Loi fédérale du 18 décembre 2020 sur la sécurité de l’information (Loi sur la sécurité de l’information, LSI) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.6"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Chancellerie fédérale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/FRA" showAs="fr"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>128 </docNumber></p><p><docTitle>Loi fédérale<br/>sur la sécurité de l’information*</docTitle></p><p>(Loi sur la sécurité de l’information, LSI)<inline name="man-font-weight-normal"><sup><authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></sup></inline></p><p>du 18 décembre 2020 (État le 1<sup>er</sup> avril 2025)</p></preface><preamble><p>L’Assemblée fédérale de la Confédération suisse,</p><p>vu les art. 54, al. 1, 60, al. 1, 101, 102, al. 1, et 173, al. 1, let. a et b, et 2,<br/>de la Constitution<authorialNote><p>* Les termes désignant des personnes s’appliquent également aux femmes et aux hommes.</p><p> RS <b>101</b></p></authorialNote>,<br/>vu le message du Conseil fédéral du 22 février 2017<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/fga/2017/647" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2017</b> 2765</ref></p></authorialNote>,</p><p>arrête:</p></preamble><body><chapter eId="chap_1"><num>Chapitre 1</num><heading>Dispositions générales</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>But</heading><paragraph eId="art_1/para_1"><num>1</num><content><blockList><listIntroduction eId="art_1/para_1/listintro"> La présente loi vise:</listIntroduction><item eId="art_1/para_1/lbl_a"><num>a. </num><p>à garantir la sécurité du traitement des informations relevant de la compétence de la Confédération et la sécurité de ses moyens informatiques;</p></item><item eId="art_1/para_1/lbl_b"><num>b. </num><p>à accroître la capacité de résilience de la Suisse face aux cybermenaces.<authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_1/para_2"><num>2</num><content><blockList><listIntroduction eId="art_1/para_2/listintro"> Elle vise ainsi à protéger les intérêts publics suivants:</listIntroduction><item eId="art_1/para_2/lbl_a"><num>a. </num><p>la capacité de décision et d’action des autorités et organisations de la Confédération;</p></item><item eId="art_1/para_2/lbl_b"><num>b. </num><p>la sécurité intérieure et extérieure de la Suisse;</p></item><item eId="art_1/para_2/lbl_c"><num>c. </num><p>les intérêts de la politique extérieure de la Suisse;</p></item><item eId="art_1/para_2/lbl_d"><num>d. </num><p>les intérêts économiques, financiers et monétaires de la Suisse;</p></item><item eId="art_1/para_2/lbl_e"><num>e. </num><p>l’accomplissement des obligations légales et contractuelles des autorités et organisations de la Confédération en matière de protection des informations.</p></item></blockList></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Autorités et organisations concernées </heading><paragraph eId="art_2/para_1"><num>1</num><content><blockList><listIntroduction eId="art_2/para_1/listintro"> La présente loi s’applique aux autorités suivantes:</listIntroduction><item eId="art_2/para_1/lbl_a"><num>a. </num><p>l’Assemblée fédérale;</p></item><item eId="art_2/para_1/lbl_b"><num>b. </num><p>le Conseil fédéral;</p></item><item eId="art_2/para_1/lbl_c"><num>c. </num><p>les tribunaux de la Confédération;</p></item><item eId="art_2/para_1/lbl_d"><num>d. </num><p>le Ministère public de la Confédération et son autorité de surveillance;</p></item><item eId="art_2/para_1/lbl_e"><num>e. </num><p>la Banque nationale suisse.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><blockList><listIntroduction eId="art_2/para_2/listintro"> Elle s’applique également aux organisations suivantes:</listIntroduction><item eId="art_2/para_2/lbl_a"><num>a. </num><p>les Services du Parlement;</p></item><item eId="art_2/para_2/lbl_b"><num>b. </num><p>l’administration fédérale;</p></item><item eId="art_2/para_2/lbl_c"><num>c. </num><p>les services administratifs des tribunaux de la Confédération;</p></item><item eId="art_2/para_2/lbl_d"><num>d.  </num><p>l’armée;</p></item><item eId="art_2/para_2/lbl_e"><num>e. </num><p>les organisations visées à l’art. 2, al. 4, de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2022_2022_2022" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.010</b></ref></p></authorialNote>, pour leurs tâches administratives.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_3"><num>3</num><content><blockList><listIntroduction eId="art_2/para_3/listintro"> Le Conseil fédéral peut restreindre le champ d’application de la présente loi pour les organisations au sens de l’art. 2, al. 3 et 4, LOGA à celles qui:</listIntroduction><item eId="art_2/para_3/lbl_a"><num>a. </num><p>exercent des activités sensibles, ou</p></item><item eId="art_2/para_3/lbl_b"><num>b. </num><p>recourent ou accèdent à des moyens informatiques de la Confédération dans l’accomplissement de leurs tâches.</p></item></blockList></content></paragraph><paragraph eId="art_2/para_4"><num>4</num><content><p> Il peut limiter à certaines dispositions de la présente loi le champ d’application au sens de l’al. 3. Il tient compte à cet égard de l’autonomie d’exécution des organisations concernées selon les actes organisationnels qui les régissent.</p></content></paragraph><paragraph eId="art_2/para_5"><num>5</num><content><p> Les organisations de droit public ou de droit privé qui exploitent des infrastructures critiques sans être visées par les al. 1 à 3 sont soumises aux art. 73<i>a</i> à 79<span>.</span><span><authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></span><span> </span>La législation spéciale peut prévoir que d’autres dispositions de la présente loi leur sont applicables.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Application de la loi aux cantons</heading><paragraph eId="art_3/para_1"><num>1</num><content><blockList><listIntroduction eId="art_3/para_1/listintro"> Ne s’appliquent aux cantons que les dispositions relatives:</listIntroduction><item eId="art_3/para_1/lbl_a"><num>a. </num><p>aux informations classifiées, lorsque les cantons traitent des informations classifiées de la Confédération, et</p></item><item eId="art_3/para_1/lbl_b"><num>b. </num><p>à la sécurité des moyens informatiques, lorsque les cantons accèdent à des moyens informatiques de la Confédération.</p></item></blockList></content></paragraph><paragraph eId="art_3/para_2"><num>2</num><content><p> Ces dispositions ne s’appliquent pas lorsque les cantons garantissent une sécurité au moins équivalente de l’information.</p></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b></num><heading>Rapport avec d’autres lois fédérales</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> La loi du 17 décembre 2004 sur la transparence (LTrans)<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2006/355" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>152.3</b></ref></p></authorialNote> prime la présente loi.<authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_4/para_1_bis"><num>1bis</num><content><p> Les informations provenant de tiers dont l’Office fédéral de la cybersécurité (OFCS) prend connaissance dans son activité de réception et d’analyse des signalements conformément au chap. 5 ne peuvent être rendues accessibles en vertu de la LTrans. Les autorités, les organisations et les personnes visées à l’art. 2, al. 1, LTrans ne sont pas considérées comme des tiers.<authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/168" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 168</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> Lorsque la protection d’informations est également réglée dans d’autres lois fédérales, les dispositions de la présente loi s’appliquent à titre complémentaire.</p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Définitions</heading><paragraph eId="art_5/para"><content><blockList><listIntroduction eId="art_5/para/listintro">On entend par:</listIntroduction><item eId="art_5/para/lbl_a"><num>a. </num><p><i>moyen informatique:</i> moyen relevant des techniques de l’information et de la communication, notamment les applications, les systèmes d’information et les fichiers, ainsi que les installations, les produits et les services servant au traitement électronique des informations;</p></item><item eId="art_5/para/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_5/para/lbl_b/listintro"><i>activité sensible:</i></listIntroduction><item eId="art_5/para/lbl_b/lbl_1"><num>1. </num><p>le traitement d’informations classifiées «confidentiel» ou «secret»,</p></item><item eId="art_5/para/lbl_b/lbl_2"><num>2. </num><p>l’administration, l’exploitation, la maintenance et le contrôle de moyens informatiques relevant des catégories de sécurité «protection élevée» ou «protection très élevée»,</p></item><item eId="art_5/para/lbl_b/lbl_3"><num>3. </num><p>l’accès à des zones de sécurité, en particulier aux zones de protection 2 ou 3 d’un ouvrage au sens de la législation sur la protection des ouvrages militaires;</p></item></blockList></item><item eId="art_5/para/lbl_c"><num>c. </num><p><i>infrastructure critique:</i> l’approvisionnement en eau potable et en énergie, les infrastructures d’information, de communication et de transports ainsi que d’autres installations, processus et systèmes essentiels au fonctionnement de l’économie et au bien-être de la population;</p></item><item eId="art_5/para/lbl_d"><num>d.<authorialNote><p> Introduite par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>cyberincident:</i> un événement survenant lors de l’utilisation de moyens informatiques et ayant pour conséquence une atteinte à la confidentialité, à la disponibilité ou à l’intégrité d’informations ou à la traçabilité de leur traitement;</p></item><item eId="art_5/para/lbl_e"><num>e.<authorialNote><p> Introduite par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>cyberattaque</i><i>:</i> un cyberincident provoqué intentionnellement;</p></item><item eId="art_5/para/lbl_f"><num>f.<authorialNote><p> Introduite par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>cybermenace</i><i>:</i> toute circonstance ou tout <span>événement pouvant entraîner</span> un cyberincident;</p></item><item eId="art_5/para/lbl_g"><num>g.<authorialNote><p> Introduite par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote> </num><p><i>vulnérabilité:</i> une cybermenace due à des failles ou à des erreurs dans les moyens informatiques.</p></item></blockList></content></paragraph></article></chapter><chapter eId="chap_2"><num>Chapitre 2</num><heading>Mesures générales</heading><section eId="chap_2/sec_1"><num>Section 1</num><heading>Principes</heading><article eId="art_6"><num><b>Art. 6</b></num><heading>Sécurité de l’information</heading><paragraph eId="art_6/para_1"><num>1</num><content><p> Les autorités et organisations soumises à la présente loi veillent à ce que le besoin de protection des informations relevant de leur compétence soit évalué en fonction de l’atteinte potentielle aux intérêts définis à l’art. 1, al. 2.</p></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><blockList><listIntroduction eId="art_6/para_2/listintro"> Elles veillent à ce que les informations, en fonction de leur besoin de protection:</listIntroduction><item eId="art_6/para_2/lbl_a"><num>a. </num><p>ne soient accessibles qu’aux personnes autorisées (confidentialité);</p></item><item eId="art_6/para_2/lbl_b"><num>b. </num><p>soient disponibles en cas de besoin (disponibilité);</p></item><item eId="art_6/para_2/lbl_c"><num>c. </num><p>ne puissent être modifiées sans droit ou par mégarde (intégrité);</p></item><item eId="art_6/para_2/lbl_d"><num>d. </num><p>soient traitées de manière à être traçables (traçabilité).</p></item></blockList></content></paragraph><paragraph eId="art_6/para_3"><num>3</num><content><p> Elles veillent à ce que les moyens informatiques auxquels elles recourent pour accomplir leurs tâches légales soient protégés contre les utilisations abusives et les perturbations.</p></content></paragraph><paragraph eId="art_6/para_4"><num>4</num><content><p> Elles tiennent compte à cet égard des principes de la proportionnalité, de l’économicité et de la simplicité d’emploi.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Responsabilité des autorités soumises à la présente loi</heading><paragraph eId="art_7/para_1"><num>1</num><content><p> Les autorités soumises à la présente loi veillent, chacune dans son domaine de compétence, à ce que la sécurité de l’information soit organisée, mise en œuvre et contrôlée conformément à l’état des connaissances scientifiques et techniques. </p></content></paragraph><paragraph eId="art_7/para_2"><num>2</num><content><blockList><listIntroduction eId="art_7/para_2/listintro"> Elles fixent:</listIntroduction><item eId="art_7/para_2/lbl_a"><num>a. </num><p>leurs objectifs en matière de sécurité de l’information;</p></item><item eId="art_7/para_2/lbl_b"><num>b. </num><p>les principes de gestion des risques;</p></item><item eId="art_7/para_2/lbl_c"><num>c. </num><p>les conséquences d’une violation des prescriptions.</p></item></blockList></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Gestion des risques</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Les autorités et organisations soumises à la présente loi veillent, chacune dans son domaine de compétence, à ce que les risques en matière de sécurité de l’information soient constamment évalués.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Elles prennent les mesures nécessaires pour éliminer les risques ou les ramener à un niveau acceptable.</p></content></paragraph><paragraph eId="art_8/para_3"><num>3</num><content><p> Les risques jugés acceptables doivent être formellement acceptés.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Collaboration avec les tiers</heading><paragraph eId="art_9/para_1"><num>1</num><content><p> Lorsque les autorités et organisations soumises à la présente loi collaborent avec des tiers, elles veillent à ce que les exigences et mesures prévues par la présente loi soient reprises dans les accords et les contrats qu’elles concluent à cet effet.</p></content></paragraph><paragraph eId="art_9/para_2"><num>2</num><content><p> Elles veillent à ce que la mise en œuvre des mesures soit contrôlée de manière adéquate.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Procédure en cas de violation de la sécurité de l’information </heading><paragraph eId="art_10/para_1"><num>1</num><content><p> Les autorités et organisations soumises à la présente loi veillent à ce que les violations de la sécurité de l’information soient décelées rapidement, leurs causes clarifiées et leurs conséquences limitées au maximum. </p></content></paragraph><paragraph eId="art_10/para_2"><num>2</num><content><p> Les autorités soumises à la présente loi veillent à établir des plans d’action dans l’éventualité de graves violations de la sécurité de l’information susceptibles de menacer l’accomplissement de tâches indispensables de la Confédération; elles organisent des exercices à cet effet. </p></content></paragraph></article><article eId="art_10_a"><num><b>Art. 10</b><i>a</i><authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Traitement des données personnelles</heading><paragraph eId="art_10_a/para_1"><num>1</num><content><p> Les autorités et organisations peuvent traiter les données personnelles utiles à la sécurité de l’information, notamment dans les systèmes de gestion de la sécurité des informations prévus à cet effet (applications SGSI).</p></content></paragraph><paragraph eId="art_10_a/para_2"><num>2</num><content><blockList><listIntroduction eId="art_10_a/para_2/listintro"> Elles peuvent <span>échanger entre elles des données personnelles au sens de l’al. 1 ainsi qu’avec des organisations nationales, internationales ou étrangères de droit public, si les conditions suivantes sont remplies:</span></listIntroduction><item eId="art_10_a/para_2/lbl_a"><num>a. </num><p>cela est utile à la sécurité de l’information;</p></item><item eId="art_10_a/para_2/lbl_b"><num>b. </num><p>cela n’enfreint aucune obligation légale ou contractuelle de garder le secret;</p></item><item eId="art_10_a/para_2/lbl_c"><num>c. </num><p>les dispositions de la législation fédérale sur la protection des données sont respectées;</p></item><item eId="art_10_a/para_2/lbl_d"><num>d. </num><p>l’organisation qui reçoit les données assume des tâches légales dans le domaine de la sécurité de l’information qui correspondent à celles de l’autorité ou de l’organisation qui fait la communication.</p></item></blockList></content></paragraph><paragraph eId="art_10_a/para_3"><num>3</num><content><p> Elles peuvent relier entre eux leurs systèmes d’information, notamment les applications SGSI, et échanger des données automatiquement ou sur demande par l’intermédiaire d’interfaces.</p></content></paragraph><paragraph eId="art_10_a/para_4"><num>4</num><content><p> Elles peuvent administrer des formulaires électroniques servant à soumettre ou à traiter des demandes et des signalements dans le domaine de la sécurité de l’information et les relier à leurs applications SGSI ou à d’autres systèmes d’information.</p></content></paragraph><paragraph eId="art_10_a/para_5"><num>5</num><content><blockList><listIntroduction eId="art_10_a/para_5/listintro"> Dans la mesure où cela est nécessaire pour gérer des violations de la sécurité de l’information ou pour éliminer des vulnérabilités, elles peuvent effectuer les actions suivantes avec des données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> relatives à des personnes qui sont impliquées dans ces violations ou ces vulnérabilités ou qui sont ou pourraient être concernées par elles:</listIntroduction><item eId="art_10_a/para_5/lbl_a"><num>a. </num><p>les traiter;</p></item><item eId="art_10_a/para_5/lbl_b"><num>b. </num><p>les échanger entre elles ainsi qu’avec des organisations nationales, internationales ou étrangères de droit public, pour autant que la condition visée à l’al. 2, let. b, soit remplie.</p></item></blockList></content></paragraph><paragraph eId="art_10_a/para_6"><num>6</num><content><p> Elles peuvent conserver les données sensibles jusqu’à deux ans après la gestion des violations de la sécurité de l’information ou l’élimination des vulnérabilités, mais dix ans au plus.</p></content></paragraph><paragraph eId="art_10_a/para_7"><num>7</num><content><p> L’archivage des données est régi par les dispositions de la législation relative à l’archivage.</p></content></paragraph><paragraph eId="art_10_a/para_8"><num>8</num><content><p> Le traitement de données personnelles par l’OFCS<authorialNote><p> Nouvelle expression selon le ch. I de l’O du 7 mars 2025, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2025/168" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2025</b> 168</ref>). Il a été tenu compte de cette mod. dans tout le texte.</p></authorialNote> dans le cadre de l’accomplissement de ses tâches est régi par les <span>art. 75 à 79</span>.</p></content></paragraph></article></section><section eId="chap_2/sec_2"><num>Section 2</num><heading>Classification des informations</heading><article eId="art_11"><num><b>Art. 11</b></num><heading>Principes régissant la classification</heading><paragraph eId="art_11/para_1"><num>1</num><content><p> Les autorités et organisations soumises à la présente loi veillent à ce que les informations qui remplissent les critères définis à l’art. 13 soient classifiées.</p></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> La classification doit se limiter au strict nécessaire et être si possible temporaire.</p></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Compétences</heading><paragraph eId="art_12/para_1"><num>1</num><content><p> Les autorités soumises à la présente loi désignent les personnes <span>et </span>services compétents pour classifier les informations (auteurs de la classification).</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> Seuls l’auteur de la classification ou le service auquel il est subordonné peuvent modifier ou supprimer une classification.</p></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> Le Conseil fédéral règle la déclassification des archives.</p></content></paragraph></article><article eId="art_13"><num><b>Art. 13</b></num><heading>Échelons de classification</heading><paragraph eId="art_13/para_1"><num>1</num><content><p> Les informations susceptibles de nuire aux intérêts définis à l’art. 1, al. 2, let. a à d, si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «interne».</p></content></paragraph><paragraph eId="art_13/para_2"><num>2</num><content><p> Les informations susceptibles de nuire considérablement aux intérêts définis à l’art. 1, al. 2, let. a à d, si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «confidentiel».</p></content></paragraph><paragraph eId="art_13/para_3"><num>3</num><content><p> Les informations susceptibles de nuire gravement aux intérêts définis à l’art. 1, al. 2, let. a à d, si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «secret».</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Accès aux informations classifiées</heading><paragraph eId="art_14/para_1"><num>1</num><content><blockList><listIntroduction eId="art_14/para_1/listintro"> Seules peuvent accéder aux informations classifiées les personnes qui offrent toutes les garanties qu’elles les traiteront correctement et qui remplissent l’une des conditions suivantes:</listIntroduction><item eId="art_14/para_1/lbl_a"><num>a. </num><p>elles ont besoin des informations en question pour accomplir une tâche légale;</p></item><item eId="art_14/para_1/lbl_b"><num>b. </num><p>elles disposent d’une autorisation d’accès qui leur a été conférée contractuellement et ont besoin des informations en question pour accomplir les tâches qui leur ont été confiées.</p></item></blockList></content></paragraph><paragraph eId="art_14/para_2"><num>2</num><content><p> L’accès aux archives classifiées est réglé par la législation sur l’archivage.</p></content></paragraph><paragraph eId="art_14/para_3"><num>3</num><content><p> Les limitations d’accès prévues dans des traités internationaux au sens de l’art. 87 sont réservées.</p></content></paragraph></article><article eId="art_15"><num><b>Art. 15</b></num><heading>Accès à des informations classifiées dans le cadre de procédures spéciales</heading><paragraph eId="art_15/para_1"><num>1</num><content><p> L’accès à des informations classifiées relevant de l’Assemblée fédérale, des Services du Parlement, des tribunaux et des ministères publics est régi par le droit de procédure applicable.</p></content></paragraph><paragraph eId="art_15/para_2"><num>2</num><content><p> Avant toute décision donnant accès à une information au sens de l’al. 1, l’organe parlementaire ou le tribunal compétent peut consulter l’auteur de la classification.</p></content></paragraph></article></section><section eId="chap_2/sec_3"><num>Section 3</num><heading>Sécurité des moyens informatiques</heading><article eId="art_16"><num><b>Art. 16</b></num><heading>Procédure de sécurité</heading><paragraph eId="art_16/para_1"><num>1</num><content><p> Pour garantir la sécurité de l’information lors de l’utilisation de moyens informatiques, les autorités soumises à la présente loi élaborent une procédure de sécurité.</p></content></paragraph><paragraph eId="art_16/para_2"><num>2</num><content><blockList><listIntroduction eId="art_16/para_2/listintro"> La procédure de sécurité définit en particulier:</listIntroduction><item eId="art_16/para_2/lbl_a"><num>a. </num><p>les critères permettant d’évaluer le besoin de protection des informations avant la mise en service des moyens informatiques; </p></item><item eId="art_16/para_2/lbl_b"><num>b. </num><p>les modalités de mise en œuvre des mesures de sécurité et leur contrôle;</p></item><item eId="art_16/para_2/lbl_c"><num>c. </num><p>la compétence d’autoriser les moyens informatiques; </p></item><item eId="art_16/para_2/lbl_d"><num>d. </num><p>la procédure à suivre en cas de modification des risques.</p></item></blockList></content></paragraph><paragraph eId="art_16/para_3"><num>3</num><content><p> L’exécution de la procédure de sécurité incombe aux autorités et organisations soumises à la présente loi qui décident de l’utilisation de moyens informatiques. </p></content></paragraph></article><article eId="art_17"><num><b>Art. 17</b></num><heading>Catégories de sécurité</heading><paragraph eId="art_17/para_1"><num>1</num><content><p> Les moyens informatiques relèvent de la catégorie de sécurité «protection de base», à moins qu’ils relèvent d’une catégorie de sécurité supérieure.</p></content></paragraph><paragraph eId="art_17/para_2"><num>2</num><content><blockList><listIntroduction eId="art_17/para_2/listintro"> Ils relèvent de la catégorie de sécurité «protection élevée» dans les cas suivants:</listIntroduction><item eId="art_17/para_2/lbl_a"><num>a. </num><p>une violation de la confidentialité, de la disponibilité, de l’intégrité ou de la traçabilité des informations qu’ils traitent risque de nuire considérablement aux intérêts définis à l’art. 1, al. 2; </p></item><item eId="art_17/para_2/lbl_b"><num>b. </num><p>leur utilisation abusive ou leur perturbation sont susceptibles de nuire considérablement aux intérêts définis à l’art. 1, al. 2.</p></item></blockList></content></paragraph><paragraph eId="art_17/para_3"><num>3</num><content><blockList><listIntroduction eId="art_17/para_3/listintro"> Ils relèvent de la catégorie de sécurité «protection très élevée» dans les cas suivants:</listIntroduction><item eId="art_17/para_3/lbl_a"><num>a. </num><p>une violation de la confidentialité, de la disponibilité, de l’intégrité ou de la traçabilité des informations qu’ils traitent risque de nuire gravement aux intérêts définis à l’art. 1, al. 2;</p></item><item eId="art_17/para_3/lbl_b"><num>b. </num><p>leur utilisation abusive ou leur perturbation sont susceptibles de nuire gravement aux intérêts définis à l’art. 1, al. 2.</p></item></blockList></content></paragraph></article><article eId="art_18"><num><b>Art. 18</b></num><heading>Mesures de sécurité</heading><paragraph eId="art_18/para_1"><num>1</num><content><p> Les autorités soumises à la présente loi fixent les exigences de sécurité minimales applicables aux catégories de sécurité définies à l’art. 17.</p></content></paragraph><paragraph eId="art_18/para_2"><num>2</num><content><p> Tous les moyens informatiques doivent satisfaire aux exigences minimales de la catégorie de sécurité «protection de base».</p></content></paragraph><paragraph eId="art_18/para_3"><num>3</num><content><p> L’efficacité des mesures applicables aux moyens informatiques de la catégorie de sécurité «protection très élevée» doit faire l’objet de contrôles périodiques.</p></content></paragraph></article><article eId="art_19"><num><b>Art. 19</b></num><heading>Sécurité de l’exploitation</heading><paragraph eId="art_19/para_1"><num>1</num><content><p> Les autorités et organisations soumises à la présente loi garantissent la sécurité des moyens informatiques qu’elles exploitent pour elles-mêmes ou sur mandat d’une autre autorité ou organisation.</p></content></paragraph><paragraph eId="art_19/para_2"><num>2</num><content><p> Les art. 57<i>i</i> à 57<i>q</i> LOGA<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2022_2022_2022" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.010</b></ref></p></authorialNote> s’appliquent par analogie au traitement des données personnelles dans le cadre de la surveillance des réseaux.</p></content></paragraph></article></section><section eId="chap_2/sec_4"><num>Section 4</num><heading>Mesures relatives aux personnes</heading><article eId="art_20"><num><b>Art. 20</b></num><heading>Conditions d’accès aux informations et aux moyens informatiques de la Confédération</heading><paragraph eId="art_20/para_1"><num>1</num><content><blockList><listIntroduction eId="art_20/para_1/listintro"> Les autorités et organisations soumises à la présente loi veillent à ce que les personnes qui accèdent à des informations, des moyens informatiques, des locaux et d’autres infrastructures de la Confédération:</listIntroduction><item eId="art_20/para_1/lbl_a"><num>a. </num><p>soient choisies avec soin;</p></item><item eId="art_20/para_1/lbl_b"><num>b. </num><p>soient identifiées en fonction de la sensibilité de l’activité concernée; </p></item><item eId="art_20/para_1/lbl_c"><num>c. </num><p>reçoivent une formation et une formation continue adaptées à leur niveau de responsabilité; </p></item><item eId="art_20/para_1/lbl_d"><num>d. </num><p>soient le cas échéant tenues au maintien du secret.</p></item></blockList></content></paragraph><paragraph eId="art_20/para_2"><num>2</num><content><p> Elles peuvent recourir à des méthodes biométriques de vérification pour identifier les personnes, si la sensibilité de l’activité concernée le requiert. Les données biométriques sont détruites à l’échéance de l’autorisation d’accès.</p></content></paragraph><paragraph eId="art_20/para_3"><num>3</num><content><p> Elles peuvent en outre utiliser systématiquement le numéro AVS au sens de l’art. 50<i>c</i> de la loi fédérale du 20 décembre 1946 sur l’assurance-vieillesse et survivants<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/63/837_843_843" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>831.10</b></ref></p></authorialNote> comme identificateur de personnes. </p></content></paragraph></article><article eId="art_21"><num><b>Art. 21</b></num><heading>Délivrance restrictive des autorisations</heading><paragraph eId="art_21/para_1"><num>1</num><content><p> Les autorités et organisations soumises à la présente loi veillent à ce que des autorisations d’accès à des informations, des moyens informatiques, des locaux ou d’autres infrastructures de la Confédération ne soient délivrées qu’aux personnes qui en ont besoin pour accomplir leurs tâches.</p></content></paragraph><paragraph eId="art_21/para_2"><num>2</num><content><p> Les autorisations sont retirées à la fin de l’engagement ou du contrat ou dès que la tâche concernée a été exécutée. Elles peuvent être bloquées ou retirées sans préavis lorsque des indices concrets donnent à penser que la sécurité est menacée.</p></content></paragraph></article></section><section eId="chap_2/sec_5"><num>Section 5</num><heading>Protection physique</heading><article eId="art_22"><num><b>Art. 22</b></num><heading>Principe</heading><paragraph eId="art_22/para"><content><p>Les autorités et organisations soumises à la présente loi veillent à assurer une protection physique adéquate des informations et moyens informatiques dont elles sont responsables contre les utilisations abusives et les perturbations.</p></content></paragraph></article><article eId="art_23"><num><b>Art. 23</b></num><heading>Zones de sécurité</heading><paragraph eId="art_23/para_1"><num>1</num><content><blockList><listIntroduction eId="art_23/para_1/listintro"> Les autorités et organisations soumises à la présente loi peuvent instituer des zones de sécurité dans des locaux ou des espaces dans lesquels: </listIntroduction><item eId="art_23/para_1/lbl_a"><num>a. </num><p>des informations classifiées «confidentiel» ou «secret» sont fréquemment traitées, ou</p></item><item eId="art_23/para_1/lbl_b"><num>b. </num><p>des moyens informatiques des catégories de sécurité «protection élevée» ou «protection très élevée» sont exploités.</p></item></blockList></content></paragraph><paragraph eId="art_23/para_2"><num>2</num><content><blockList><listIntroduction eId="art_23/para_2/listintro"> Elles peuvent prendre les mesures suivantes:</listIntroduction><item eId="art_23/para_2/lbl_a"><num>a. </num><p>interdire certains objets, en particulier les appareils de prises de vue et de son; </p></item><item eId="art_23/para_2/lbl_b"><num>b. </num><p>surveiller les secteurs sensibles avec des appareils de prises de vue et de son;</p></item><item eId="art_23/para_2/lbl_c"><num>c. </num><p>procéder à des fouilles;</p></item><item eId="art_23/para_2/lbl_d"><num>d. </num><p>procéder à des contrôles des locaux inopinés, même en l’absence des employés. </p></item></blockList></content></paragraph><paragraph eId="art_23/para_3"><num>3</num><content><p> Elles peuvent exploiter, conformément à l’art. 34, al. 1<sup>ter</sup>, de la loi du 30 avril 1997 sur les télécommunications (LTC)<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.10</b></ref></p></authorialNote>, une installation perturbatrice dans les zones de sécurité où des informations classifiées «secret» sont fréquemment traitées ou des moyens informatiques de la catégorie de sécurité «protection très élevée» sont exploités.<authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_23/para_4"><num>4</num><content><p> Les dispositions particulières relatives aux zones de sécurité établies en vertu des traités internationaux au sens de l’art. 87 et les dispositions applicables aux zones de protection des <span>ouvrages</span> au sens de la législation sur la protection des ouvrages militaires sont réservées. </p></content></paragraph></article></section><section eId="chap_2/sec_6"><num>Section 6</num><heading>Systèmes de gestion des données d’identification</heading><article eId="art_24"><num><b>Art. 24</b></num><heading>Exploitation de systèmes de gestion des données d’identification</heading><paragraph eId="art_24/para_1"><num>1</num><content><p> Les autorités soumises à la présente loi peuvent exploiter des systèmes permettant une gestion centralisée des données servant à identifier les personnes qui ont accès aux informations, aux moyens informatiques, aux locaux et à d’autres infrastructures (systèmes de gestion des données d’identification).</p></content></paragraph><paragraph eId="art_24/para_2"><num>2</num><content><p> Les systèmes de gestion des données d’identification vérifient l’identité <span>et les profils d’accès des personne, des machines et des systèmes</span>. Ils transmettent le résultat aux systèmes d’information raccordés pour la vérification des autorisations. </p></content></paragraph><paragraph eId="art_24/para_3"><num>3</num><content><p> Les autorités soumises à la présente loi désignent un service responsable pour chaque système de gestion des données d’identification.</p></content></paragraph></article><article eId="art_25"><num><b>Art. 25</b></num><heading>Échange et harmonisation des données</heading><paragraph eId="art_25/para_1"><num>1</num><content><p> Les systèmes de gestion des données d’identification permettent d’échanger des données et de les harmoniser avec les systèmes d’information raccordés, avec les répertoires de personnes et d’utilisateurs et avec d’autres systèmes de gestion des données d’identification exploités par des autorités soumises à la présente loi.</p></content></paragraph><paragraph eId="art_25/para_2"><num>2</num><content><p> L’échange et l’harmonisation sont limités aux données dont le traitement est autorisé dans le système concerné.</p></content></paragraph></article><article eId="art_26"><num><b>Art. 26</b></num><heading>Dispositions d’exécution</heading><paragraph eId="art_26/para"><content><blockList><listIntroduction eId="art_26/para/listintro">Les autorités soumises à la présente loi édictent des dispositions d’exécution notamment dans les domaines suivants:</listIntroduction><item eId="art_26/para/lbl_a"><num>a. </num><p>la protection et la sécurité des données;</p></item><item eId="art_26/para/lbl_b"><num>b. </num><p>les données personnelles traitées;</p></item><item eId="art_26/para/lbl_c"><num>c. </num><p>l’échange et l’harmonisation des données avec d’autres systèmes;</p></item><item eId="art_26/para/lbl_d"><num>d. </num><p>la journalisation et la transmission des données de journalisation aux systèmes d’information raccordés;</p></item><item eId="art_26/para/lbl_e"><num>e. </num><p>le contrôle périodique, réalisé par un organe externe, du traitement des données personnelles.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_3"><num>Chapitre 3</num><heading>Contrôle de sécurité relatif aux personnes</heading><section eId="chap_3/sec_1"><num>Section 1</num><heading>Dispositions générales</heading><article eId="art_27"><num><b>Art. 27</b></num><heading>But et objet du contrôle</heading><paragraph eId="art_27/para_1"><num>1</num><content><p> Le contrôle de sécurité relatif aux personnes vise à déterminer si l’exercice d’une activité sensible par une personne dans le cadre de sa fonction ou d’un mandat <span>présente </span>un risque pour la sécurité de l’information.</p></content></paragraph><paragraph eId="art_27/para_2"><num>2</num><content><p> À cette fin, les services compétents collectent <span>les</span> données pertinentes pour la sécurité touchant au mode de vie de la personne concernée, notamment à ses relations personnelles étroites <span>et f</span>amiliales, à sa situation financière et à ses rapports avec l’étranger.</p></content></paragraph><paragraph eId="art_27/para_3"><num>3</num><content><p> Les données sur l’exercice des droits constitutionnels ne peuvent être traitées que s’il existe un soupçon concret que la personne soumise au contrôle exerce ces droits pour préparer ou accomplir des actes susceptibles de nuire considérablement aux intérêts définis à l’art. 1, al. 2.</p></content></paragraph></article><article eId="art_28"><num><b>Art. 28</b></num><heading>Liste des fonctions</heading><paragraph eId="art_28/para_1"><num>1</num><content><p> Les autorités soumises à la présente loi édictent, chacune dans son domaine de compétence, une liste des fonctions qui impliquent l’exercice d’une activité sensible.</p></content></paragraph><paragraph eId="art_28/para_2"><num>2</num><content><p> Elles contrôlent périodiquement l’exactitude de la liste et y apportent les corrections nécessaires.</p></content></paragraph></article><article eId="art_29"><num><b>Art. 29</b></num><heading>Personnes soumises au contrôle</heading><paragraph eId="art_29/para_1"><num>1</num><content><blockList><listIntroduction eId="art_29/para_1/listintro"> Sont soumis à un contrôle de sécurité:</listIntroduction><item eId="art_29/para_1/lbl_a"><num>a. </num><p>les employés de la Confédération, les collaborateurs externes et les militaires qui exercent une fonction figurant sur l’une des listes visées à l’art. 28;</p></item><item eId="art_29/para_1/lbl_b"><num>b. </num><p>les employés cantonaux qui exercent une activité sensible;</p></item><item eId="art_29/para_1/lbl_c"><num>c. </num><p>les tiers qui exécutent pour une autorité ou une organisation soumise à la présente loi un mandat qui implique l’exercice d’une activité sensible;</p></item><item eId="art_29/para_1/lbl_d"><num>d. </num><p>les personnes soumises à un contrôle de sécurité en vertu d’un traité international au sens de l’art. 87.</p></item></blockList></content></paragraph><paragraph eId="art_29/para_2"><num>2</num><content><p> Toute personne appelée à exercer une activité sensible pour le compte d’une autorité étrangère ou d’une organisation internationale est soumise à un contrôle de sécurité pour autant que la Suisse ait conclu un traité international au sens de l’art. 87 avec l’État ou l’organisation internationale en question.</p></content></paragraph><paragraph eId="art_29/para_3"><num>3</num><content><p> Les personnes qui exercent une fonction qui ne figure pas encore sur l’une des listes visées à l’art. 28 peuvent exceptionnellement, sur approbation de l’autorité concernée, être soumises à un contrôle de sécurité. La liste des fonctions doit être complétée dès que possible.</p></content></paragraph><paragraph eId="art_29/para_4"><num>4</num><content><blockList><listIntroduction eId="art_29/para_4/listintro"> Les candidats aux fonctions suivantes ne sont pas soumis à un contrôle de sécurité:</listIntroduction><item eId="art_29/para_4/lbl_a"><num>a. </num><p>membre de l’Assemblée fédérale;</p></item><item eId="art_29/para_4/lbl_b"><num>b. </num><p>membre du Conseil fédéral et chancelier de la Confédération;</p></item><item eId="art_29/para_4/lbl_c"><num>c. </num><p>juge auprès d’un tribunal de la Confédération;</p></item><item eId="art_29/para_4/lbl_d"><num>d. </num><p>procureur général de la Confédération;</p></item><item eId="art_29/para_4/lbl_e"><num>e. </num><p>membre de l’Autorité de surveillance du Ministère public de la Confédération;</p></item><item eId="art_29/para_4/lbl_ebis"><num>e<sup>bis</sup>.<authorialNote><p> Introduite par le ch. I de la LF du 17 juin 2022 (Chef du Préposé fédéral à la protection des données et à la transparence), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/734" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 734</ref>;  <ref href="https://fedlex.data.admin.ch/eli/fga/2022/345" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2022</b> 345</ref>, <ref href="https://fedlex.data.admin.ch/eli/fga/2022/432" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">432</ref>).</p></authorialNote> </num><p>chef du Préposé fédéral à la protection des données et à la transparence;</p></item><item eId="art_29/para_4/lbl_f"><num>f. </num><p>général;</p></item><item eId="art_29/para_4/lbl_g"><num>g. </num><p>magistrat cantonal élu par le peuple ou par le parlement du canton concerné. </p></item></blockList></content></paragraph></article><article eId="art_30"><num><b>Art. 30</b></num><heading>Degrés de contrôle</heading><paragraph eId="art_30/para"><content><blockList><listIntroduction eId="art_30/para/listintro">Les autorités soumises à la présente loi attribuent les degrés de contrôle suivants aux activités sensibles définies ci-après:</listIntroduction><item eId="art_30/para/lbl_a"><num>a. </num><p>contrôle de sécurité de base: activités sensibles dont l’exercice inadéquat ou contraire aux prescriptions est susceptible de nuire considérablement aux intérêts définis à l’art. 1, al. 2;</p></item><item eId="art_30/para/lbl_b"><num>b. </num><p>contrôle de sécurité élargi: activités sensibles dont l’exercice inadéquat ou contraire aux prescriptions est susceptible de nuire gravement aux intérêts définis à l’art. 1, al. 2.</p></item></blockList></content></paragraph></article></section><section eId="chap_3/sec_2"><num>Section 2</num><heading>Procédure</heading><article eId="art_31"><num><b>Art. 31</b></num><heading>Services compétents</heading><paragraph eId="art_31/para_1"><num>1</num><content><blockList><listIntroduction eId="art_31/para_1/listintro"> Les autorités soumises à la présente loi et les cantons désignent les services qui ont les compétences suivantes:</listIntroduction><item eId="art_31/para_1/lbl_a"><num>a. </num><p>ouvrir la procédure du contrôle de sécurité (services qui demandent le contrôle);</p></item><item eId="art_31/para_1/lbl_b"><num>b. </num><p>décider de confier l’activité sensible (instances décisionnelles).</p></item></blockList></content></paragraph><paragraph eId="art_31/para_2"><num>2</num><content><p> Le Conseil <span>fédéral désigne un ou plusieurs services spécialisés chargés de réaliser les contrôles de sécurité relatifs aux personnes (services spécialisés CSP). Ces services réalisent l’évaluation sans</span> aucune instruction.</p></content></paragraph></article><article eId="art_32"><num><b>Art. 32</b></num><heading>Consentement et collaboration</heading><paragraph eId="art_32/para_1"><num>1</num><content><p> Aucun contrôle de sécurité ne peut être réalisé sans le consentement de la personne soumise au contrôle.</p></content></paragraph><paragraph eId="art_32/para_2"><num>2</num><content><p> Les conscrits, les militaires et les membres de la protection civile peuvent être soumis à un contrôle de sécurité sans leur consentement.</p></content></paragraph><paragraph eId="art_32/para_3"><num>3</num><content><p> La personne soumise au contrôle est tenue de collaborer à l’établissement des faits.</p></content></paragraph></article><article eId="art_33"><num><b>Art. 33</b></num><heading>Moment du contrôle</heading><paragraph eId="art_33/para_1"><num>1</num><content><p> Pour les personnes visées à l’art. 29, al. 1, let. a et b, la procédure de contrôle de sécurité doit être ouverte avant l’attribution de la fonction.</p></content></paragraph><paragraph eId="art_33/para_2"><num>2</num><content><p> Pour les personnes visées à l’art. 29, al. 1, let. a, qui doivent être nommées par le Conseil fédéral, le contrôle de sécurité doit être achevé avant le dépôt de la proposition de nomination.</p></content></paragraph><paragraph eId="art_33/para_3"><num>3</num><content><p> Pour les personnes visées à l’art. 29, al. 1, let. c, le contrôle de sécurité doit être achevé avant que l’activité sensible ne leur soit confiée.</p></content></paragraph><paragraph eId="art_33/para_4"><num>4</num><content><p> Pour les personnes visées à l’art. 29, al. 1, let. d, le contrôle de sécurité a lieu au moment prévu par le traité applicable.</p></content></paragraph></article><article eId="art_34"><num><b>Art. 34</b></num><heading>Collecte des données</heading><paragraph eId="art_34/para_1"><num>1</num><content><blockList><listIntroduction eId="art_34/para_1/listintro"> Les services spécialisés CSP peuvent collecter les données suivantes relatives à une personne pour réaliser un contrôle de sécurité de base:</listIntroduction><item eId="art_34/para_1/lbl_a"><num>a. </num><p>données du casier judiciaire;</p></item><item eId="art_34/para_1/lbl_b"><num>b. </num><p>données sur des procédures pénales en cours, classées ou suspendues, en demandant des renseignements ou des dossiers auprès des autorités pénales;</p></item><item eId="art_34/para_1/lbl_c"><num>c. </num><p>données nécessaires à l’évaluation du risque, auprès des organes de sécurité de la Confédération, du Service de renseignement de la Confédération (SRC), des organes de l’armée et d’autres organes de la Confédération;</p></item><item eId="art_34/para_1/lbl_d"><num>d. </num><p>données des registres et dossiers des organes de sécurité des cantons et des organes de police;</p></item><item eId="art_34/para_1/lbl_e"><num>e. </num><p>données des registres des offices des poursuites et des faillites;</p></item><item eId="art_34/para_1/lbl_f"><num>f. </num><p>données des dossiers établis lors de contrôles de sécurité antérieurs;</p></item><item eId="art_34/para_1/lbl_g"><num>g. </num><p>données de sources d’information publiques. </p></item></blockList></content></paragraph><paragraph eId="art_34/para_2"><num>2</num><content><blockList><listIntroduction eId="art_34/para_2/listintro"> Ils peuvent au surplus collecter les données suivantes relatives à une personne pour réaliser un contrôle de sécurité élargi:</listIntroduction><item eId="art_34/para_2/lbl_a"><num>a. </num><p>données détenues par les autorités fiscales fédérales et cantonales;</p></item><item eId="art_34/para_2/lbl_b"><num>b. </num><p>données du registre du contrôle des habitants;</p></item><item eId="art_34/para_2/lbl_c"><num>c. </num><p>données détenues par les établissements financiers et banques entretenant des relations d’affaires avec la personne concernée;</p></item><item eId="art_34/para_2/lbl_d"><num>d. </num><p>données fournies par la personne concernée au cours d’une audition.</p></item></blockList></content></paragraph><paragraph eId="art_34/para_3"><num>3</num><content><p> Lorsque des indices concrets fondés sur les données collectées donnent à penser qu’il existe un risque pour la sécurité ou lorsque les données collectées sont insuffisantes ou ne s’étendent pas sur une période suffisante pour réaliser le contrôle, les services spécialisés CSP peuvent auditionner la personne concernée. Ils peuvent également interroger des tiers moyennant le consentement de la personne soumise au contrôle de sécurité; ils indiquent aux tiers concernés qu’ils sont libres de donner des renseignements ou non.</p></content></paragraph><paragraph eId="art_34/para_4"><num>4</num><content><p> Les données relatives à des tiers qui sont indissociables des données relatives à la personne soumise au contrôle de sécurité peuvent être traitées si elles sont indispensables pour réaliser le contrôle. Les services spécialisés CSP informent les tiers concernés du traitement de leurs données.</p></content></paragraph></article><article eId="art_35"><num><b>Art. 35</b></num><heading>Assistance administrative</heading><paragraph eId="art_35/para_1"><num>1</num><content><p> L’autorité ou l’organisation concernée au sens de l’art. 34 collecte les données détenues par une autorité étrangère ou une organisation internationale.</p></content></paragraph><paragraph eId="art_35/para_2"><num>2</num><content><p> Lorsque les données collectées fournissent des indices concrets de crime organisé ou de criminalité internationale, le service spécialisé CSP consulte les <span>offices</span> centraux de police criminelle de la Confédération. Les offices centraux ne communiquent au service spécialisé CSP que les données personnelles pertinentes pour la sécurité.</p></content></paragraph></article><article eId="art_36"><num><b>Art. 36</b></num><heading>Prise en charge des coûts</heading><paragraph eId="art_36/para_1"><num>1</num><content><p> Les autorités et organisations de droit public auprès desquelles les services spécialisés CSP peuvent collecter des données ou qui sont tenues de participer à la procédure prêtent leur concours gratuitement.</p></content></paragraph><paragraph eId="art_36/para_2"><num>2</num><content><p> Les tiers auxquels la procédure occasionne une charge considérable sont indemnisés.</p></content></paragraph><paragraph eId="art_36/para_3"><num>3</num><content><p> La Confédération supporte les coûts du contrôle pour les employés <span>cantonaux</span> visés à l’art. 29, al. 1, let. b.</p></content></paragraph></article><article eId="art_37"><num><b>Art. 37</b></num><heading>Classement de la procédure</heading><paragraph eId="art_37/para_1"><num>1</num><content><p> Les services spécialisés CSP classent la procédure lorsque la personne concernée revient sur son consentement ou qu’elle n’entre plus en considération pour exercer la fonction prévue ou pour exécuter le mandat.</p></content></paragraph><paragraph eId="art_37/para_2"><num>2</num><content><p> Ils <span>communiquent</span> le classement de la procédure à la personne concernée et au service qui a demandé son ouverture. La personne concernée est réputée ne pas avoir été contrôlée.</p></content></paragraph></article></section><section eId="chap_3/sec_3"><num>Section 3</num><heading>Évaluation du risque pour la sécurité</heading><article eId="art_38"><num><b>Art. 38</b></num><heading>Risque pour la sécurité</heading><paragraph eId="art_38/para_1"><num>1</num><content><p> Il existe un risque pour la sécurité lorsque des indices concrets fondés sur les données collectées laissent supposer avec une probabilité élevée que la personne contrôlée exécutera l’activité sensible de manière inadéquate ou contraire aux prescriptions.</p></content></paragraph><paragraph eId="art_38/para_2"><num>2</num><content><blockList><listIntroduction eId="art_38/para_2/listintro"> La probabilité d’un exercice inadéquat ou contraire aux prescriptions d’une activité sensible peut notamment être jugée élevée lorsque des indices <span>concrets </span>donnent à penser que la personne présente l’une des caractéristiques suivantes:</listIntroduction><item eId="art_38/para_2/lbl_a"><num>a. </num><p>elle manque d’intégrité ou de loyauté;</p></item><item eId="art_38/para_2/lbl_b"><num>b. </num><p>elle est susceptible de céder au chantage ou à la corruption;</p></item><item eId="art_38/para_2/lbl_c"><num>c. </num><p>elle ne dispose pas d’une pleine capacité de jugement ou de décision.</p></item></blockList></content></paragraph><paragraph eId="art_38/para_3"><num>3</num><content><p> L’évaluation doit se fonder sur des faits concernant la situation personnelle de la personne soumise au contrôle, indépendamment de toute faute commise.</p></content></paragraph></article><article eId="art_39"><num><b>Art. 39</b></num><heading>Résultat de l’évaluation</heading><paragraph eId="art_39/para_1"><num>1</num><content><blockList><listIntroduction eId="art_39/para_1/listintro"> Les services spécialisés CSP rendent l’une des déclarations suivantes, qui a la signification indiquée ci-après:</listIntroduction><item eId="art_39/para_1/lbl_a"><num>a. </num><p>déclaration de sécurité: il n’existe aucun risque pour la sécurité;</p></item><item eId="art_39/para_1/lbl_b"><num>b. </num><p>déclaration de sécurité sous réserve: il existe un risque pour la sécurité, mais celui-ci peut être ramené à un niveau acceptable en respectant certaines conditions; les services spécialisés CSP recommandent les conditions à fixer;</p></item><item eId="art_39/para_1/lbl_c"><num>c. </num><p>déclaration de risque: il existe un risque pour la sécurité;</p></item><item eId="art_39/para_1/lbl_d"><num>d. </num><p>constatation: les données sont insuffisantes ou ne s’étendent pas sur une période suffisante pour évaluer le risque pour la sécurité. </p></item></blockList></content></paragraph><paragraph eId="art_39/para_2"><num>2</num><content><p> Dans les cas visés à l’al. 1, let. b à d, ils donnent au préalable la possibilité à la personne soumise au contrôle de donner son avis.</p></content></paragraph></article><article eId="art_40"><num><b>Art. 40</b></num><heading>Communication</heading><paragraph eId="art_40/para_1"><num>1</num><content><p> Les services spécialisés CSP <span>communiquent</span> par écrit à la personne concernée et à l’instance décisionnelle la déclaration qu’ils ont rendue.</p></content></paragraph><paragraph eId="art_40/para_2"><num>2</num><content><p> Pour les nominations par le Conseil fédéral, les services spécialisés CSP communiquent leur déclaration au département qui propose la nomination.</p></content></paragraph><paragraph eId="art_40/para_3"><num>3</num><content><blockList><listIntroduction eId="art_40/para_3/listintro"> Ils peuvent communiquer la déclaration à une autre instance décisionnelle dans les cas suivants:</listIntroduction><item eId="art_40/para_3/lbl_a"><num>a. </num><p>la personne soumise au contrôle est appelée à exercer une autre activité sensible au sens de la présente loi qui requiert un contrôle de sécurité;</p></item><item eId="art_40/para_3/lbl_b"><num>b. </num><p>la personne est soumise à un contrôle de loyauté en vertu d’une autre loi fédérale;</p></item><item eId="art_40/para_3/lbl_c"><num>c. </num><p>la personne est soumise à une évaluation en vertu de l’art. 113 de la loi du 3 février 1995 sur l’armée<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/4093_4093_4093" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>510.10</b></ref></p></authorialNote>.</p></item></blockList></content></paragraph><paragraph eId="art_40/para_4"><num>4</num><content><p> Si les services spécialisés CSP disposent, avant la clôture de l’évaluation, d’indices concrets d’un risque pour la sécurité, ils peuvent communiquer leurs constatations intermédiaires par écrit aux autorités et instances visées aux al. 1 à 3 et à la personne contrôlée.</p></content></paragraph></article></section><section eId="chap_3/sec_4"><num>Section 4</num><heading>Conséquences de la déclaration</heading><article eId="art_41"><num><b>Art. 41</b></num><heading>Exercice de l’activité sensible</heading><paragraph eId="art_41/para_1"><num>1</num><content><p> Les déclarations des services spécialisés CSP ont valeur de recommandation.</p></content></paragraph><paragraph eId="art_41/para_2"><num>2</num><content><p> <inline name="man-color-211D1E">Le service visé à l’art. 31, al. 1, let. b</inline> décide, <inline name="man-color-211D1E">après avoir pris connaissance</inline> de la déclaration, si la personne contrôlée peut exercer l’activité sensible en question.</p></content></paragraph><paragraph eId="art_41/para_3"><num>3</num><content><p> Il peut fixer des conditions à l’exercice de l’activité.</p></content></paragraph><paragraph eId="art_41/para_4"><num>4</num><content><p> Il communique sa décision au service spécialisé CSP.</p></content></paragraph></article><article eId="art_42"><num><b>Art. 42</b></num><heading>Utilisation de la déclaration pour d’autres activités sensibles </heading><paragraph eId="art_42/para"><content><blockList><listIntroduction eId="art_42/para/listintro">Il n’est pas nécessaire de réaliser un nouveau contrôle de sécurité lorsque la personne concernée a déjà obtenu une déclaration pour un degré de contrôle au moins équivalent:</listIntroduction><item eId="art_42/para/lbl_a"><num>a. </num><p>en vue d’une autre activité sensible au sens de la présente loi;</p></item><item eId="art_42/para/lbl_b"><num>b. </num><p>dans le cadre d’un contrôle de loyauté en vertu d’une autre loi fédérale.</p></item></blockList></content></paragraph></article><article eId="art_43"><num><b>Art. 43</b></num><heading>Répétition du contrôle</heading><paragraph eId="art_43/para_1"><num>1</num><content><blockList><listIntroduction eId="art_43/para_1/listintro"> Le contrôle de sécurité relatif aux personnes est répété comme suit:</listIntroduction><item eId="art_43/para_1/lbl_a"><num>a. </num><p>contrôle de sécurité de base: au plus tôt après cinq ans, au plus tard après dix ans;</p></item><item eId="art_43/para_1/lbl_b"><num>b. </num><p>contrôle de sécurité élargi: au plus tôt après trois ans, au plus tard après cinq ans.</p></item></blockList></content></paragraph><paragraph eId="art_43/para_2"><num>2</num><content><p> Le Conseil fédéral peut prévoir qu’il n’est pas nécessaire de répéter le contrôle de sécurité de base pour les personnes exerçant certaines fonctions au sein de l’armée ou de la protection civile.</p></content></paragraph><paragraph eId="art_43/para_3"><num>3</num><content><p> Lorsque le service qui demande le contrôle ou l’instance décisionnelle ont des raisons de penser que de nouveaux risques sont apparus depuis le dernier contrôle, ils peuvent demander la répétition du contrôle de sécurité au service spécialisé CSP; ils motivent leur demande par écrit.</p></content></paragraph></article><article eId="art_44"><num><b>Art. 44</b></num><heading>Voies de droit</heading><paragraph eId="art_44/para_1"><num>1</num><content><blockList><listIntroduction eId="art_44/para_1/listintro"> La personne contrôlée dispose d’un délai de 30 jours à compter de la réception d’une déclaration au sens de l’art. 39, al. 1<span>, pour</span>:</listIntroduction><item eId="art_44/para_1/lbl_a"><num>a. </num><p>consulter le dossier du contrôle;</p></item><item eId="art_44/para_1/lbl_b"><num>b. </num><p>demander la rectification des données erronées ou la destruction des données obsolètes;</p></item><item eId="art_44/para_1/lbl_c"><num>c. </num><p>demander que l’on ajoute à une donnée la mention de son caractère litigieux.</p></item></blockList></content></paragraph><paragraph eId="art_44/para_2"><num>2</num><content><p> Les restrictions à la communication de renseignements sont régies par l’art. 26 LPD<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote>.<authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_44/para_3"><num>3</num><content><p> La déclaration constitue un acte matériel au sens de l’art. 25<i>a</i> de la loi fédérale du 20 décembre 1968 sur la procédure administrative<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1969/737_757_755" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.021</b></ref></p></authorialNote>. La personne contrôlée peut recourir contre une déclaration au sens de l’art. 39, al. 1, let. b à d, auprès du Tribunal administratif fédéral dans un délai de 30 jours à compter de sa réception. </p></content></paragraph><paragraph eId="art_44/para_4"><num>4</num><content><p> Si l’instance décisionnelle est le Tribunal fédéral ou le Tribunal administratif fédéral, l’art. 36, al. 2 et 4, de la loi du 24 mars 2000 sur le personnel de la Confédération<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2001/123" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.220.1</b></ref></p></authorialNote> s’applique par analogie.</p></content></paragraph><paragraph eId="art_44/para_5"><num>5</num><content><p> La procédure de recours est régie au surplus par les dispositions générales de la procédure fédérale.</p></content></paragraph></article></section><section eId="chap_3/sec_5"><num>Section 5</num><heading>Traitement des données personnelles</heading><article eId="art_45"><num><b>Art. 45</b></num><heading>Système d’information sur le contrôle de sécurité relatif aux personnes</heading><paragraph eId="art_45/para_1"><num>1</num><content><blockList><listIntroduction eId="art_45/para_1/listintro"> Les services spécialisés CSP exploitent un système d’information. Celui-ci sert à l’exécution:</listIntroduction><item eId="art_45/para_1/lbl_a"><num>a. </num><p>des contrôles de sécurité relatifs aux personnes;</p></item><item eId="art_45/para_1/lbl_b"><num>b. </num><p>des évaluations du potentiel d’abus ou de dangerosité en ce qui concerne l’arme personnelle;</p></item><item eId="art_45/para_1/lbl_c"><num>c. </num><p>des contrôles de fiabilité;</p></item><item eId="art_45/para_1/lbl_d"><num>d. </num><p>des contrôles de loyauté.<authorialNote><p> Nouvelle teneur selon le ch. II 2 de la LF du 17 juin 2022, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2021</b> 3046</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_45/para_2"><num>2</num><content><p> Chaque service spécialisé CSP est responsable de la licéité du traitement des données personnelles qu’il effectue dans le système d’information.</p></content></paragraph><paragraph eId="art_45/para_3"><num>3</num><content><p> Les données sensibles au sens de l’art. 5, let. c, LPD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> peuvent être traités dans le système d’information dans la mesure où elles sont nécessaires à l’évaluation du risque pour la sécurité.<authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. 5, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>; FF <b>2017</b> 2465).</p></authorialNote></p></content></paragraph><paragraph eId="art_45/para_3_bis"><num>3bis</num><content><blockList><listIntroduction eId="art_45/para_3_bis/listintro"> Un profilage au sens de la LPD, y compris un profilage à risque élevé, peut être effectué à l’aide des données contenues dans le système d’information pour analyser, évaluer, apprécier ou prédire les aspects personnels ci-après relatifs à une personne physique dans les buts visés à l’al. 1:</listIntroduction><item eId="art_45/para_3_bis/lbl_a"><num>a. </num><p>risque pour la sécurité;</p></item><item eId="art_45/para_3_bis/lbl_b"><num>b. </num><p>potentiel d’abus et de dangerosité en ce qui concerne l’arme personnelle.<authorialNote><p> Introduit par le ch. II 2 de la LF du 17 juin 2022, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2021</b> 3046</ref>).</p></authorialNote></p></item></blockList></content></paragraph><paragraph eId="art_45/para_4"><num>4</num><content><blockList><listIntroduction eId="art_45/para_4/listintro"> Le système d’information contient les données suivantes:</listIntroduction><item eId="art_45/para_4/lbl_a"><num>a. </num><p>les données d’identité des personnes à contrôler ou des personnes qui ont été contrôlées, y compris le numéro AVS et le numéro de passeport;</p></item><item eId="art_45/para_4/lbl_b"><num>b. </num><p>les données visées aux art. 34 et 35;</p></item><item eId="art_45/para_4/lbl_c"><num>c. </num><p>les données relatives à l’évaluation du risque pour la sécurité;</p></item><item eId="art_45/para_4/lbl_d"><num>d. </num><p>le résultat de l’évaluation visé à l’art. 39, al. 1;</p></item><item eId="art_45/para_4/lbl_e"><num>e. </num><p>la décision de l’instance décisionnelle;</p></item><item eId="art_45/para_4/lbl_f"><num>f. </num><p>les données et les dossiers relatifs aux procédures de recours;</p></item><item eId="art_45/para_4/lbl_g"><num>g. </num><p>des listes et statistiques contenant les données visées aux let. a à f.</p></item></blockList></content></paragraph><paragraph eId="art_45/para_5"><num>5</num><content><p> Le traitement des données visées à l’al. 4 en dehors du système d’information doit être mentionné dans le système.</p></content></paragraph><paragraph eId="art_45/para_6"><num>6</num><content><blockList><listIntroduction eId="art_45/para_6/listintro"> Les données visées à l’al. 4 peuvent être collectées automatiquement et systématiquement en ligne dans les systèmes d’information suivants:</listIntroduction><item eId="art_45/para_6/lbl_a"><num>a.<authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. 4, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>; FF <b>2017</b> 2465).</p></authorialNote> </num><p>casier judiciaire informatique au sens de la loi du 17 juin 2016 sur le casier judiciaire<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/600" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>330</b></ref></p></authorialNote>;</p></item><item eId="art_45/para_6/lbl_b"><num>b. </num><p>index national de police au sens de l’art. 17 de la loi fédérale du 13 juin 2008 sur les systèmes d’information de police de la Confédération<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2008/698" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>361</b></ref></p></authorialNote>;</p></item><item eId="art_45/para_6/lbl_c"><num>c. </num><p>système d’indexation des données du SRC au sens de l’art. 51 de la loi fédérale du 25 septembre 2015 sur le renseignement<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>121</b></ref></p></authorialNote>;</p></item><item eId="art_45/para_6/lbl_d"><num>d.<authorialNote><p> Introduite par le ch. II 2 de la LF du 17 juin 2022, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/117" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 117</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">650</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2021/3046" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2021</b> 3046</ref>).</p></authorialNote> </num><p>banques de données de l’Office central des armes visées à l’art. 32<i>a</i>, al. 1, de la loi du 20 juin 1997 sur les armes<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1998/2535_2535_2535" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>514.54</b></ref></p></authorialNote>.</p></item></blockList></content></paragraph></article><article eId="art_46"><num><b>Art. 46</b></num><heading>Consultation et communication des données</heading><paragraph eId="art_46/para_1"><num>1</num><content><blockList><listIntroduction eId="art_46/para_1/listintro"> Les organes suivants peuvent consulter en ligne les données ci-après contenues dans le système d’information:</listIntroduction><item eId="art_46/para_1/lbl_a"><num>a. </num><p>les services qui demandent le contrôle: les données visées à l’art. 45, al. 4, let. b, qu’ils ont saisies eux-mêmes lors de l’ouverture de la procédure de contrôle, ainsi que les données visées à l’art. 45, al. 4, let. a, d et e;</p></item><item eId="art_46/para_1/lbl_b"><num>b. </num><p>les instances décisionnelles: les données visées à l’art. 45, al. 4, let. a, d et e;</p></item><item eId="art_46/para_1/lbl_c"><num>c. </num><p>les préposés à la sécurité de l’information au sens de l’art. 81, pour l’exécution de leurs tâches de contrôle: les données visées à l’art. 45, al. 4, let. a, d et e;</p></item><item eId="art_46/para_1/lbl_d"><num>d. </num><p>les services de la Confédération et des cantons auprès desquels les données visées à l’art. 37 sont collectées: les données visées à l’art. 45, al. 4, let. a.</p></item></blockList></content></paragraph><paragraph eId="art_46/para_2"><num>2</num><content><blockList><listIntroduction eId="art_46/para_2/listintro"> Les organes suivants peuvent consulter les données ci-après contenues dans le système d’information:</listIntroduction><item eId="art_46/para_2/lbl_a"><num>a. </num><p>le service spécialisé chargé de mener la procédure de sécurité relative aux entreprises (service spécialisé PSE) au sens de l’art. 51, al. 2, par une interface liée au système d’information visé à l’art. 70, pour mener la procédure de sécurité relative aux entreprises au sens des art. 49 à 73: les données visées à l’art. 45, al. 4, let. a, d et e;</p></item><item eId="art_46/para_2/lbl_b"><num>b. </num><blockList><listIntroduction eId="art_46/para_2/lbl_b/listintro">le Groupement Défense:</listIntroduction><item eId="art_46/para_2/lbl_b/lbl_1"><num>1. </num><p>par une interface liée au système d’information visé à l’art. 12 de la loi fédérale du 3 octobre 2008 sur les systèmes d’information de l’armée (LSIA)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2009/823" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>510.91</b></ref></p></authorialNote>, dans les buts définis à l’art. 13 LSIA: les données visées à l’art. 45, al. 4, let. a, d et e,</p></item><item eId="art_46/para_2/lbl_b/lbl_2"><num>2. </num><p>par une interface liée au système d’information visé à l’art. 18 LSIA, dans les buts définis à l’art. 19 LSIA: les données visées à l’art. 45, al. 4, let. a et e;</p></item><item eId="art_46/para_2/lbl_b/lbl_3"><num>3. </num><p>par une interface liée au système d’information visé à l’art. 156 LSIA, dans le but visé à l’art. 157 LSIA: les données visées à l’art. 45, al. 4, let. a et e,</p></item><item eId="art_46/para_2/lbl_b/lbl_4"><num>4. </num><p>par une interface liée au système d’information visé à l’art. 162 LSIA, dans le but visé à l’art. 163 LSIA: les données visées à l’art. 45, al. 4, let. a et e;</p></item></blockList></item><item eId="art_46/para_2/lbl_c"><num>c. </num><p>le service compétent pour délivrer des certificats internationaux de sécurité au sens de l’art. 48, let. c, par une interface: les données visées à l’art. 45, al. 4, let. a, d et e.</p></item></blockList></content></paragraph><paragraph eId="art_46/para_3"><num>3</num><content><p> Les services spécialisés CSP peuvent au surplus communiquer électroniquement les données visées à l’art. 45, al. 4, let. a et e, à d’autres services de la Confédération dans la mesure où ces données sont nécessaires pour contrôler l’accès aux zones de sécurité.</p></content></paragraph><paragraph eId="art_46/para_4"><num>4</num><content><p> Ils peuvent communiquer aux autorités et organisations soumises à la présente loi les listes et statistiques visées à l’art. 45, al. 1, let. g, dans la mesure où elles en ont besoin pour exécuter les tâches de contrôle prévues par la présente loi.</p></content></paragraph></article><article eId="art_47"><num><b>Art. 47</b></num><heading>Conservation, archivage et destruction des données</heading><paragraph eId="art_47/para_1"><num>1</num><content><p> Les services spécialisés CSP peuvent enregistrer les auditions visées à l’art. 34, al. 2, let. d, et 3, et conserver les enregistrements sur des supports.</p></content></paragraph><paragraph eId="art_47/para_2"><num>2</num><content><p> Ils conservent les données aussi longtemps que la personne concernée exerce l’activité sensible, mais dix ans au plus.</p></content></paragraph><paragraph eId="art_47/para_3"><num>3</num><content><p> L’archivage des données est régi par les dispositions de la législation relative à l’archivage.</p></content></paragraph><paragraph eId="art_47/para_4"><num>4</num><content><p> Lorsque la procédure est classée ou que les services spécialisés CSP apprennent qu’une personne contrôlée n’occupe pas la fonction prévue ou a refusé d’exécuter le mandat prévu, ces services détruisent l’ensemble des données et dossiers relatifs à la procédure dans les trois mois.</p></content></paragraph></article></section><section eId="chap_3/sec_6"><num>Section 6</num><heading>Dispositions édictées par le Conseil fédéral</heading><article eId="art_48"><num><b>Art. 48</b></num><paragraph eId="art_48/para"><content><blockList><listIntroduction eId="art_48/para/listintro">Le Conseil fédéral règle:</listIntroduction><item eId="art_48/para/lbl_a"><num>a. </num><p>les modalités de la procédure du contrôle de sécurité relatif aux personnes;</p></item><item eId="art_48/para/lbl_b"><num>b. </num><p>l’organisation des services spécialisés CSP;</p></item><item eId="art_48/para/lbl_c"><num>c. </num><p>les modalités de délivrance des certificats internationaux de sécurité;</p></item><item eId="art_48/para/lbl_d"><num>d. </num><p>les responsabilités en matière de protection des données traitées dans le système d’information visé à l’art. 45 et la sécurité des données;</p></item><item eId="art_48/para/lbl_e"><num>e. </num><p>les modalités du contrôle périodique réalisé par un organe externe du traitement des données personnelles.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_4"><num>Chapitre 4</num><heading>Procédure de sécurité relative aux entreprises</heading><section eId="chap_4/sec_1"><num>Section 1</num><heading>Dispositions générales</heading><article eId="art_49"><num><b>Art. 49</b></num><heading>But de la procédure</heading><paragraph eId="art_49/para"><content><p>La procédure de sécurité relative aux entreprises vise à préserver la sécurité de l’information lors de l’exécution de mandats publics par des entreprises, des parties d’entre elles ou des sous-contractants (entreprises), dans la mesure où ces mandats impliquent l’exercice d’une activité sensible (mandats sensibles).</p></content></paragraph></article><article eId="art_50"><num><b>Art. 50</b></num><heading>Entreprises concernées</heading><paragraph eId="art_50/para_1"><num>1</num><content><blockList><listIntroduction eId="art_50/para_1/listintro"> Les entreprises suivantes peuvent être soumises à la procédure de sécurité:</listIntroduction><item eId="art_50/para_1/lbl_a"><num>a. </num><p>entreprises appelées à exécuter un mandat sensible pour le compte d’une autorité ou d’une organisation soumise à la présente loi;</p></item><item eId="art_50/para_1/lbl_b"><num>b. </num><p>entreprises dont le siège est en Suisse et qui soumissionnent pour des mandats dont l’exécution requiert un certificat international de sécurité au sens de l’art. 66.</p></item></blockList></content></paragraph><paragraph eId="art_50/para_2"><num>2</num><content><p> La procédure ne peut être menée sans le consentement de l’entreprise concernée.</p></content></paragraph><paragraph eId="art_50/para_3"><num>3</num><content><p> Les entreprises visées à l’al. 1, let. b, supportent les coûts de la procédure.</p></content></paragraph></article><article eId="art_51"><num><b>Art. 51</b></num><heading>Classement de la procédure</heading><paragraph eId="art_51/para_1"><num>1</num><content><blockList><listIntroduction eId="art_51/para_1/listintro"> La procédure de sécurité est classée dans les cas suivants:</listIntroduction><item eId="art_51/para_1/lbl_a"><num>a. </num><p>l’entreprise concernée revient sur son consentement ou ne collabore pas à la procédure;</p></item><item eId="art_51/para_1/lbl_b"><num>b. </num><p>l’entreprise concernée retire son offre;</p></item><item eId="art_51/para_1/lbl_c"><num>c. </num><p>l’entreprise concernée n’entre plus en considération pour l’exécution du mandat.</p></item></blockList></content></paragraph><paragraph eId="art_51/para_2"><num>2</num><content><p> Le service spécialisé chargé de mener la procédure de sécurité relative aux entreprises (service spécialisé PSE) communique le classement de la procédure à l’entreprise et à l’autorité ou l’organisation qui attribue le mandat (adjudicateur).</p></content></paragraph></article></section><section eId="chap_4/sec_2"><num>Section 2</num><heading>Ouverture de la procédure</heading><article eId="art_52"><num><b>Art. 52</b></num><heading>Demande d’ouverture de la procédure</heading><paragraph eId="art_52/para_1"><num>1</num><content><p> Lorsque les autorités et organisations soumises à la présente loi envisagent d’attribuer un mandat sensible, elles adressent au service spécialisé PSE une demande d’ouverture de la procédure.</p></content></paragraph><paragraph eId="art_52/para_2"><num>2</num><content><p> Les autorités soumises à la présente loi désignent les services compétents pour demander l’ouverture de la procédure.</p></content></paragraph><paragraph eId="art_52/para_3"><num>3</num><content><p> Les autorités étrangères ou organisations internationales doivent déposer elles-mêmes une demande pour les entreprises visées à l’art. 50, al. 1, let. b.</p></content></paragraph></article><article eId="art_53"><num><b>Art. 53</b></num><heading>Examen de la demande</heading><paragraph eId="art_53/para_1"><num>1</num><content><p> Le service spécialisé PSE examine la demande et ouvre la procédure.</p></content></paragraph><paragraph eId="art_53/para_2"><num>2</num><content><p> Il peut renoncer, en accord avec l’adjudicateur, à ouvrir une procédure lorsque d’autres mesures permettent de ramener le risque pour la sécurité à un niveau acceptable. Il recommande les mesures à prendre.</p></content></paragraph></article><article eId="art_54"><num><b>Art. 54</b></num><heading>Définition des exigences en matière de sécurité</heading><paragraph eId="art_54/para"><content><p>Le service spécialisé PSE fixe, en accord avec l’adjudicateur, les exigences en matière de sécurité de l’information pour la procédure d’adjudication et la phase d’exécution du mandat.</p></content></paragraph></article></section><section eId="chap_4/sec_3"><num>Section 3</num><heading>Évaluation des entreprises</heading><article eId="art_55"><num><b>Art. 55</b></num><heading>Qualification</heading><paragraph eId="art_55/para_1"><num>1</num><content><p> L’adjudicateur indique au service spécialisé PSE quelles entreprises entrent en considération pour l’exécution du mandat sensible.</p></content></paragraph><paragraph eId="art_55/para_2"><num>2</num><content><p> Le service spécialisé PSE évalue si les entreprises concernées présentent les qualifications requises sous l’angle de la sécurité pour exécuter le mandat sensible ou s’il existe un risque pour la sécurité.</p></content></paragraph><paragraph eId="art_55/para_3"><num>3</num><content><p> Il réalise l’évaluation sans aucune instruction.</p></content></paragraph></article><article eId="art_56"><num><b>Art. 56</b></num><heading>Collecte des données</heading><paragraph eId="art_56/para_1"><num>1</num><content><blockList><listIntroduction eId="art_56/para_1/listintro"> Pour évaluer la qualification d’une entreprise, le service spécialisé PSE peut collecter des données auprès des sources suivantes:</listIntroduction><item eId="art_56/para_1/lbl_a"><num>a. </num><p>l’entreprise concernée;</p></item><item eId="art_56/para_1/lbl_b"><num>b. </num><p>le SRC;</p></item><item eId="art_56/para_1/lbl_c"><num>c. </num><p>toute source d’information publique. </p></item></blockList></content></paragraph><paragraph eId="art_56/para_2"><num>2</num><content><p> Il peut demander à des services étrangers ou internationaux de lui transmettre des données. La demande est adressée par l’intermédiaire du SRC.</p></content></paragraph></article><article eId="art_57"><num><b>Art. 57</b></num><heading>Évaluation du risque pour la sécurité</heading><paragraph eId="art_57/para_1"><num>1</num><content><p> Il existe un risque pour la sécurité lorsque des indices concrets fondés sur les données collectées laissent supposer avec une probabilité élevée que l’entreprise exécutera le mandat sensible de manière inadéquate ou contraire aux prescriptions.</p></content></paragraph><paragraph eId="art_57/para_2"><num>2</num><content><blockList><listIntroduction eId="art_57/para_2/listintro"> La probabilité d’une exécution inadéquate ou contraire aux prescriptions du mandat sensible peut être jugée élevée dans les cas suivants notamment:</listIntroduction><item eId="art_57/para_2/lbl_a"><num>a. </num><p>l’entreprise manque d’intégrité ou de loyauté;</p></item><item eId="art_57/para_2/lbl_b"><num>b. </num><p>l’entreprise est contrôlée par des États étrangers ou des organisations étrangères de droit public ou privé ou se trouve sous leur influence, lorsque ce contrôle ou cette influence sont incompatibles avec les intérêts définis à l’art. 1, al. 2;</p></item><item eId="art_57/para_2/lbl_c"><num>c. </num><p>un service spécialisé CSP a rendu une déclaration de risque pour un membre du personnel de l’entreprise et cette personne est indispensable pour l’exécution du mandat. </p></item></blockList></content></paragraph><paragraph eId="art_57/para_3"><num>3</num><content><p> L’évaluation doit se fonder sur des faits concernant la situation de l’entreprise, indépendamment de toute faute commise.</p></content></paragraph></article><article eId="art_58"><num><b>Art. 58</b></num><heading>Notification de l’évaluation et exclusion de la procédure d’adjudication</heading><paragraph eId="art_58/para_1"><num>1</num><content><p> Le service spécialisé PSE communique son évaluation à l’adjudicateur et la notifie formellement à l’entreprise.</p></content></paragraph><paragraph eId="art_58/para_2"><num>2</num><content><p> Si le service spécialisé PSE conclut que l’exécution du mandat sensible par l’entreprise concernée pose un risque pour la sécurité, l’adjudicateur exclut l’entreprise de la procédure d’adjudication.</p></content></paragraph><paragraph eId="art_58/para_3"><num>3</num><content><p> Si toutes les entreprises qui entrent en considération posent un risque pour la sécurité, l’adjudicateur peut néanmoins confier le mandat à l’une d’entre elles. Le service spécialisé PSE classe la procédure. L’adjudicateur applique par analogie les mesures visées aux art. 59, 60, 63 et 64.</p></content></paragraph></article></section><section eId="chap_4/sec_4"><num>Section 4</num><heading>Plan de sécurité</heading><article eId="art_59"><num><b>Art. 59</b></num><heading>Adjudication et plan de sécurité</heading><paragraph eId="art_59/para_1"><num>1</num><content><p> L’adjudicateur indique au service spécialisé PSE quelle est l’entreprise adjudicataire.</p></content></paragraph><paragraph eId="art_59/para_2"><num>2</num><content><p> L’entreprise établit un plan de sécurité en suivant les directives du service spécialisé PSE.</p></content></paragraph><paragraph eId="art_59/para_3"><num>3</num><content><p> Le plan de sécurité est soumis au contrôle du service spécialisé PSE. Ce dernier peut collecter les données nécessaires par écrit ou inspecter les locaux de l’entreprise.</p></content></paragraph></article><article eId="art_60"><num><b>Art. 60</b></num><heading>Contrôles de sécurité relatifs aux personnes</heading><paragraph eId="art_60/para_1"><num>1</num><content><p> Les collaborateurs de l’entreprise qui sont appelés à exercer une activité sensible sont soumis à un contrôle de sécurité.</p></content></paragraph><paragraph eId="art_60/para_2"><num>2</num><content><p> Le service spécialisé PSE est compétent pour la décision au sens de l’art. 41, al. 2. Si la procédure de sécurité relative aux entreprises est classée conformément à l’art. 58, al. 3, parce qu’aucune entreprise ne présente les qualifications requises pour exécuter le mandat, l’adjudicateur prend la décision.</p></content></paragraph></article></section><section eId="chap_4/sec_5"><num>Section 5</num><heading>Déclaration de sécurité relative aux entreprises</heading><article eId="art_61"><num><b>Art. 61</b></num><heading>Établissement de la déclaration de sécurité relative aux entreprises</heading><paragraph eId="art_61/para_1"><num>1</num><content><p> Le service spécialisé PSE rend formellement une déclaration de sécurité lorsque l’entreprise apporte la preuve qu’elle a mis en œuvre le plan de sécurité.</p></content></paragraph><paragraph eId="art_61/para_2"><num>2</num><content><p> Il refuse à l’entreprise la déclaration de sécurité et classe la procédure si l’entreprise ne met pas en œuvre le plan de sécurité. Il rend formellement une décision en conséquence.</p></content></paragraph><paragraph eId="art_61/para_3"><num>3</num><content><p> Les décisions visées aux al. 1 et 2 sont communiquées à l’adjudicateur.</p></content></paragraph><paragraph eId="art_61/para_4"><num>4</num><content><p> L’adjudicateur est lié par la décision du service spécialisé PSE, sous réserve de l’art. 58, al. 3.</p></content></paragraph><paragraph eId="art_61/para_5"><num>5</num><content><p> La déclaration de sécurité est valable cinq ans.</p></content></paragraph></article><article eId="art_62"><num><b>Art. 62</b></num><heading>Exécution d’un mandat sensible</heading><paragraph eId="art_62/para"><content><p>L’adjudicateur ne peut laisser une entreprise exécuter un mandat sensible qu’une fois que celle-ci a obtenu une déclaration de sécurité.</p></content></paragraph></article><article eId="art_63"><num><b>Art. 63</b></num><heading>Obligations de l’entreprise</heading><paragraph eId="art_63/para_1"><num>1</num><content><p> Les entreprises qui ont obtenu une déclaration de sécurité doivent constamment appliquer les mesures prévues par le plan de sécurité.</p></content></paragraph><paragraph eId="art_63/para_2"><num>2</num><content><p> Elles informent immédiatement le service spécialisé PSE et l’adjudicateur de tout changement et de tout incident dans le domaine de la sécurité.</p></content></paragraph></article><article eId="art_64"><num><b>Art. 64</b></num><heading>Contrôles et mesures de protection</heading><paragraph eId="art_64/para_1"><num>1</num><content><blockList><listIntroduction eId="art_64/para_1/listintro"> Le service spécialisé PSE peut:</listIntroduction><item eId="art_64/para_1/lbl_a"><num>a. </num><p>inspecter inopinément les secteurs où le mandat sensible est exécuté;</p></item><item eId="art_64/para_1/lbl_b"><num>b. </num><p>consulter les documents relatifs au mandat.</p></item></blockList></content></paragraph><paragraph eId="art_64/para_2"><num>2</num><content><p> Lorsque des indices concrets donnent à penser que la sécurité de l’information est menacée dans une entreprise, le service spécialisé PSE peut prendre immédiatement les mesures de protection qui s’imposent, notamment mettre les documents et le matériel en lieu sûr.</p></content></paragraph></article><article eId="art_65"><num><b>Art. 65</b></num><heading>Procédure simplifiée en cas d’adjudication d’autres mandats sensibles</heading><paragraph eId="art_65/para"><content><p>Les entreprises qui ont obtenu une déclaration de sécurité sont réputées qualifiées en cas d’adjudication d’autres mandats sensibles. Le service spécialisé PSE examine la nécessité d’adapter le plan de sécurité.</p></content></paragraph></article><article eId="art_66"><num><b>Art. 66</b></num><heading>Certificat international de sécurité</heading><paragraph eId="art_66/para"><content><p>Le service spécialisé PSE établit à la demande de l’entreprise un certificat international de sécurité.</p></content></paragraph></article><article eId="art_67"><num><b>Art. 67</b></num><heading>Révocation de la déclaration de sécurité</heading><paragraph eId="art_67/para_1"><num>1</num><content><blockList><listIntroduction eId="art_67/para_1/listintro"> Le service spécialisé PSE révoque la déclaration de sécurité dans les cas suivants:</listIntroduction><item eId="art_67/para_1/lbl_a"><num>a. </num><p>l’entreprise n’a pas rempli ses obligations au sens de l’art. 63;</p></item><item eId="art_67/para_1/lbl_b"><num>b. </num><p>une répétition de la procédure a permis d’identifier un risque pour la sécurité.</p></item></blockList></content></paragraph><paragraph eId="art_67/para_2"><num>2</num><content><p> Il notifie sa décision à l’entreprise et à l’adjudicateur.</p></content></paragraph><paragraph eId="art_67/para_3"><num>3</num><content><p> En cas de révocation de la déclaration de sécurité, l’adjudicateur retire immédiatement le mandat à l’entreprise, sous réserve de l’art. 58, al. 3. L’entreprise n’a droit à aucune indemnisation.</p></content></paragraph></article></section><section eId="chap_4/sec_6"><num>Section 6</num><heading>Répétition de la procédure et voies de droit</heading><article eId="art_68"><num><b>Art. 68</b></num><heading>Répétition de la procédure</heading><paragraph eId="art_68/para"><content><blockList><listIntroduction eId="art_68/para/listintro">La procédure de sécurité est répétée dans les cas suivants:</listIntroduction><item eId="art_68/para/lbl_a"><num>a. </num><p>la déclaration de sécurité de l’entreprise échoit alors que l’entreprise exécute un mandat sensible;</p></item><item eId="art_68/para/lbl_b"><num>b. </num><p>des changements importants sont intervenus au sein de l’entreprise et des indices concrets donnent à penser que ces changements ont fait apparaître de nouveaux risques pour la sécurité.</p></item></blockList></content></paragraph></article><article eId="art_69"><num><b>Art. 69</b></num><heading>Voies de droit</heading><paragraph eId="art_69/para_1"><num>1</num><content><blockList><listIntroduction eId="art_69/para_1/listintro"> L’entreprise a 30 jours à compter de la notification de la décision du service spécialisé PSE pour:</listIntroduction><item eId="art_69/para_1/lbl_a"><num>a. </num><p>consulter le dossier du contrôle;</p></item><item eId="art_69/para_1/lbl_b"><num>b. </num><p>demander la rectification des données erronées ou la destruction des données obsolètes;</p></item><item eId="art_69/para_1/lbl_c"><num>c. </num><p>demander que l’on ajoute à une donnée la mention de son caractère litigieux;</p></item><item eId="art_69/para_1/lbl_d"><num>d. </num><p>faire recours devant le Tribunal administratif fédéral.</p></item></blockList></content></paragraph><paragraph eId="art_69/para_2"><num>2</num><content><p> Les restrictions à la communication de renseignements sont régies par l’art. 26 LPD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote>.<authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. 5, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>; FF <b>2017</b> 2465).</p></authorialNote></p></content></paragraph></article></section><section eId="chap_4/sec_7"><num>Section 7</num><heading>Traitement des données personnelles</heading><article eId="art_70"><num><b>Art. 70</b></num><heading>Système d’information sur la procédure de sécurité relative<br/>aux entreprises</heading><paragraph eId="art_70/para_1"><num>1</num><content><p> Le service spécialisé PSE exploite un système d’information pour réaliser et gérer les procédures de sécurité relatives aux entreprises.</p></content></paragraph><paragraph eId="art_70/para_2"><num>2</num><content><p> Les données sensibles et au sens de l’art. 5, let. c, LPD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> peuvent être traitées dans le système d’information dans la mesure où elles sont nécessaires à l’exécution de la procédure.<authorialNote><p> Nouvelle teneur selon l’annexe 2 ch. 5, en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> janv. 2024 (<ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2022</b> 232</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2023</b> 650</ref>; FF <b>2017</b> 2465).</p></authorialNote></p></content></paragraph><paragraph eId="art_70/para_3"><num>3</num><content><blockList><listIntroduction eId="art_70/para_3/listintro"> Le système d’information contient les données suivantes:</listIntroduction><item eId="art_70/para_3/lbl_a"><num>a. </num><p>les données visées aux art. 56 et 59, al. 3;</p></item><item eId="art_70/para_3/lbl_b"><num>b. </num><p>le résultat de l’évaluation visée à l’art. 55, al. 2;</p></item><item eId="art_70/para_3/lbl_c"><num>c. </num><p>le résultat des contrôles de sécurité relatifs aux personnes visés à l’art. 60, al. 1;</p></item><item eId="art_70/para_3/lbl_d"><num>d. </num><p>la décision du service spécialisé PSE visée à l’art. 60, al. 2;</p></item><item eId="art_70/para_3/lbl_e"><num>e. </num><p>la raison sociale des entreprises qui ont obtenu une déclaration de sécurité;</p></item><item eId="art_70/para_3/lbl_f"><num>f. </num><p>les mesures de protection visées à l’art. 64;</p></item><item eId="art_70/para_3/lbl_g"><num>g. </num><p>les données et les dossiers relatifs aux procédures de recours.</p></item></blockList></content></paragraph><paragraph eId="art_70/para_4"><num>4</num><content><p> Le service spécialisé PSE est responsable de la sécurité du système d’information et de la licéité du traitement des données personnelles.</p></content></paragraph></article><article eId="art_71"><num><b>Art. 71</b></num><heading>Consultation et communication des données</heading><paragraph eId="art_71/para_1"><num>1</num><content><blockList><listIntroduction eId="art_71/para_1/listintro"> Les organes suivants peuvent consulter en ligne les données ci-après:</listIntroduction><item eId="art_71/para_1/lbl_a"><num>a. </num><p>les adjudicateurs: les données visées à l’art. 70, al. 3, let. b et d à g;</p></item><item eId="art_71/para_1/lbl_b"><num>b. </num><p>les entreprises qui sont habilitées par le Conseil fédéral, en vertu de l’art. 31, al. 1, let. a, à ouvrir des procédures de contrôle de sécurité relatifs aux personnes dans leur domaine de compétence: les données visées à l’art. 70, al. 3, let. d.</p></item></blockList></content></paragraph><paragraph eId="art_71/para_2"><num>2</num><content><p> Le service spécialisé PSE peut au surplus communiquer les données visées à l’art. 70, al. 3, let. b à d, à d’autres services de la Confédération dans la mesure où ces données sont nécessaires à la sécurité de l’information.</p></content></paragraph></article><article eId="art_72"><num><b>Art. 72</b></num><heading>Conservation, archivage et destruction des données</heading><paragraph eId="art_72/para_1"><num>1</num><content><p> Le service spécialisé PSE conserve les données aussi longtemps que l’entreprise concernée dispose d’une déclaration de sécurité, mais dix ans au plus.</p></content></paragraph><paragraph eId="art_72/para_2"><num>2</num><content><p> L’archivage des données est régi par les dispositions de la législation relative à l’archivage.</p></content></paragraph><paragraph eId="art_72/para_3"><num>3</num><content><p> Lorsque la procédure est classée, le service spécialisé PSE détruit l’ensemble des données et dossiers relatifs à la procédure dans les trois mois.</p></content></paragraph></article></section><section eId="chap_4/sec_8"><num>Section 8</num><heading>Dispositions édictées par le Conseil fédéral</heading><article eId="art_73"><num><b>Art. 73</b></num><paragraph eId="art_73/para"><content><blockList><listIntroduction eId="art_73/para/listintro">Le Conseil fédéral règle:</listIntroduction><item eId="art_73/para/lbl_a"><num>a. </num><p>les modalités de la procédure de sécurité relative aux entreprises;</p></item><item eId="art_73/para/lbl_b"><num>b. </num><p>l’application aux sous-contractants de la procédure de sécurité relative aux entreprises;</p></item><item eId="art_73/para/lbl_c"><num>c. </num><p>l’organisation du service spécialisé PSE;</p></item><item eId="art_73/para/lbl_d"><num>d. </num><p>les mesures nécessaires pour garantir la sécurité des données du système visé à l’art. 70;</p></item><item eId="art_73/para/lbl_e"><num>e. </num><p>les modalités du contrôle périodique réalisé par un organe externe du traitement des données personnelles.</p></item></blockList></content></paragraph></article></section></chapter><chapter eId="chap_5"><num>Chapitre 5</num><heading><br/>Mesures de la Confédération afin de protéger la Suisse contre les cybermenaces<inline name="man-font-weight-normal"><authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></inline></heading><section eId="chap_5/sec_1"><num>Section 1</num><heading>Dispositions générales<inline name="man-font-weight-normal"><authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></inline></heading><article eId="art_73_a"><num><b>Art. 73</b><i>a</i><authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Principe</heading><paragraph eId="art_73_a/para_1"><num>1</num><content><p> Afin de protéger la Suisse contre les cybermenaces, l’OFCS réalise des analyses techniques pour évaluer et contrer les cyberincidents et les cybermenaces, ainsi que pour identifier et éliminer les vulnérabilités.</p></content></paragraph><paragraph eId="art_73_a/para_2"><num>2</num><content><blockList><listIntroduction eId="art_73_a/para_2/listintro"> Sur la base de ces analyses, l’OFCS assume notamment les tâches suivantes:</listIntroduction><item eId="art_73_a/para_2/lbl_a"><num>a. </num><p>sensibiliser le public aux cybermenaces et l’alerter sur de telles menaces;</p></item><item eId="art_73_a/para_2/lbl_b"><num>b. </num><p>alerter les autorités, les organisations et les personnes concernées en cas de cybermenace immédiate ou de cyberattaque en cours;</p></item><item eId="art_73_a/para_2/lbl_c"><num>c. </num><p>publier des informations sur la cybersécurité et des recommandations sur les mesures préventives et réactives à prendre contre les cyberincidents;</p></item><item eId="art_73_a/para_2/lbl_d"><num>d. </num><p>réceptionner et traiter les signalements concernant les cyberincidents et les cybermenaces;</p></item><item eId="art_73_a/para_2/lbl_e"><num>e. </num><p>soutenir les exploitants d’infrastructures critiques.</p></item></blockList></content></paragraph></article><article eId="art_73_b"><num><b>Art. 73</b><i>b</i><authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Signalements</heading><paragraph eId="art_73_b/para_1"><num>1</num><content><p> L’OFCS reçoit des signalements concernant des cyberincidents et des cybermenaces. Les signalements peuvent être anonymes.</p></content></paragraph><paragraph eId="art_73_b/para_2"><num>2</num><content><p> L’OFCS analyse les signalements au regard de leur importance pour la protection de la Suisse contre les cybermenaces. Sur demande, il émet une recommandation quant aux mesures à prendre, pour autant qu’aucune analyse ou clarification supplémentaire ne soit nécessaire à cet effet.</p></content></paragraph><paragraph eId="art_73_b/para_3"><num>3</num><content><p> Si l’OFCS prend connaissance d’une vulnérabilité, il en informe immédiatement le fabricant du matériel informatique ou du logiciel concerné et lui fixe un délai approprié pour l’éliminer. Il lui indique que tout manquement pourra être sanctionné en vertu du droit des marchés publics (art. 44, al. 1, let. f<sup>bis</sup>, de la loi fédérale du 21 juin 2019 sur les marchés <span>publics</span><span><authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2020/126" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.056.1</b></ref></p></authorialNote></span><span>) et qu’à l’expiration du délai, il pourra rendre publique la vulnérabilité en vertu de l’art.</span> 73<i>c</i>, al. 2.</p></content></paragraph></article><article eId="art_73_c"><num><b>Art. 73</b><i>c</i><authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Publication d’informations provenant de signalements</heading><paragraph eId="art_73_c/para_1"><num>1</num><content><p> L’OFCS peut publier des informations relatives à des cyberincidents pour autant que cela serve à la protection contre les cybermenaces. Ces informations ne peuvent contenir de données relatives aux personnes physiques ou morales concernées que si ces dernières y consentent et que ces données sont des caractères d’identification et des ressources d’adressage utilisés de manière abusive.</p></content></paragraph><paragraph eId="art_73_c/para_2"><num>2</num><content><p> L’OFCS peut publier des informations relatives à des vulnérabilités en indiquant le matériel informatique ou le logiciel concerné, à condition que le fabricant y consente ou qu’il n’ait pas éliminé la vulnérabilité dans le délai visé à l’art. 73<i>b</i>, al. 3.</p></content></paragraph></article><article eId="art_73_d"><num><b>Art. 73</b><i>d</i><authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Transmission d’informations</heading><paragraph eId="art_73_d/para_1"><num>1</num><content><p> L’OFCS peut transmettre des informations provenant de signalements aux autorités et aux organisations actives dans le domaine de la cybersécurité. Ces informations ne peuvent contenir de données personnelles que si la personne concernée y consent.</p></content></paragraph><paragraph eId="art_73_d/para_2"><num>2</num><content><p> Si le signalement d’un cyberincident ou son analyse <span>révèle que des informations sont nécessaires pour déceler à temps et prévenir des menaces pour la sûreté</span> intérieure ou extérieure, pour apprécier la menace ou pour assurer un service d’alerte précoce en vue de protéger les infrastructures critiques conformément à l’art. 6, al. 1, let. a, 2 et 5, de la loi fédérale du 25 septembre 2015 sur le renseignement (LRens)<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>121</b></ref></p></authorialNote>, l’OFCS transmet ces informations au SRC.</p></content></paragraph><paragraph eId="art_73_d/para_3"><num>3</num><content><p> En dérogation à l’art. 22<i>a</i>, al. 1, de la loi du 24 mars 2000 sur le personnel de la Confédération<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2001/123" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>172.220.1</b></ref></p></authorialNote>, les collaborateurs de l’OFCS qui, dans le cadre d’un signalement ou de son analyse, obtiennent des informations sur une possible infraction la rapportent exclusivement au directeur de l’OFCS. Celui-ci peut dénoncer cette possible infraction aux autorités de poursuite pénale si la gravité de cette dernière le justifie.</p></content></paragraph><paragraph eId="art_73_d/para_4"><num>4</num><content><p> La transmission par l’OFCS de secrets protégés par le droit pénal doit obéir aux exigences prévues à l’art. 320 du code pénal<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/54/757_781_799" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>311.0</b></ref></p></authorialNote>.</p></content></paragraph></article><article eId="art_74"><num><b>Art. 74</b><authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Soutien aux exploitants d’infrastructures critiques</heading><paragraph eId="art_74/para_1"><num>1</num><content><p> L’OFCS aide les exploitants d’infrastructures critiques à se protéger contre les cybermenaces. </p></content></paragraph><paragraph eId="art_74/para_2"><num>2</num><content><blockList><listIntroduction eId="art_74/para_2/listintro"> Il met notamment à leur disposition, à titre gratuit et pour une utilisation sur une base volontaire, les outils suivants:</listIntroduction><item eId="art_74/para_2/lbl_a"><num>a. </num><p>un système de communication permettant l’échange sécurisé d’informations;</p></item><item eId="art_74/para_2/lbl_b"><num>b. </num><p>des informations techniques sur les cybermenaces en cours et des recommandations sur les mesures préventives et réactives à prendre contre les cyberincidents;</p></item><item eId="art_74/para_2/lbl_c"><num>c. </num><p>des instruments techniques et des instructions de détection des cyberincidents visant à répondre aux besoins accrus de protection des infrastructures critiques.</p></item></blockList></content></paragraph><paragraph eId="art_74/para_3"><num>3</num><content><p> Il peut les conseiller et les soutenir dans la gestion des cyberincidents et l’élimination des vulnérabilités lorsque le fonctionnement de l’infrastructure critique concernée est mis en péril et, s’il s’agit d’exploitants privés, qu’il n’est pas possible d’obtenir en temps voulu un soutien équivalent sur le marché.</p></content></paragraph><paragraph eId="art_74/para_4"><num>4</num><content><p> Avec l’accord de l’exploitant concerné, il peut accéder aux informations et aux moyens informatiques de celui-ci pour analyser un cyberincident.</p></content></paragraph></article></section><section eId="chap_5/sec_2"><num>Section 2<inline name="man-font-weight-normal"><authorialNote><p> Introduite par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></inline></num><heading>Obligation de signaler les cyberattaques</heading><article eId="art_74_a"><num><b>Art. 74</b><i>a</i></num><heading>Principes</heading><paragraph eId="art_74_a/para_1"><num>1</num><content><p> Les autorités <span>et les organisations énumérées à l’art. 74</span><i><span>b</span></i><span> veillent à ce que les </span>cyberattaques visant leurs<span> moyens</span> informatiques soient signalées à l’OFCS.</p></content></paragraph><paragraph eId="art_74_a/para_2"><num>2</num><content><p> L’OFCS renseigne les <span>autorités et les organisations intéressées sur leur éventuel assujettissement à l’obligation de signaler et, sur demande, rend une décision sur ce point</span>.</p></content></paragraph><paragraph eId="art_74_a/para_3"><num>3</num><content><p> Lorsqu’elles signalent une cyberattaque, les autorités et les organisations assujetties ont droit, dans la gestion de l’incident, au soutien de l’OFCS prévu à l’art. 74, al. 3.</p></content></paragraph><paragraph eId="art_74_a/para_4"><num>4</num><content><p> <span>L’obligation de signaler vise uniquement à permettre à l’OFCS de détecter à un stade précoce les modes opératoires utilisés lors des attaques visant les infrastructures critiques et, ainsi</span>, d’avertir les victimes potentielles et de leur recommander les mesures préventives et réactives qui s’imposent.</p></content></paragraph></article><article eId="art_74_b"><num><b>Art. 74</b><i>b</i></num><heading>Autorités et organisations assujetties à l’obligation de signaler</heading><paragraph eId="art_74_b/para_1"><num>1</num><content><blockList><listIntroduction eId="art_74_b/para_1/listintro"> L’obligation de signaler s’applique:</listIntroduction><item eId="art_74_b/para_1/lbl_a"><num>a. </num><p>aux hautes écoles au sens de l’art. 2, al. 2, de la loi du 30 septembre 2011 sur l’encouragement et la coordination des hautes écoles<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2014/691" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>414.20</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_b"><num>b. </num><p>aux autorités fédérales, cantonales et communales ainsi qu’aux organisations intercantonales, cantonales et intercommunales, à l’exception du Groupement Défense lorsque l’armée accomplit un service d’appui ou un service actif au sens des art. 67 et 76 de la loi du 3 février 1995 sur l’armée<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/4093_4093_4093" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>510.10</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_c"><num>c. </num><p>aux organisations chargées de tâches de droit public dans les domaines de la sécurité et du sauvetage, de l’approvisionnement en eau potable, du traitement des eaux usées et de l’élimination des déchets;</p></item><item eId="art_74_b/para_1/lbl_d"><num>d. </num><p>aux entreprises œuvrant dans les domaines de l’approvisionnement énergétique au sens de l’art. 6, al. 1, de la loi du 30 septembre 2016 sur l’énergie<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/762" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>730.0</b></ref></p></authorialNote> ainsi que du commerce, de la mesure et de la gestion de l’énergie, à l’exception des détenteurs d’une autorisation au sens de la loi du 21 mars 2003 sur l’énergie nucléaire<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2004/723" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>732.1</b></ref></p></authorialNote> si une cyberattaque est lancée contre une installation nucléaire;</p></item><item eId="art_74_b/para_1/lbl_e"><num>e. </num><p>aux entreprises soumises à la loi du 8 novembre 1934 sur les banques<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/51/117_121_129" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>952.0</b></ref></p></authorialNote>, à la loi du 17 décembre 2004 sur la surveillance des assurances<authorialNote><p>  <ref href="https://www.fedlex.admin.ch/eli/cc/2005/734/fr">RS<b>961.01</b></ref></p></authorialNote> ou à la loi du 19 juin 2015 sur l’infrastructure des marchés financiers<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2015/853" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>958.1</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_f"><num>f. </num><p>aux établissements de santé figurant sur la liste hospitalière cantonale conformément à l’art. 39, al. 1, let. e, de la loi fédérale du 18 mars 1994 sur l’assurance-maladie<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/1328_1328_1328" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>832.10</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_g"><num>g. </num><p>aux laboratoires médicaux titulaires d’une autorisation conformément à l’art. 16, al. 1, de la loi du 28 septembre 2012 sur les épidémies<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2015/297" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>818.101</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_h"><num>h. </num><p>aux entreprises titulaires d’une autorisation de fabriquer, de mettre sur le marché ou d’importer des médicaments conformément à la loi du 15 décembre 2000 sur les produits thérapeutiques<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2001/422" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>812.21</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_i"><num>i. </num><p>aux organisations qui fournissent des prestations destinées à couvrir les conséquences de la maladie, des accidents, de l’incapacité de travail et de gain, de la vieillesse, de l’invalidité et de l’impotence;</p></item><item eId="art_74_b/para_1/lbl_j"><num>j. </num><p>à la Société suisse de radiodiffusion et télévision;</p></item><item eId="art_74_b/para_1/lbl_k"><num>k. </num><p>aux agences de presse d’importance nationale;</p></item><item eId="art_74_b/para_1/lbl_l"><num>l. </num><p>aux prestataires de services postaux enregistrés auprès de la Commission de la poste conformément à l’art. 4, al. 1, de la loi du 17 décembre 2010 sur la poste<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2012/585" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>783.0</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_m"><num>m. </num><p>aux entreprises ferroviaires visées à l’art. 5 ou 8<i>c</i> de la loi fédérale du 20 décembre 1957 sur les chemins de fer<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/1958/335_341_347" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>742.101</b></ref></p></authorialNote> ainsi qu’aux entreprises d’installations à câbles, de trolleybus, d’autobus et de navigation concessionnaires au sens de l’art. 6 de la loi du 20 mars 2009 sur le transport de voyageurs<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2009/680" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>745.1</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_n"><num>n. </num><p>aux entreprises de l’aviation civile disposant d’une autorisation délivrée par l’Office fédéral de l’aviation civile et aux aéroports nationaux figurant dans le Plan sectoriel de l’infrastructure aéronautique;</p></item><item eId="art_74_b/para_1/lbl_o"><num>o. </num><p>aux entreprises qui transportent des marchandises sur le Rhin conformément à la loi fédérale du 23 septembre 1953 sur la navigation maritime sous pavillon suisse<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1956/1305_1395_1407" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>747.30</b></ref></p></authorialNote> et aux entreprises qui effectuent l’enregistrement, le chargement ou le déchargement de marchandises dans le port de Bâle;</p></item><item eId="art_74_b/para_1/lbl_p"><num>p. </num><p>aux entreprises qui approvisionnent la population en biens d’usage quotidien indispensables et dont la défaillance partielle ou complète entraînerait de graves difficultés d’approvisionnement;</p></item><item eId="art_74_b/para_1/lbl_q"><num>q. </num><p>aux fournisseurs de services de télécommunication enregistrés auprès de l’Office fédéral de la communication conformément à l’art. 4, al. 1, LTC<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.10</b></ref></p></authorialNote>;</p></item><item eId="art_74_b/para_1/lbl_r"><num>r. </num><p>aux registres et aux registraires de domaines Internet au sens de l’art. 28<i>b</i> LTC;</p></item><item eId="art_74_b/para_1/lbl_s"><num>s. </num><p>aux fournisseurs et aux exploitants de services et d’infrastructures servant à l’exercice des droits politiques;</p></item><item eId="art_74_b/para_1/lbl_t"><num>t. </num><p>aux fournisseurs et aux exploitants d’informatique en nuage, de moteurs de recherche, de services numériques de sécurité ou de confiance ainsi que de centres de calcul, pour autant qu’ils aient un siège en Suisse;</p></item><item eId="art_74_b/para_1/lbl_u"><num>u. </num><blockList><listIntroduction eId="art_74_b/para_1/lbl_u/listintro">aux fabricants de matériel informatique ou de logiciels dont les produits sont utilisés par des infrastructures critiques, si le matériel ou les logiciels concernés disposent d’un accès de télémaintenance ou sont utilisés à l’une des fins suivantes:</listIntroduction><item eId="art_74_b/para_1/lbl_u/lbl_1"><num>1. </num><p>commande et surveillance de systèmes et de processus techniques, </p></item><item eId="art_74_b/para_1/lbl_u/lbl_2"><num>2. </num><p>garantie de la sécurité publique. </p></item></blockList></item></blockList></content></paragraph><paragraph eId="art_74_b/para_2"><num>2</num><content><p> Les autorités et les organisations qui exercent également des activités ne relevant pas de l’al. 1 n’ont pas l’obligation de <span>signaler les cyberattaques qui ont un effet uniquement sur ces activités.</span></p></content></paragraph><paragraph eId="art_74_b/para_3"><num>3</num><content><p> L’obligation de signaler visée à l’al. 1 s’applique aux cyberattaques qui ont un effet en Suisse, même si les moyens informatiques concernés se trouvent à l’étranger.</p></content></paragraph></article><article eId="art_74_c"><num><b>Art. 74</b><i>c</i></num><heading>Exceptions à l’obligation de signaler</heading><paragraph eId="art_74_c/para"><content><p>Le Conseil fédéral exempte <span>les autorités et les organisations de</span> l’obligation de signaler visée à l’art. 74<i>b</i> lorsque les perturbations provoquées par les cyberattaques n’ont qu’un effet limité sur le fonctionnement de l’économie ou sur le bien-être de la population.</p></content></paragraph></article><article eId="art_74_d"><num><b>Art. 74</b><i>d</i></num><heading>Cyberattaques à signaler</heading><paragraph eId="art_74_d/para"><content><blockList><listIntroduction eId="art_74_d/para/listintro">Une cyberattaque doit être signalée lorsqu’elle:</listIntroduction><item eId="art_74_d/para/lbl_a"><num>a. </num><p>met en péril le fonctionnement de l’infrastructure critique concernée;</p></item><item eId="art_74_d/para/lbl_b"><num>b. </num><p>a entraîné une manipulation ou une fuite d’informations;</p></item><item eId="art_74_d/para/lbl_c"><num>c. </num><p>n’a pas été détectée pendant une période prolongée, en particulier si des indices laissent penser qu’elle a été exécutée en vue de préparer d’autres cyberattaques, ou</p></item><item eId="art_74_d/para/lbl_d"><num>d. </num><p>s’accompagne d’actes de chantage, de menaces ou de contrainte.</p></item></blockList></content></paragraph></article><article eId="art_74_e"><num><b>Art. 74</b><i>e</i></num><heading>Délai et contenu du signalement </heading><paragraph eId="art_74_e/para_1"><num>1</num><content><p> Le signalement doit être fait dans les 24 heures suivant la détection de la cyberattaque.</p></content></paragraph><paragraph eId="art_74_e/para_2"><num>2</num><content><p> Il doit contenir des informations sur l’autorité ou l’organisation assujetties à l’obligation de signaler, sur le <span>type et l’exécution de la cyberattaque sur ses effets, sur les mesures prises et, si elles sont connues, sur les mesures</span> prévues.</p></content></paragraph><paragraph eId="art_74_e/para_3"><num>3</num><content><p> Si toutes les informations requises ne sont pas connues au moment du signalement, l’autorité ou l’organisation assujettie complète le signalement dès qu’elle dispose de nouvelles informations.</p></content></paragraph><paragraph eId="art_74_e/para_4"><num>4</num><content><p> Celui qui assume l’obligation de signaler pour une autorité ou une organisation n’est pas tenu, dans le cadre du signalement, de fournir des informations qui l’exposent à des poursuites pénales.</p></content></paragraph><paragraph eId="art_74_e/para_5"><num>5</num><content><p> L’OFCS informe l’autorité ou l’organisation assujettie dès que toutes les données permettant de satisfaire à l’obligation de signaler sont disponibles.</p></content></paragraph></article><article eId="art_74_f"><num><b>Art. 74</b><i>f</i></num><heading>Communication du signalement</heading><paragraph eId="art_74_f/para_1"><num>1</num><content><p> L’OFCS met <span>à disposition un système sécurisé qui permet de lui communiquer le signalement des cyberattaques par</span> voie électronique.</p></content></paragraph><paragraph eId="art_74_f/para_2"><num>2</num><content><p> Le système doit <span>permettre aux autorités ou aux organisations assujetties de communiquer simultanément à d’autres autorités tout ou partie du signalement de la cyberattaque ou de ses effets</span>.</p></content></paragraph><paragraph eId="art_74_f/para_3"><num>3</num><content><p> Si des informations dépassant le <span>cadre prévu à l’art</span>. 74<i>e</i> sont nécessaires à l’exécution d’une obligation de signaler vis-à-vis d’autres autorités, le système doit permettre aux autorités ou aux organisations assujetties de les communiquer directement aux autorités concernées, sans que l’OFCS y ait accès.</p></content></paragraph></article></section><section eId="chap_5/sec_3"><num>Section 3</num><heading>Protection des données et échange d’informations<inline name="man-font-weight-normal"><authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></inline></heading><article eId="art_75"><num><b>Art. 75</b><authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Traitement des données personnelles</heading><paragraph eId="art_75/para_1"><num>1</num><content><blockList><listIntroduction eId="art_75/para_1/listintro"> Pour accomplir ses tâches, l’OFCS peut traiter des données personnelles, y compris les ressources d’adressage au sens de l’art. 3, let. f, LTC<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1997/2187_2187_2187" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>784.10</b></ref></p></authorialNote> et les données sensibles qui s’y rapportent, qui contiennent des informations relatives:</listIntroduction><item eId="art_75/para_1/lbl_a"><num>a. </num><p>à des opinions religieuses, philosophiques ou politiques; le traitement des données n’est admissible que dans la mesure où il est nécessaire à l’évaluation de menaces et de dangers concrets en matière de cybersécurité;</p></item><item eId="art_75/para_1/lbl_b"><num>b. </num><p>à des poursuites ou à des sanctions pénales ou administratives.</p></item></blockList></content></paragraph><paragraph eId="art_75/para_2"><num>2</num><content><p> Lors du traitement de données personnelles ou en cas de soupçon fondé d’usurpation d’identité ou d’utilisation abusive de ressources d’adressage, l’OFCS en informe les personnes concernées si cela n’entraîne pas des efforts disproportionnés et qu’aucun intérêt public prépondérant ne s’y oppose.</p></content></paragraph></article><article eId="art_76"><num><b>Art. 76</b><authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Collaboration sur le plan national</heading><paragraph eId="art_76/para_1"><num>1</num><content><p> L’<span>OFCS et les exploitants d’infrastructures peuvent communiquer entre eux des données personnelles</span> dans la mesure où cela est nécessaire à la protection contre des cybermenaces.</p></content></paragraph><paragraph eId="art_76/para_2"><num><span>2</span></num><content><p><span> </span>L’<span>OFCS et les fournisseurs de services de télécommunication peuvent communiquer entre eux des ressources</span> d’adressage et les données personnelles qui s’y rapportent dans la mesure où cela est nécessaire à la protection contre des cybermenaces.</p></content></paragraph></article><article eId="art_76_a"><num><b>Art. 76</b><i>a</i><authorialNote><p> Introduit par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Soutien aux autorités</heading><paragraph eId="art_76_a/para_1"><num>1</num><content><p> L’OFCS apporte son soutien au SRC en lui fournissant des évaluations périodiques du nombre, du type et de l’ampleur des cyberattaques ainsi que, sur demande, des analyses techniques des cybermenaces.</p></content></paragraph><paragraph eId="art_76_a/para_2"><num>2</num><content><p> Il octroie au SRC l’accès à des informations concernant l’identité ou le mode opératoire des auteurs de cyberattaques dans le but de déceler à temps et de prévenir les menaces pour la sûreté intérieure ou extérieure, d’apprécier la menace ou d’assurer un service d’alerte précoce en vue de protéger les infrastructures critiques au sens de l’art. 6, al. 1, let. a, 2 et 5, LRens<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2017/494" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>121</b></ref></p></authorialNote>.</p></content></paragraph><paragraph eId="art_76_a/para_3"><num><span>3</span></num><content><p><span> Il</span> octroie aux autorités de poursuite pénale l’accès à des informations concernant l’identité et le mode opératoire des auteurs de cyberattaques.</p></content></paragraph><paragraph eId="art_76_a/para_4"><num>4</num><content><p> Il octroie aux services cantonaux chargés de la cybersécurité l’accès aux informations nécessaires à la protection contre les cybermenaces.</p></content></paragraph></article><article eId="art_77"><num><b>Art. 77</b><authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num><heading>Coopération internationale</heading><paragraph eId="art_77/para_1"><num>1</num><content><p> L’OFCS peut échanger avec des services étrangers ou internationaux chargés de la cybersécurité des informations permettant de connaître l’identité ou le mode opératoire des auteurs de cyberattaques s’ils en ont besoin pour accomplir des tâches qui correspondent à celles de l’OFCS. Si l’échange d’informations comprend également des données personnelles, les art. 16 et 17 LPD<authorialNote><p>  <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote> sont applicables.</p></content></paragraph><paragraph eId="art_77/para_2"><num>2</num><content><p> L’échange d’informations au sens de l’al. 1 n’est autorisé que si les services étrangers ou internationaux garantissent que les données seront utilisées conformément aux fins prévues.</p></content></paragraph></article><article eId="art_78"><num><b>Art. 78</b><authorialNote><p> Abrogé par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), avec effet au 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num></article><article eId="art_79"><num><b>Art. 79</b></num><heading>Conservation et archivage des données</heading><paragraph eId="art_79/para_1"><num>1</num><content><p> L’OFCS conserve les données personnelles aussi longtemps que celles-ci sont utiles pour détecter des cybermenaces ou gérer des cyberincidents, mais durant cinq ans au plus à compter de leur dernière utilisation à cette fin. Pour les données sensibles, le délai est de deux ans.<authorialNote><p> Nouvelle teneur selon le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), en vigueur depuis le 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025 (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_79/para_2"><num>2</num><content><p> L’archivage des données est régi par les dispositions de la législation relative à l’archivage.</p></content></paragraph></article><article eId="art_80"><num><b>Art. 80</b><authorialNote><p> Abrogé par le ch. I de la LF du 29 sept. 2023 (Mise en place d’une obligation de signaler les cyberattaques contre les infrastructures critiques), avec effet au 1<sup xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">er</sup> avr. 2025  (<ref href="https://fedlex.data.admin.ch/eli/oc/2024/257" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2024</b> 257</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2025/173" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2025</b> 173</ref>; <ref href="https://fedlex.data.admin.ch/eli/fga/2023/84" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">FF <b>2023</b> 84</ref>).</p></authorialNote></num></article></section></chapter><chapter eId="chap_6"><num>Chapitre 6</num><heading>Organisation et exécution</heading><section eId="chap_6/sec_1"><num>Section 1</num><heading>Organisation</heading><article eId="art_81"><num><b>Art. 81</b></num><heading>Préposés à la sécurité de l’information</heading><paragraph eId="art_81/para_1"><num>1</num><content><blockList><listIntroduction eId="art_81/para_1/listintro"> Les autorités et organisations suivantes désignent, chacune dans son domaine de compétence, un préposé à la sécurité de l’information et un suppléant:</listIntroduction><item eId="art_81/para_1/lbl_a"><num>a. </num><p>le Conseil fédéral;</p></item><item eId="art_81/para_1/lbl_b"><num>b. </num><p>la Délégation administrative de l’Assemblée fédérale;</p></item><item eId="art_81/para_1/lbl_c"><num>c. </num><p>les tribunaux de la Confédération;</p></item><item eId="art_81/para_1/lbl_d"><num>d. </num><p>le Ministère public de la Confédération;</p></item><item eId="art_81/para_1/lbl_e"><num>e. </num><p>la Banque nationale suisse;</p></item><item eId="art_81/para_1/lbl_f"><num>f. </num><p>les départements et la Chancellerie fédérale.</p></item></blockList></content></paragraph><paragraph eId="art_81/para_2"><num>2</num><content><blockList><listIntroduction eId="art_81/para_2/listintro"> Les préposés à la sécurité de l’information accomplissent les tâches suivantes:</listIntroduction><item eId="art_81/para_2/lbl_a"><num>a. </num><p>conseiller et aider dans leur domaine les services compétents dans l’accomplissement des tâches et l’exécution des obligations qui leur incombent en vertu de la présente loi;</p></item><item eId="art_81/para_2/lbl_b"><num>b. </num><p>diriger, sur mandat de l’autorité ou de l’organisation à laquelle ils sont subordonnés, l’organisation spécialisée chargée de la sécurité de l’information et la gestion des risques;</p></item><item eId="art_81/para_2/lbl_c"><num>c. </num><p>vérifier, sur mandat de l’autorité ou de l’organisation à laquelle ils sont subordonnés, le respect des prescriptions relatives à la sécurité de l’information, en rendre compte et proposer les mesures qui s’imposent;</p></item><item eId="art_81/para_2/lbl_d"><num>d. </num><p>signaler, sur une base volontaire, les incidents dans le domaine de la sécurité de l’information au service spécialisé de la Confédération pour la sécurité de l’information et aux services visés à l’art. 74, al. 5.</p></item></blockList></content></paragraph><paragraph eId="art_81/para_3"><num>3</num><content><p> Aucune tâche susceptible d’entrer en conflit avec l’une des tâches visées à l’al. 2 ne peut être confiée aux préposés à la sécurité de l’information.</p></content></paragraph></article><article eId="art_82"><num><b>Art. 82</b></num><heading>Conférence des préposés à la sécurité de l’information</heading><paragraph eId="art_82/para_1"><num>1</num><content><p> La Conférence des préposés à la sécurité de l’information se compose des préposés à la sécurité de l’information au sens de l’art. 81, al. 1, de deux représentants des cantons et du Préposé fédéral à la protection des données et à la transparence.</p></content></paragraph><paragraph eId="art_82/para_2"><num>2</num><content><blockList><listIntroduction eId="art_82/para_2/listintro"> Elle accomplit les tâches suivantes:</listIntroduction><item eId="art_82/para_2/lbl_a"><num>a. </num><p>promouvoir l’exécution uniforme de la présente loi;</p></item><item eId="art_82/para_2/lbl_b"><num>b. </num><p>contribuer à la normalisation des exigences et mesures visées à l’art. 85;</p></item><item eId="art_82/para_2/lbl_c"><num>c. </num><p>conseiller le service spécialisé de la Confédération pour la sécurité de l’information sur tous les aspects de la coordination de l’exécution et sur tous les points d’importance stratégique;</p></item><item eId="art_82/para_2/lbl_d"><num>d. </num><p>veiller à l’échange d’informations, notamment sur la gestion des risques et sur les problèmes et les incidents dans le domaine de la sécurité de l’information;</p></item><item eId="art_82/para_2/lbl_e"><num>e. </num><p>assurer la coordination avec les autres services qui accomplissent des tâches dans le domaine de la sécurité de l’information.</p></item></blockList></content></paragraph><paragraph eId="art_82/para_3"><num>3</num><content><p> Elle édicte son règlement interne.</p></content></paragraph></article><article eId="art_83"><num><b>Art. 83</b></num><heading>Service spécialisé de la Confédération pour la sécurité de l’information</heading><paragraph eId="art_83/para_1"><num>1</num><content><blockList><listIntroduction eId="art_83/para_1/listintro"> Le service spécialisé de la Confédération pour la sécurité de l’information:</listIntroduction><item eId="art_83/para_1/lbl_a"><num>a. </num><p>conseille et soutient les autorités soumises à la présente loi, leurs préposés à la sécurité de l’information et les cantons dans l’exécution de la présente loi;</p></item><item eId="art_83/para_1/lbl_b"><num>b. </num><p>peut recommander des mesures si la sécurité de l’information de la Confédération est menacée;</p></item><item eId="art_83/para_1/lbl_c"><num>c. </num><p>peut mener des contrôles à la demande des autorités soumises à la présente loi;</p></item><item eId="art_83/para_1/lbl_d"><num>d. </num><p>peut évaluer, à la demande des autorités soumises à la présente loi, les risques liés à l’utilisation de nouvelles technologies;</p></item><item eId="art_83/para_1/lbl_e"><num>e. </num><p>peut examiner, à la demande des autorités et organisations soumises à la présente loi, l’adéquation de leurs processus, moyens, installations, objets et prestations par rapport aux exigences en matière de sécurité de l’information; </p></item><item eId="art_83/para_1/lbl_f"><num>f. </num><p>peut gérer et coordonner, à la demande des autorités soumises à la présente loi, les questions liées à la sécurité de l’information lorsque des projets importants impliquent plusieurs autorités;</p></item><item eId="art_83/para_1/lbl_g"><num>g. </num><p>sert d’interlocuteur pour les contacts spécialisés avec des services nationaux, étrangers ou internationaux;</p></item><item eId="art_83/para_1/lbl_h"><num>h. </num><p>rend compte chaque année au Conseil fédéral de la situation en matière de sécurité de l’information au sein de la Confédération.</p></item></blockList></content></paragraph><paragraph eId="art_83/para_2"><num>2</num><content><p> Le préposé du Conseil fédéral à la sécurité de l’information dirige le service spécialisé de la Confédération pour la sécurité de l’information.</p></content></paragraph><paragraph eId="art_83/para_3"><num>3</num><content><p> Le Conseil fédéral règle l’organisation du service spécialisé de la Confédération pour la sécurité de l’information. Il peut le charger d’autres tâches pour le compte de l’administration fédérale ou de l’armée.</p></content></paragraph></article></section><section eId="chap_6/sec_2"><num>Section 2</num><heading>Exécution</heading><article eId="art_84"><num><b>Art. 84</b></num><heading>Dispositions d’exécution</heading><paragraph eId="art_84/para_1"><num>1</num><content><p> Les autorités soumises à la présente loi édictent les dispositions d’exécution. Le Conseil fédéral peut charger la Chancellerie fédérale d’édicter des dispositions d’exécution pour les affaires du Conseil fédéral.</p></content></paragraph><paragraph eId="art_84/para_2"><num>2</num><content><p> Les compétences que la présente loi donne aux autorités soumises à la présente loi sont exercées, pour l’Assemblée fédérale, par la Délégation administrative de l’Assemblée fédérale.</p></content></paragraph><paragraph eId="art_84/para_3"><num>3</num><content><p> Les dispositions d’exécution du Conseil fédéral s’appliquent par analogie aux autorités soumises à la présente loi si elles n’édictent pas leurs propres dispositions d’exécution.</p></content></paragraph></article><article eId="art_85"><num><b>Art. 85</b></num><heading>Exigences et mesures standard</heading><paragraph eId="art_85/para_1"><num>1</num><content><p> Le Conseil fédéral fixe des exigences standard en matière de sécurité et définit des mesures standard en matière d’organisation, de personnel et de construction, de même que sur le plan technique, pour assurer la sécurité de l’information; il suit à cet effet l’avancement des connaissances et de la technique.</p></content></paragraph><paragraph eId="art_85/para_2"><num>2</num><content><p> Il peut déléguer cette tâche.</p></content></paragraph><paragraph eId="art_85/para_3"><num>3</num><content><p> Les exigences et mesures standard du Conseil fédéral ont valeur de recommandations, sauf si les autorités soumises à la présente loi les déclarent obligatoires.</p></content></paragraph></article><article eId="art_86"><num><b>Art. 86</b></num><heading>Cantons</heading><paragraph eId="art_86/para_1"><num>1</num><content><p> Les cantons veillent au contrôle périodique de la mise en œuvre et de l’efficacité de la sécurité de l’information visée à l’art. 3.</p></content></paragraph><paragraph eId="art_86/para_2"><num>2</num><content><p> Ils informent le service spécialisé de la Confédération pour la sécurité de l’information des résultats des contrôles visés à l’al. 1.</p></content></paragraph><paragraph eId="art_86/para_3"><num>3</num><content><p> Ils désignent le service qui est l’interlocuteur des autorités soumises à la présente loi en matière de sécurité de l’information.</p></content></paragraph><paragraph eId="art_86/para_4"><num>4</num><content><p> Le Conseil fédéral définit les cas dans lesquels les cantons peuvent recourir aux prestations des services spécialisés visés par la présente loi afin d’assurer leur propre sécurité de l’information. Ces prestations sont soumises à des émoluments. Leur montant est fixé par le Conseil fédéral.</p></content></paragraph></article><article eId="art_87"><num><b>Art. 87</b></num><heading>Traités internationaux</heading><paragraph eId="art_87/para"><content><blockList><listIntroduction eId="art_87/para/listintro">Le Conseil fédéral peut conclure des traités internationaux en matière de sécurité de l’information portant sur les objets suivants:</listIntroduction><item eId="art_87/para/lbl_a"><num>a. </num><p>l’échange d’informations sur des menaces, des vulnérabilités et des incidents dans le domaine de la sécurité de l’information, en particulier dans les infrastructures critiques;</p></item><item eId="art_87/para/lbl_b"><num>b. </num><p>l’échange d’informations classifiées;</p></item><item eId="art_87/para/lbl_c"><num>c. </num><p>l’exécution des contrôles de sécurité relatifs aux personnes et des procédures de sécurité relatives aux entreprises;</p></item><item eId="art_87/para/lbl_d"><num>d. </num><p>la reconnaissance des déclarations de sécurité;</p></item><item eId="art_87/para/lbl_e"><num>e. </num><p>l’exécution de contrôles.</p></item></blockList></content></paragraph></article><article eId="art_88"><num><b>Art. 88</b></num><heading>Évaluation</heading><paragraph eId="art_88/para_1"><num>1</num><content><p> Le Conseil fédéral veille à ce que l’exécution, l’adéquation, l’efficacité et l’économicité de la présente loi soient contrôlés périodiquement <inline name="man-color-211D1E">par un service indépendant, en particulier par le Contrôle fédéral des finances</inline>.</p></content></paragraph><paragraph eId="art_88/para_2"><num>2</num><content><p> Il en rend compte régulièrement aux commissions compétentes de l’Assemblée fédérale.</p></content></paragraph></article></section></chapter><chapter eId="chap_7"><num>Chapitre 7</num><heading>Dispositions finales</heading><article eId="art_89"><num><b>Art. 89</b></num><heading>Modification d’autres actes</heading><paragraph eId="art_89/para"><content><p>La modification d’autres actes est réglée en annexe 1.</p></content></paragraph></article><article eId="art_90"><num><b>Art. 90</b></num><heading>Dispositions transitoires</heading><paragraph eId="art_90/para_1"><num>1</num><content><p> Les informations classifiées selon l’ancien droit sont adaptées aux règles de classification du nouveau droit dès leur premier traitement faisant suite à l’entrée en vigueur de la présente loi. </p></content></paragraph><paragraph eId="art_90/para_2"><num>2</num><content><p> Les moyens informatiques doivent être classés dans un délai de deux ans à compter de l’entrée en vigueur de la présente loi. Les mesures techniques visant à assurer la sécurité de l’information doivent être mises en place dans un délai de six ans à compter de l’entrée en vigueur de la présente loi. </p></content></paragraph><paragraph eId="art_90/para_3"><num>3</num><content><p> Les déclarations relatives à la sécurité des personnes et les déclarations relatives à la sécurité des entreprises rendues selon l’ancien droit sont valables cinq ans à compter de leur établissement.</p></content></paragraph></article><article eId="art_91"><num><b>Art. 91</b></num><heading>Dispositions de coordination</heading><paragraph eId="art_91/para"><content><p>La coordination de la présente loi avec d’autres actes est réglée dans l’annexe 2.</p></content></paragraph></article><article eId="art_92"><num><b>Art. 92</b></num><heading>Référendum et entrée en vigueur</heading><paragraph eId="art_92/para_1"><num>1</num><content><p> La présente loi est sujette au référendum.</p></content></paragraph><paragraph eId="art_92/para_2"><num>2</num><content><p> Le Conseil fédéral fixe la date de l’entrée en vigueur.</p><p>Date de l’entrée en vigueur: <br/>Art. 87: 1<sup>er</sup> mai 2022<authorialNote><p> ACF du 6 avr. 2022</p></authorialNote><br/>Autres dispositions: 1<sup>er</sup> janvier 2024<authorialNote><p> O du 8 nov. 2023 (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/650" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2023</b> 650</ref>)</p></authorialNote></p></content></paragraph></article></chapter></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Annexe 1</block></container></preface><mainBody><p>(art. 89)</p><level eId="annex_1/lvl_u1"><heading>Modification d’autres actes</heading><content><p>Les actes mentionnés ci-après sont modifiés comme suit:</p><p>…<authorialNote><p> Les mod. peuvent être consultées au <ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2022</b> 232</ref>.</p></authorialNote></p></content></level></mainBody></doc></component><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Legge federale del 18 dicembre 2020 sulla sicurezza delle informazioni in seno alla Confederazione (Legge sulla sicurezza delle informazioni, LSIn)" shortForm="LSIn"/><FRBRname xml:lang="de" value="Bundesgesetz vom 18. Dezember 2020 über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG)" shortForm="ISG"/><FRBRname xml:lang="fr" value="Loi fédérale du 18 décembre 2020 sur la sécurité de l’information au sein de la Confédération (Loi sur la sécurité de l’information, LSI)" shortForm="LSI"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="fr"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/232/20250401/fr/xml"/><FRBRdate date="2020-12-18" name="jolux:dateDocument"/><FRBRdate date="2022-05-01" name="jolux:dateEntryInForce"/><FRBRdate date="2025-04-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="num">Annexe 2</block></container></preface><mainBody><p>(art. 91)</p><level eId="annex_2/lvl_u1"><heading>Dispositions de coordination</heading><content><p>…<authorialNote><p> Les disp. de coordination peuvent être consultées au <ref href="https://fedlex.data.admin.ch/eli/oc/2022/232" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RO <b>2022</b> 232</ref>.</p></authorialNote></p></content></level></mainBody></doc></component></components></act></akomaNtoso>