Section 3 Sécurité des moyens informatiques

¹Pour garantir la sécurité de l’information lors de l’utilisation de moyens informatiques, les autorités soumises à la présente loi élaborent une procédure de sécurité.

²La procédure de sécurité définit en particulier:

a.

les critères permettant d’évaluer le besoin de protection des informations avant la mise en service des moyens informatiques;

b.

les modalités de mise en œuvre des mesures de sécurité et leur contrôle;

c.

la compétence d’autoriser les moyens informatiques;

d.

la procédure à suivre en cas de modification des risques.

³L’exécution de la procédure de sécurité incombe aux autorités et organisations soumises à la présente loi qui décident de l’utilisation de moyens informatiques.

¹Les moyens informatiques relèvent de la catégorie de sécurité «protection de base», à moins qu’ils relèvent d’une catégorie de sécurité supérieure.

²Ils relèvent de la catégorie de sécurité «protection élevée» dans les cas suivants:

a.

une violation de la confidentialité, de la disponibilité, de l’intégrité ou de la traçabilité des informations qu’ils traitent risque de nuire considérablement aux intérêts définis à l’art. 1, al. 2;

b.

leur utilisation abusive ou leur perturbation sont susceptibles de nuire considérablement aux intérêts définis à l’art. 1, al. 2.

³Ils relèvent de la catégorie de sécurité «protection très élevée» dans les cas suivants:

a.

une violation de la confidentialité, de la disponibilité, de l’intégrité ou de la traçabilité des informations qu’ils traitent risque de nuire gravement aux intérêts définis à l’art. 1, al. 2;

b.

leur utilisation abusive ou leur perturbation sont susceptibles de nuire gravement aux intérêts définis à l’art. 1, al. 2.

¹Les autorités soumises à la présente loi fixent les exigences de sécurité minimales applicables aux catégories de sécurité définies à l’art. 17.

²Tous les moyens informatiques doivent satisfaire aux exigences minimales de la catégorie de sécurité «protection de base».

³L’efficacité des mesures applicables aux moyens informatiques de la catégorie de sécurité «protection très élevée» doit faire l’objet de contrôles périodiques.

¹Les autorités et organisations soumises à la présente loi garantissent la sécurité des moyens informatiques qu’elles exploitent pour elles-mêmes ou sur mandat d’une autre autorité ou organisation.

²Les art. 57i à 57q LOGA¹⁸ s’appliquent par analogie au traitement des données personnelles dans le cadre de la surveillance des réseaux.