Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/06880.jsonl.gz/1038

172.010.58
Ordonnance sur l'informatique et la télécommunication dans l'administration fédérale
(Ordonnance sur l'informatique dans l'administration fédérale, OIAF)
du 9 décembre 2011 (Etat le 1er avril 2018)
Le Conseil fédéral suisse,
vu les art. 43 et 47 de la loi du 21 mars 1997 sur l'organisation du gouvernement et de l'administration (LOGA)1,
arrête:
La présente ordonnance règle les tâches et les compétences relatives au pilotage et à la gestion de l'utilisation des technologies de l'information et de la communication (TIC) au sein de l'administration fédérale.
1 La présente ordonnance s'applique aux unités administratives de l'administration fédérale centrale au sens de l'art. 7 de l'ordonnance du 25 novembre 1998 sur l'organisation du gouvernement et de l'administration (OLOGA)1.
2 Les autorités et offices mentionnés ci-après peuvent, sous réserve d'autres dispositions d'organisation contenues dans le droit fédéral, s'engager par le biais d'un accord à respecter la présente ordonnance et les directives fondées sur celle-ci:
- a.
- les unités décentralisées de l'administration fédérale au sens de l'art. 7a OLOGA;
- b.
- les autres autorités fédérales;
- c.
- les organisations et les personnes de droit public ou privé extérieures à l'administration fédérale auxquelles sont confiées des tâches administratives de la Confédération (art. 2, al. 4, LOGA);
- d.
- les institutions proches de la Confédération qui poursuivent un but d'intérêt public et veulent recourir aux services des fournisseurs internes visés au chap. 5, section 3.
1 Une stratégie en matière de TIC comporte les éléments suivants:
- a.
- une stratégie de base, qui définit les grandes lignes des principes applicables aux TIC, l'orientation générale et le développement planifié des TIC;
- b.
- des notions de base concernant les aspects organisationnels et techniques (architectures), qui définissent les objectifs visés;
- c.
- un plan directeur, qui décrit les changements nécessaires pour atteindre les objectifs visés sur les plans temporel et matériel.
2 Le pilotage des TIC comprend la conception, l'édiction et l'actualisation des stratégies en matière de TIC en tant que conditions cadres, de même que l'édiction et l'actualisation des directives concernant les TIC qui en découlent et qui leur sont subordonnées.
3 On entend par gestion des TIC l'accomplissement des tâches opérationnelles par les bénéficiaires de prestations (gestion des besoins, acquisition, projets, contrôle de gestion, gestion de portefeuilles, gestion des accords de niveau de service, etc.) dans le respect des directives en vigueur.
4 Les directives subordonnées à la stratégie en matière de TIC sont:
- a.
- les processus en matière de TIC;
- b.
- l'architecture des TIC;
- c.
- les normes applicables aux TIC;
- d.
- les directives sur la sécurité en matière de TIC;
- e.
- le contrôle de gestion des TIC.
5 Les processus en matière de TIC déterminent la manière dont les tâches liées aux TIC doivent être accomplies.
6 L'architecture des TIC détermine les composants des TIC et leur articulation en appui aux processus d'affaires.
7 Les normes applicables aux TIC découlent de l'architecture des TIC, et on détermine par leur biais, du point de vue de la rentabilité, de l'interopérabilité, de la souplesse et de la sécurité, les fonctions, les interfaces et les produits informatiques qui doivent être élaborés ou utilisés de façon similaire.
8 La sécurité en matière de TIC comprend des mesures visant à protéger l'intégrité et la disponibilité des systèmes de TIC, de même que la confidentialité, l'intégrité, la disponibilité et la traçabilité des données sauvegardées, traitées et transférées dans ces systèmes.
9 Le contrôle de gestion des TIC comprend la collecte, le traitement, la vérification et l'interprétation d'informations servant au pilotage et à la gestion de l'utilisation des TIC.
10 Un service standard est une prestation en matière de TIC gérée de manière centralisée, fréquemment utilisée dans l'administration fédérale et répondant à des exigences identiques ou similaires des bénéficiaires de prestations.
11 La sûreté de l'information comprend des mesures visant à protéger des infrastructures vitales telles que les systèmes d'approvisionnement en énergie, les systèmes logistiques et le système de santé.
Les TIC sont conçues et utilisées de manière à fournir un appui optimal aux processus d'affaires des unités administratives. Ce faisant, les principes d'opportunité, de rentabilité et de sécurité doivent être respectés.
1 Le Conseil fédéral définit la stratégie de la Confédération en matière de TIC.
2 Le Département fédéral des finances (DFF) veille à la mise en oeuvre de la stratégie de la Confédération en matière de TIC.
3 Dans leurs domaines respectifs, les départements et la Chancellerie fédérale règlent le pilotage et la gestion des TIC, dans le cadre des directives en vigueur.
L'utilisation des TIC présuppose:
- a.
- que les bases légales suffisantes existent déjà ou seront créées;
- b.
- que la protection des données relatives aux personnes concernées est garantie;
- c.
- que la sûreté intégrale de l'information est garantie.
Les projets et applications en matière de TIC doivent répondre aux objectifs et aux directives de la Stratégie du Conseil fédéral pour une société de l'information.
1 Lors de la mise en oeuvre des stratégies et des directives en matière de TIC, les responsables des projets et des applications veillent à la coordination organisationnelle et méthodologique.
2 Ils veillent notamment à ce que soit consignée, sous une forme actualisée et pour chaque projet ou application, la façon dont sont pris en compte les conditions prévues à l'art. 6 ainsi que les objectifs et les directives prévus à l'art. 7.
1 Les départements et la Chancellerie fédérale, ou les unités administratives, gèrent l'utilisation des TIC dans leurs domaines respectifs.
2 Après consultation des bénéficiaires de prestations concernés et des fournisseurs de prestations internes concernés et en vertu d'analyses de marché et d'analyses comparatives externes, le département ou la Chancellerie fédérale décide:
- a.
- si une prestation en matière de TIC doit être fournie en interne ou acquise à l'extérieur;
- b.
- auprès de quel fournisseur interne la prestation en matière de TIC sera acquise le cas échéant.
3 Le Conseil fédéral décide du modèle de marché pour ce qui est des services standard.
4 Les dispositions de la législation sur les marchés publics sont réservées.
1 Les unités administratives sont responsables de la protection de leurs systèmes et applications en matière de TIC et des données à protéger (objets à placer sous protection).
2 Elles examinent régulièrement les objets à placer sous protection et prennent les mesures de sécurité nécessaires.
1 Toute unité administrative, organisation ou personne soumise à la présente ordonnance et ayant connaissance d'événements en rapport avec la sécurité des objets à placer sous protection en informe:
- a.
- l'Unité de pilotage informatique de la Confédération (UPIC);
- b.
- le délégué à la sécurité informatique de son département ou de la Chancellerie fédérale.
2 En fin d'année, les départements et la Chancellerie fédérale font rapport à l'UPIC sur la mise en oeuvre des mesures de sécurité.
3 Sur la base de ces rapports, l'UPIC informe chaque année le Conseil fédéral de l'état de la sécurité en matière de TIC.
Chapitre 42 Participation de la Confédération à l'harmonisation des applications spécialisées des domaines judiciaire et policier
1 Les services de la Confédération qui gèrent des applications spécialisées des domaines judiciaire et policier collaborent avec les cantons afin d'harmoniser ces applications.
2 Les modalités de cette collaboration, notamment la création d'organes communs à la Confédération et aux cantons, sont fixées dans des conventions conclues avec les cantons.
3 En vertu de la présente ordonnance et conformément aux conventions avec les cantons, les départements concernés peuvent conclure des conventions d'exécution pour les différents projets. Ce faisant, ils veillent à respecter les directives de la présente ordonnance.
4 Ils informent les organes communs des projets en cours et futurs dans le domaine des applications spécialisées des domaines judiciaire et policier et veillent à ce que ces dernières soient conformes aux décisions prises par les organes communs.
Le Conseil fédéral:
- a.
- définit la stratégie de la Confédération en matière de TIC;
- b.
- définit les services standard et leurs modèles de marché;
- c.
- surveille la mise en oeuvre de la stratégie de la Confédération en matière de TIC par le biais du contrôle de gestion et fixe des mesures si nécessaire;
- d.
- décide dans quels domaines il convient d'édicter ou d'adapter des directives concernant les TIC;
- e.
- édicte des instructions sur la sécurité en matière de TIC;
- f.
- décide, dans le cadre du processus budgétaire, de l'attribution aux projets en matière de TIC de ressources budgétisées de manière centralisée;
- g.
- décide en cas de divergences entre les départements, la Chancellerie fédérale et l'UPIC;
- h.
- autorise les dérogations à ses directives.
1 La Conférence des secrétaires généraux (CSG) évalue les dossiers sur les TIC au niveau de la Confédération du point de vue de la gestion opérationnelle des affaires (intérêt des processus d'affaires sous l'angle des TIC).
2 Elle participe notamment à la préparation des affaires importantes du Conseil fédéral relatives aux TIC.
1 Le DFF élabore la stratégie de la Confédération en matière de TIC.
2 Il édicte des ordonnances administratives dans le cadre de ses tâches.
1 L'UPIC a notamment pour tâches:
- a.
- de préparer les affaires du Conseil fédéral relatives aux TIC et d'exécuter les mandats qui en résultent et que lui confie le Conseil fédéral;
- b.
- de prendre acte des exigences des départements et de la Chancellerie fédérale, et de proposer au DFF, à l'intention du Conseil fédéral, les services standard correspondants, y compris le modèle de marché et la définition des rôles pour l'acquisition des prestations. Ce faisant, elle apporte la preuve de leur utilité économique;
- c.
- de gérer les services informatiques standard. Elle assume notamment la gestion des exigences, la planification, la responsabilité du service demandeur ou - lorsqu'il s'agit de bénéficiaires de prestations internes - les acquisitions, la planification des versions, la réglementation du financement général et le contrôle de la qualité des prestations fournies ainsi que la gestion des contrats;
- d.
- de définir les directives concernant les TIC au niveau de la Confédération, dans le cadre de la stratégie en matière de TIC définie par le Conseil fédéral. Elle recense à cet effet les exigences des départements et de la Chancellerie fédérale. Elle est responsable de la gestion financière des TIC au niveau de la Confédération, ainsi que des instruments d'aide au pilotage et à la gestion des TIC, notamment en matière de contrôle de gestion des TIC et de gestion de portefeuille des TIC;
- e.
- de décider de dérogations aux directives qu'elle a édictées;
- f.
- de statuer sur les propositions des départements, de la Chancellerie fédérale et des unités administratives relatives aux réglementations particulières concernant l'octroi de droits et de mandats importants du point de vue de la sécurité, notamment en rapport avec les pare-feu, les droits d'accès et les privilèges. En cas de risque pour l'administration fédérale, elle décide de mesures de sécurité spécifiques en matière de TIC;
- g.
- d'enquêter, en qualité d'expert et sur mandat d'un département ou de la Chancellerie fédérale, sur des événements supposés ou avérés en rapport avec la sécurité;
- h.
- de désigner le délégué à la sécurité informatique de la Confédération;
- i.
- de diriger la Centrale d'enregistrement et d'analyse pour la sûreté de l'information (MELANI) en collaboration avec le service de renseignements de la Confédération;
- j.
- de conduire des programmes en matière de TIC;
- k.
- d'assurer la direction opérationnelle de la cyberadministration suisse;
- l.
- de diriger le «Service des technologies de l'information dans les marchés publics» (art. 21 de l'O du 22 nov. 2006 sur l'organisation des marchés publics de la Confédération1).
2 Elle collabore avec les cantons, les organisations pertinentes, les milieux économiques et des partenaires étrangers; elle représente la Confédération dans les organisations concernées.
3 Elle institue des organes dans le cadre de ses tâches. Les départements et la Chancellerie fédérale désignent leurs représentants, qui doivent répondre aux exigences et disposer des connaissances spécialisées nécessaires.
4 Elle peut déléguer des décisions de portée mineure concernant notamment des dérogations à ses directives concernant les TIC, des exigences quant à l'exploitation des TIC ou le déroulement de projets et de programmes:
- a.
- aux départements et à la Chancellerie fédérale;
- b.
- à des organisations de programme ou de projet.
1 Le Conseil de l'informatique de la Confédération (CI) se compose du délégué au pilotage des TIC (art. 20a de l'O du 17 fév. 2010 sur l'organisation du Département fédéral des finances1) et d'un représentant nommément désigné de chaque département et de la Chancellerie fédérale. Le délégué en assure la présidence.
2 Un représentant de l'Administration fédérale des finances (AFF), du Préposé fédéral à la protection des données et à la transparence (PFPDT), des fournisseurs de prestations internes et des Services du Parlement peut y participer avec voix consultative. Il est possible de faire appel à d'autres personnes à titre consultatif si nécessaire.
3 Le CI est l'organe consultatif de l'UPIC pour les affaires relatives aux TIC nécessitant l'accord des départements et de la Chancellerie fédérale, notamment pour l'édiction de directives et l'approbation de dérogations à leur application.
1 Le Comité pour la sécurité informatique (C-SI) comprend les délégués à la sécurité informatique des départements et de la Chancellerie fédérale.
2 Un représentant du Contrôle fédéral des finances (CDF), du PFPDT et des Services du Parlement peut y participer avec voix consultative. Il est possible de faire appel à d'autres personnes à titre consultatif si nécessaire.
3 Le C-SI est dirigé par le délégué à la sécurité informatique de la Confédération.
4 Il est l'organe consultatif de l'UPIC pour toutes les questions de sécurité relatives aux TIC.
1 Le Comité de pilotage des processus de soutien (CPPS) se compose d'un représentant de l'UPIC et d'un représentant:
- a.
- de l'AFF;
- b.
- de l'Office fédéral des constructions et de la logistique (OFCL);
- c.
- de l'Office fédéral du personnel (OFPER);
- d.
- d'armasuisse (Logistique & Immobilier DDPS).
2 Le représentant de l'UPIC en assure la présidence.
3 Un représentant de l'Office fédéral de l'informatique et de la télécommunication et un représentant de la Base d'aide au commandement (BAC) y participent avec voix consultative.
4 Il coordonne les décisions entre l'AFF, l'OFPER, l'OFCL, la logistique et l'immobilier du DDPS et l'UPIC en matière d'appui, par les TIC, des processus de soutien utilisés dans l'ensemble de l'administration fédérale pour les finances, le personnel, les constructions, la logistique, le controlling des achats et la gestion immobilière.1
1 Les bénéficiaires de prestations sont les unités et les services mentionnés à l'art. 2.
2 Les bénéficiaires de prestations sont responsables du respect des directives concernant les TIC et des décisions du Conseil fédéral, du DFF, de l'UPIC et des départements ou de la Chancellerie fédérale dans leurs domaines de compétences respectifs.
1 Les bénéficiaires de prestations utilisent les TIC de manière économique et établissent un budget en conséquence.
2 Ils concluent des accords de projets et des conventions de prestations avec les fournisseurs de prestations et établissent un portefeuille de leurs études, projets et applications (portefeuille des TIC).
3 Ils garantissent, par un contrôle de gestion approprié, que les services des échelons supérieurs disposent en tout temps des informations nécessaires à la gestion et au pilotage.
1 Chaque département dispose d'un fournisseur de prestations interne au plus.
2 Les fournisseurs de prestations internes sont responsables du respect des directives concernant les TIC et des décisions du Conseil fédéral, du DFF, de l'UPIC et des départements ou de la Chancellerie fédérale dans leurs domaines de compétences respectifs.
1 Les fournisseurs de prestations internes fournissent aux bénéficiaires les prestations en matière de TIC conformément aux accords de projets et conventions de prestations conclus.
2 Ils tiennent une comptabilité analytique complète et présentent à l'UPIC, périodiquement et de manière transparente, les coûts et recettes relatifs aux services standard.
3 Ils garantissent la fourniture opérationnelle des services standard pour lesquels ils assument les rôles définis par le Conseil fédéral dans le modèle de marché. Dans ce contexte, ils sont responsables de l'exploitation, y compris la coordination opérationnelle avec les autres fournisseurs de prestations nécessaires.
1 La procédure d'acquisition des prestations en matière de TIC auprès de fournisseurs externes est régie par:
- a.
- la loi du 16 décembre 1994 sur les marchés publics1;
- b.
- l'ordonnance du 11 décembre 1995 sur les marchés publics2;
- c.
- l'ordonnance du 22 novembre 2006 sur l'organisation des marchés publics de la Confédération3;
- d.
- l'ordonnance du 5 décembre 2008 concernant la gestion de l'immobilier et la logistique de la Confédération4;
2 En cas d'acquisitions de prestations auprès d'un fournisseur externe, les directives concernant les TIC font partie intégrante du dossier d'appel d'offres.
3 Le bénéficiaire des prestations vérifie de façon appropriée le respect des directives concernant les TIC par le fournisseur externe.
Pour l'acquisition de prestations en matière de TIC auprès de fournisseurs externes, l'adjudicateur se conforme aux contrats-types existants.
1 Les fournisseurs externes de prestations informatiques peuvent obtenir l'accès à des données qui ne sont pas accessibles au public si les conditions suivantes sont réunies:
- a.
- cet accès est nécessaire pour la fourniture des prestations informatiques;
- b.
- l'autorité responsable des données a donné son accord écrit;
- c.
- il a été pris les mesures contractuelles, organisationnelles et techniques garantissant que les données ne seront pas accessibles à des tiers.
2 Si l'autorité responsable des données donne elle-même l'accès aux données, il incombe à l'échelon hiérarchique supérieur de donner l'accord prévu à l'al. 1, let. b.
1 La budgétisation et la comptabilisation des ressources affectées aux TIC s'effectuent en principe de manière décentralisée, conformément aux dispositions de la loi du 7 octobre 2005 sur les finances1.
2 L'UPIC gère des ressources budgétisées de manière centralisée pour la fourniture de services standard. En règle générale, l'exploitation des services standard est budgétisée de manière décentralisée par les bénéficiaires de prestations et leur est facturée en fonction des prestations acquises. Les bénéficiaires de prestations tiennent compte des aspects quantitatifs et qualitatifs des services standard dans le cadre des accords de niveau de service (conventions de prestations).
3 L'UPIC gère des ressources budgétisées de manière centralisée pour des projets informatiques qui, selon la planification, ne peuvent pas être financés par les unités administratives.
4 Elle gère des ressources budgétisées de manière centralisée pour des projets non planifiables.
1 L'audit de l'informatique obéit aux principes de la surveillance financière au sein de la Confédération.
2 Il est effectué par le CDF.
3 Les départements et la Chancellerie fédérale peuvent proposer au CDF certains objets pour l'audit de l'informatique.
2 La modification du droit en vigueur est réglée dans l'annexe.
La présente ordonnance entre en vigueur le 1er janvier 2012.
(art. 29, al. 2)