Document ID: /curiavista/filtered/00000_business.jsonl.gz/260783

<h2>SubmittedText<h2><p>En 2023, plusieurs prestataires informatiques de la Confédération ont été victimes de cyberattaques et des données parfois sensibles ont été volées. En été&nbsp;2023, la société Xplain a été victime d’une cyberattaque. On a depuis appris que la société Concevis avait aussi subi une attaque dévastatrice au rançongiciel. Les autorités se sont vu reprocher d’avoir négligé pendant des années la sécurité informatique de leurs prestataires et de ne pas avoir fait valoir leur droit de les auditer.</p><p>&nbsp;</p><p>Dans ce contexte, je prie le Conseil fédéral de répondre aux questions suivantes&nbsp;:</p><p>&nbsp;</p><ol><li>Quelles sont les mesures d’urgence qui ont déjà été prises en ce qui concerne les prestataires informatiques&nbsp;?</li><li>Où en sont les travaux de l’état-major politico-stratégique «&nbsp;Fuite de données&nbsp;» (EMPS-F) et l’enquête administrative menée par le cabinet OBERSON ADELS&nbsp;SA&nbsp;?&nbsp;</li><li>Quelles directives permettront désormais au Conseil fédéral de s’assurer que les unités administratives qui achètent des prestations informatiques font valoir leur droit d’audit&nbsp;?</li><li>Que pense le Conseil fédéral de la possibilité d’obliger les unités administratives qui ont recours à des services informatiques externes à auditer leurs prestataires&nbsp;? Comment mettrait-il en œuvre une telle obligation&nbsp;?</li><li>A-t-il défini des critères uniformes en matière de sécurité informatique pour mettre fin à la collaboration avec des prestataires défaillants&nbsp;?</li></ol><h2>FederalCouncilResponseText<h2><div><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial">Question</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">1</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">: En juin 2023, le Conseil fédéral a chargé la Chancellerie fédérale et les départements d’examiner leurs contrats portant sur des prestations informatiques sous l’angle de la cybersécurité. Par ailleurs, il a chargé le DFF de compléter les conditions générales de la Confédération et la clause des contrats types de la Conférence des achats de la Confédération concernant les cybermenaces et de les adapter à la nouvelle loi sur la sécurité de l’information (LSI</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">; RS</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">128) d’ici à la fin de l’année 2023. Toujours en juin, le DFJP a envoyé une lettre à ses principaux fournisseurs de prestations informatiques externes les rappelant à leurs devoirs de garantir la protection informatique de base et leur demandant des renseignements à ce sujet. Pour compléter cette démarche, l’Office fédéral des constructions et de la logistique (OFCL) et l’Office fédéral de l’armement (armasuisse) ont fait parvenir une lettre à tous les principaux fournisseurs de prestations informatiques de l’administration fédérale pour les informer en plus de l’examen des contrats demandé par le Conseil fédéral.</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial">À fin 2023, environ 7000</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">contrats avaient été examinés. Au moins 2200</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">contrats ont été considérés comme déterminants pour la sécurité. La moitié d’entre eux contenait des dispositions appropriées sur le plan de la cybersécurité. Dans l’autre moitié, environ 600</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">contrats, qui n’arrivent pas à échéance dans les prochains mois, doivent être examinés en détail et adaptés le cas échéant.</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial; -aw-import:ignore">&#xa0;</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial">Question</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">2</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">: Les travaux de l’état-major politico-stratégique «</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">Fuite de données</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">» (EMPS-F) et de l’enquête administrative menée par le cabinet OBERSON ADELS</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">SA sont en cours. Ce dernier élaborera un rapport adressé au Conseil fédéral d’ici à la fin mars 2024. Le Conseil fédéral, sur la base des résultats de ce rapport, se prononcera sur la suite à donner.</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial; -aw-import:ignore">&#xa0;</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial">Question</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">3</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">: La nouvelle loi sur la sécurité de l’information, en vigueur depuis le 1</span><span style="line-height:150%; font-family:Arial; font-size:7.33pt; vertical-align:super">er</span><span style="line-height:150%; font-family:Arial; font-size:7.33pt; vertical-align:super">&#xa0;</span><span style="font-family:Arial">janvier 2024, donne à la Confédération de nouvelles possibilités pour assurer le respect des directives relatives à la sécurité de l’information et la réalisation d’audits.</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial">Selon l’art.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">9 LSI et l’art.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">10, al.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">3, de l’ordonnance sur la sécurité de l’information (OSI</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">; RS</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">128.1), les contrats passés avec des prestataires informatiques doivent fixer des exigences claires en matière de sécurité de l’information et de son contrôle ou un droit d’audit pour la Confédération. </span><a name="_Hlk157182369"><span style="font-family:Arial">Des clauses types correspondantes sont en cours d’élaboration par le Secrétariat d’État à la politique de sécurité (SEPOS) et par armasuisse. </span></a><span style="font-family:Arial">Elles contiennent des exigences minimales qui devront être prises en compte dans tous les contrats ainsi que des exigences supplémentaires, basées sur les risques, qui seront déterminées par le contrat et les données à traiter. Il incombe aux unités administratives de contrôler en fonction du risque le respect des directives auprès de leurs fournisseurs. Selon l’art.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">13, al.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">1, OSI, elles fixent dans une planification annuelle de contrôle et d’audit les contrôles qu’elles doivent effectuer.</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial">Dans le cadre de l’attribution de mandats sensibles, les entreprises doivent déjà se soumettre à une procédure de sécurité relative aux entreprises (PSE) lors de l’adjudication et elles ne pourront exécuter le mandat, selon l’art.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">62 LSI, qu’une fois qu’elles auront obtenu une déclaration de sécurité par le service spécialisé PSE. En application de l’art.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">64 LSI, le service spécialisé PSE inspecte régulièrement ces entreprises. Il peut aussi demander des audits ou les réaliser lui-même.</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial; -aw-import:ignore">&#xa0;</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial">Question</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">4</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">: L’introduction d’une obligation générale d’audit pour les unités organisationnelles de l’administration fédérale qui ont recours à des prestations informatiques externes serait disproportionnée et n’est pas prévue par la loi. Les prestations informatiques ne comportent pas toutes des mandats sensibles. Les prestataires informatiques qui exécutent des mandats sensibles sont cependant contrôlés périodiquement par le service spécialisé PSE rattaché au SEPOS.</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial; -aw-import:ignore">&#xa0;</span></p><p style="margin-top:0pt; margin-bottom:0pt; line-height:150%; widows:0; orphans:0; font-size:11pt"><span style="font-family:Arial">Question</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">5</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">: Le Conseil fédéral n’a pas défini de critères uniformes en matière de sécurité informatique pour mettre fin à la collaboration avec des prestataires informatiques défaillants. En principe, il est de la compétence de l’unité administrative qui achète d’évaluer les risques et d’en tirer les conséquences, y compris de révoquer l’adjudication au sens de l’art.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">44, al.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">1, let.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">h, de la loi fédérale sur les marchés publics (LMP</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">; RS</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">172.056.1). En cas de non-respect des obligations qui s’appliquent aux mandats sensibles, le prestataire peut se voir retirer la déclaration de sécurité relative aux entreprises accordée précédemment par le service spécialisé PSE (art.</span><span style="font-family:Arial">&#xa0;</span><span style="font-family:Arial">67 LSI).</span></p></div>