Chapitre 1 Dispositions générales

¹La présente loi vise:

a.

à garantir la sécurité du traitement des informations relevant de la compétence de la Confédération et la sécurité de ses moyens informatiques;

b.

à accroître la capacité de résilience de la Suisse face aux cybermenaces.⁵

²Elle vise ainsi à protéger les intérêts publics suivants:

a.

la capacité de décision et d’action des autorités et organisations de la Confédération;

b.

la sécurité intérieure et extérieure de la Suisse;

c.

les intérêts de la politique extérieure de la Suisse;

d.

les intérêts économiques, financiers et monétaires de la Suisse;

e.

l’accomplissement des obligations légales et contractuelles des autorités et organisations de la Confédération en matière de protection des informations.

¹La présente loi s’applique aux autorités suivantes:

a.

l’Assemblée fédérale;

b.

le Conseil fédéral;

c.

les tribunaux de la Confédération;

d.

le Ministère public de la Confédération et son autorité de surveillance;

e.

la Banque nationale suisse.

²Elle s’applique également aux organisations suivantes:

a.

les Services du Parlement;

b.

l’administration fédérale;

c.

les services administratifs des tribunaux de la Confédération;

d.

l’armée;

e.

les organisations visées à l’art. 2, al. 4, de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)⁶, pour leurs tâches administratives.

³Le Conseil fédéral peut restreindre le champ d’application de la présente loi pour les organisations au sens de l’art. 2, al. 3 et 4, LOGA à celles qui:

a.

exercent des activités sensibles, ou

b.

recourent ou accèdent à des moyens informatiques de la Confédération dans l’accomplissement de leurs tâches.

⁴Il peut limiter à certaines dispositions de la présente loi le champ d’application au sens de l’al. 3. Il tient compte à cet égard de l’autonomie d’exécution des organisations concernées selon les actes organisationnels qui les régissent.

⁵Les organisations de droit public ou de droit privé qui exploitent des infrastructures critiques sans être visées par les al. 1 à 3 sont soumises aux art. 73a à 79.⁷ La législation spéciale peut prévoir que d’autres dispositions de la présente loi leur sont applicables.

¹Ne s’appliquent aux cantons que les dispositions relatives:

a.

aux informations classifiées, lorsque les cantons traitent des informations classifiées de la Confédération, et

b.

à la sécurité des moyens informatiques, lorsque les cantons accèdent à des moyens informatiques de la Confédération.

²Ces dispositions ne s’appliquent pas lorsque les cantons garantissent une sécurité au moins équivalente de l’information.

¹La loi du 17 décembre 2004 sur la transparence (LTrans)⁸ prime la présente loi.⁹

^1bisLes informations provenant de tiers dont l’Office fédéral de la cybersécurité (OFCS) prend connaissance dans son activité de réception et d’analyse des signalements conformément au chap. 5 ne peuvent être rendues accessibles en vertu de la LTrans. Les autorités, les organisations et les personnes visées à l’art. 2, al. 1, LTrans ne sont pas considérées comme des tiers.¹⁰

²Lorsque la protection d’informations est également réglée dans d’autres lois fédérales, les dispositions de la présente loi s’appliquent à titre complémentaire.

On entend par:

a.

moyen informatique: moyen relevant des techniques de l’information et de la communication, notamment les applications, les systèmes d’information et les fichiers, ainsi que les installations, les produits et les services servant au traitement électronique des informations;

b.

activité sensible:

1.

le traitement d’informations classifiées «confidentiel» ou «secret»,

2.

l’administration, l’exploitation, la maintenance et le contrôle de moyens informatiques relevant des catégories de sécurité «protection élevée» ou «protection très élevée»,

3.

l’accès à des zones de sécurité, en particulier aux zones de protection 2 ou 3 d’un ouvrage au sens de la législation sur la protection des ouvrages militaires;

c.

infrastructure critique: l’approvisionnement en eau potable et en énergie, les infrastructures d’information, de communication et de transports ainsi que d’autres installations, processus et systèmes essentiels au fonctionnement de l’économie et au bien-être de la population;

d.¹¹

cyberincident: un événement survenant lors de l’utilisation de moyens informatiques et ayant pour conséquence une atteinte à la confidentialité, à la disponibilité ou à l’intégrité d’informations ou à la traçabilité de leur traitement;

e.¹²

cyberattaque: un cyberincident provoqué intentionnellement;

f.¹³

cybermenace: toute circonstance ou tout événement pouvant entraîner un cyberincident;

g.¹⁴

vulnérabilité: une cybermenace due à des failles ou à des erreurs dans les moyens informatiques.