires de la personne:</listIntroduction><item eId="annex_1/lvl_u1/lvl_1/lbl_b/lbl_1"><num>1. </num><p>Fonction au sein de l’organisation ou de l’armée*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_b/lbl_2"><num>2. </num><p>Adresse professionnelle, adresse e-mail, numéros de téléphone et autres coordonnées, en particulier électroniques</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_b/lbl_3"><num>3. </num><p>Décision positive concernant le contrôle de sécurité relatif aux personnes, degré de contrôle et durée de validité*</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_1/lbl_c"><num>c. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_1/lbl_c/listintro">Données relatives à l’organisation requérante:</listIntroduction><item eId="annex_1/lvl_u1/lvl_1/lbl_c/lbl_1"><num>1. </num><p>Nom, adresse et coordonnées de l’organisation*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_c/lbl_2"><num>2. </num><p>Prénoms et noms de la personne de référence</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_c/lbl_3"><num>3. </num><p>Fonction de la personne de référence au sein de l’organisation ou de l’armée</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_c/lbl_4"><num>4. </num><p>Adresse professionnelle, adresse e-mail, numéros de téléphone et coordonnées électroniques de la personne de référence</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d"><num>d. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_1/lbl_d/listintro">Données concernant la visite:</listIntroduction><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_1"><num>1. </num><p>Nom, adresse, adresse e-mail et coordonnées de l’organisation étrangère*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_2"><num>2. </num><p>Motif de la visite*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_3"><num>3. </num><p>Catégorie de sécurité de la visite*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_4"><num>4. </num><p>Durée de la visite*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_5"><num>5. </num><p>Points du passage de la frontière*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_6"><num>6. </num><p>Moyens de transport*</p></item><item eId="annex_1/lvl_u1/lvl_1/lbl_d/lbl_7"><num>7. </num><p>Matériel transporté, y c. armes, munitions, explosifs, véhicules et autres équipements*</p></item></blockList></item></blockList><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les données suivies d’un astérisque (*) sont communiquées à l’autorité de sécurité étrangère.</p></content></level><level eId="annex_1/lvl_u1/lvl_2"><num>2. </num><heading>Service de formulaire pour le but visé à l’art. 48, al. 1, let. b</heading><content><blockList><item eId="annex_1/lvl_u1/lvl_2/lbl_a"><num>a. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_2/lbl_a/listintro">Données relatives à la personne:</listIntroduction><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_1"><num>1. </num><p>Prénoms et noms</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_2"><num>2. </num><p>Numéro AVS</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_3"><num>3. </num><p>Civilité, titre et rang</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_4"><num>4. </num><p>Date de naissance</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_5"><num>5. </num><p>Lieu d’origine et lieu de naissance</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_6"><num>6. </num><p>Nationalités</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_a/lbl_7"><num>7. </num><p>Numéro de carte d’identité et de passeport, lieu d’établissement et validité</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_2/lbl_b"><num>b. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_2/lbl_b/listintro">Données concernant les fonctions professionnelles ou militaires de la personne:</listIntroduction><item eId="annex_1/lvl_u1/lvl_2/lbl_b/lbl_1"><num>1. </num><p>Fonction au sein de l’organisation ou de l’armée</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_b/lbl_2"><num>2. </num><p>Adresse professionnelle, adresse e-mail, numéros de téléphone et autres coordonnées, en particulier électroniques</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_b/lbl_3"><num>3. </num><p>Décision positive concernant le contrôle de sécurité relatif aux personnes, degré de contrôle et durée de validité</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c"><num>c. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_2/lbl_c/listintro">Données relatives à l’organisation requérante:</listIntroduction><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_1"><num>1. </num><p>Nom, adresse, adresse e-mail et coordonnées de l’organisation</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_2"><num>2. </num><p>Prénoms et noms de la personne de référence </p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_3"><num>3. </num><p>Fonction de la personne de référence au sein de l’organisation ou de l’armée</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_4"><num>4. </num><p>Adresse professionnelle, adresse e-mail et autres coordonnées, en particulier électroniques, de la personne de référence</p></item><item eId="annex_1/lvl_u1/lvl_2/lbl_c/lbl_5"><num>5. </num><p>Motif de l’établissement du certificat</p></item></blockList></item></blockList></content></level><level eId="annex_1/lvl_u1/lvl_3"><num>3. </num><heading>Service de formulaire pour le but visé à l’art. 48, al. 1, let. c</heading><content><blockList><item eId="annex_1/lvl_u1/lvl_3/lbl_a"><num>a. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_3/lbl_a/listintro">Données relatives à l’entreprise:</listIntroduction><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_1"><num>1. </num><p>Nom complet*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_2"><num>2. </num><p>Forme juridique*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_3"><num>3. </num><p>Numéro d’identification de l’entreprise </p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_4"><num>4. </num><p>Adresse, adresse e-mail et autres coordonnées, en particulier électroniques*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_5"><num>5. </num><p>Siège*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_6"><num>6. </num><p>Prénoms et noms de la personne de référence*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_7"><num>7. </num><p>Fonction de la personne de référence au sein de l’entreprise</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_a/lbl_8"><num>8. </num><p>Adresse professionnelle, adresse e-mail et autres coordonnées, en particulier électroniques, de la personne de référence</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_3/lbl_b"><num>b. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_3/lbl_b/listintro">Données concernant la déclaration de sécurité relative aux entreprises:</listIntroduction><item eId="annex_1/lvl_u1/lvl_3/lbl_b/lbl_1"><num>1. </num><p>Date d’établissement et durée de validité*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_b/lbl_2"><num>2. </num><p>Champ d’application et charges*</p></item><item eId="annex_1/lvl_u1/lvl_3/lbl_b/lbl_3"><num>3. </num><p>Échelon de classification ou catégorie de sécurité le plus élevé autorisé*</p></item></blockList></item></blockList><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les données suivies d’un astérisque (*) sont communiquées à l’autorité de sécurité étrangère.</p></content></level><level eId="annex_1/lvl_u1/lvl_4"><num>4. </num><heading>Service de formulaire visé à l’art. 48, al. 3</heading><content><blockList><item eId="annex_1/lvl_u1/lvl_4/lbl_a"><num>a. </num><blockList><listIntroduction eId="annex_1/lvl_u1/lvl_4/lbl_a/listintro">Données concernant l’auteur de l’annonce:</listIntroduction><item eId="annex_1/lvl_u1/lvl_4/lbl_a/lbl_1"><num>1. </num><p>Prénoms et noms</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_a/lbl_2"><num>2. </num><p>Adresse, adresse e-mail, numéros de téléphone et autres coordonnées, en particulier électroniques</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_a/lbl_3"><num>3. </num><p>Fonction au sein de l’organisation ou de l’armée</p></item></blockList></item><item eId="annex_1/lvl_u1/lvl_4/lbl_b"><num>b. </num><p>Données relatives au dommage et au calcul du dommage</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_c"><num>c. </num><p>Photographies, enregistrements sonores ou vidéos de l’incident ou de la faille de sécurité</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_d"><num>d. </num><p>Documents ou fichiers portant sur l’incident ou la faille de sécurité</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_e"><num>e. </num><p>Données relatives aux éventuelles personnes impliquées dans l’incident</p></item><item eId="annex_1/lvl_u1/lvl_4/lbl_f"><num>f. </num><p>Premières analyses de spécialistes, y compris premières mesures prises</p></item></blockList></content></level></level></mainBody></doc></component><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza dell’8 novembre 2023 sulla sicurezza delle informazioni in seno all’Amministrazione federale e all’esercito (Ordinanza sulla sicurezza delle informazioni, OSIn)" shortForm="OSIn"/><FRBRname xml:lang="de" value="Verordnung vom 8. November 2023 über die Informationssicherheit in der Bundesverwaltung und der Armee (Informationssicherheitsverordnung, ISV)" shortForm="ISV"/><FRBRname xml:lang="fr" value="Ordonnance du 8 novembre 2023 sur la sécurité de l’information dans l’administration fédérale et l’armée (Ordonnance sur la sécurité de l’information, OSI)" shortForm="OSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2023/735/20250501/fr/xml"/><FRBRdate date="2023-11-08" name="jolux:dateDocument"/><FRBRdate date="2024-01-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-05-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Annexe 2</block></container></preface><mainBody><p>(art. 50)</p><level eId="annex_2/lvl_u1"><heading>Abrogation et modification d’autres actes</heading><content><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">I</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">L’ordonnance du 27 mai 2020 sur les cyberrisques<authorialNote><p> [<ref href="https://fedlex.data.admin.ch/eli/oc/2020/416" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2020</b> 2107</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2020/988" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">5871 </ref>annexe ch. 1; <ref href="https://fedlex.data.admin.ch/eli/oc/2021/132" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2021</b> 132</ref>]</p></authorialNote> est abrogée.</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">II</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">Les actes mentionnés ci-après sont modifiés comme suit:</p><p xmlns:mig="urn:com:c-moria:legi4ch:xslt:migration">…<authorialNote><p> Les mod. peuvent être consultées au <ref href="https://fedlex.data.admin.ch/eli/oc/2023/735" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 735</ref>.</p></authorialNote></p></content></level></mainBody></doc></component></components></act></akomaNtoso>