Chapitre 2 Mesures générales

¹Les autorités et organisations soumises à la présente loi veillent à ce que le besoin de protection des informations relevant de leur compétence soit évalué en fonction de l’atteinte potentielle aux intérêts définis à l’art. 1, al. 2.

²Elles veillent à ce que les informations, en fonction de leur besoin de protection:

a.

ne soient accessibles qu’aux personnes autorisées (confidentialité);

b.

soient disponibles en cas de besoin (disponibilité);

c.

ne puissent être modifiées sans droit ou par mégarde (intégrité);

d.

soient traitées de manière à être traçables (traçabilité).

³Elles veillent à ce que les moyens informatiques auxquels elles recourent pour accomplir leurs tâches légales soient protégés contre les utilisations abusives et les perturbations.

⁴Elles tiennent compte à cet égard des principes de la proportionnalité, de l’économicité et de la simplicité d’emploi.

¹Les autorités soumises à la présente loi veillent, chacune dans son domaine de compétence, à ce que la sécurité de l’information soit organisée, mise en œuvre et contrôlée conformément à l’état des connaissances scientifiques et techniques.

²Elles fixent:

a.

leurs objectifs en matière de sécurité de l’information;

b.

les principes de gestion des risques;

c.

les conséquences d’une violation des prescriptions.

¹Les autorités et organisations soumises à la présente loi veillent, chacune dans son domaine de compétence, à ce que les risques en matière de sécurité de l’information soient constamment évalués.

²Elles prennent les mesures nécessaires pour éliminer les risques ou les ramener à un niveau acceptable.

³Les risques jugés acceptables doivent être formellement acceptés.

¹Lorsque les autorités et organisations soumises à la présente loi collaborent avec des tiers, elles veillent à ce que les exigences et mesures prévues par la présente loi soient reprises dans les accords et les contrats qu’elles concluent à cet effet.

²Elles veillent à ce que la mise en œuvre des mesures soit contrôlée de manière adéquate.

¹Les autorités et organisations soumises à la présente loi veillent à ce que les violations de la sécurité de l’information soient décelées rapidement, leurs causes clarifiées et leurs conséquences limitées au maximum.

²Les autorités soumises à la présente loi veillent à établir des plans d’action dans l’éventualité de graves violations de la sécurité de l’information susceptibles de menacer l’accomplissement de tâches indispensables de la Confédération; elles organisent des exercices à cet effet.

¹Les autorités et organisations peuvent traiter les données personnelles utiles à la sécurité de l’information, notamment dans les systèmes de gestion de la sécurité des informations prévus à cet effet (applications SGSI).

²Elles peuvent échanger entre elles des données personnelles au sens de l’al. 1 ainsi qu’avec des organisations nationales, internationales ou étrangères de droit public, si les conditions suivantes sont remplies:

a.

cela est utile à la sécurité de l’information;

b.

cela n’enfreint aucune obligation légale ou contractuelle de garder le secret;

c.

les dispositions de la législation fédérale sur la protection des données sont respectées;

d.

l’organisation qui reçoit les données assume des tâches légales dans le domaine de la sécurité de l’information qui correspondent à celles de l’autorité ou de l’organisation qui fait la communication.

³Elles peuvent relier entre eux leurs systèmes d’information, notamment les applications SGSI, et échanger des données automatiquement ou sur demande par l’intermédiaire d’interfaces.

⁴Elles peuvent administrer des formulaires électroniques servant à soumettre ou à traiter des demandes et des signalements dans le domaine de la sécurité de l’information et les relier à leurs applications SGSI ou à d’autres systèmes d’information.

⁵Dans la mesure où cela est nécessaire pour gérer des violations de la sécurité de l’information ou pour éliminer des vulnérabilités, elles peuvent effectuer les actions suivantes avec des données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)¹⁶ relatives à des personnes qui sont impliquées dans ces violations ou ces vulnérabilités ou qui sont ou pourraient être concernées par elles:

a.

les traiter;

b.

les échanger entre elles ainsi qu’avec des organisations nationales, internationales ou étrangères de droit public, pour autant que la condition visée à l’al. 2, let. b, soit remplie.

⁶Elles peuvent conserver les données sensibles jusqu’à deux ans après la gestion des violations de la sécurité de l’information ou l’élimination des vulnérabilités, mais dix ans au plus.

⁷L’archivage des données est régi par les dispositions de la législation relative à l’archivage.

⁸Le traitement de données personnelles par l’OFCS¹⁷ dans le cadre de l’accomplissement de ses tâches est régi par les art. 75 à 79.

¹Les autorités et organisations soumises à la présente loi veillent à ce que les informations qui remplissent les critères définis à l’art. 13 soient classifiées.

²La classification doit se limiter au strict nécessaire et être si possible temporaire.

¹Les autorités soumises à la présente loi désignent les personnes et services compétents pour classifier les informations (auteurs de la classification).

²Seuls l’auteur de la classification ou le service auquel il est subordonné peuvent modifier ou supprimer une classification.

³Le Conseil fédéral règle la déclassification des archives.

¹Les informations susceptibles de nuire aux intérêts définis à l’art. 1, al. 2, let. a à d, si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «interne».

²Les informations susceptibles de nuire considérablement aux intérêts définis à l’art. 1, al. 2, let. a à d, si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «confidentiel».

³Les informations susceptibles de nuire gravement aux intérêts définis à l’art. 1, al. 2, let. a à d, si elles sont portées à la connaissance d’une personne non autorisée sont classifiées «secret».

¹Seules peuvent accéder aux informations classifiées les personnes qui offrent toutes les garanties qu’elles les traiteront correctement et qui remplissent l’une des conditions suivantes:

a.

elles ont besoin des informations en question pour accomplir une tâche légale;

b.

elles disposent d’une autorisation d’accès qui leur a été conférée contractuellement et ont besoin des informations en question pour accomplir les tâches qui leur ont été confiées.

²L’accès aux archives classifiées est réglé par la législation sur l’archivage.

³Les limitations d’accès prévues dans des traités internationaux au sens de l’art. 87 sont réservées.

¹L’accès à des informations classifiées relevant de l’Assemblée fédérale, des Services du Parlement, des tribunaux et des ministères publics est régi par le droit de procédure applicable.

²Avant toute décision donnant accès à une information au sens de l’al. 1, l’organe parlementaire ou le tribunal compétent peut consulter l’auteur de la classification.

¹Pour garantir la sécurité de l’information lors de l’utilisation de moyens informatiques, les autorités soumises à la présente loi élaborent une procédure de sécurité.

²La procédure de sécurité définit en particulier:

a.

les critères permettant d’évaluer le besoin de protection des informations avant la mise en service des moyens informatiques;

b.

les modalités de mise en œuvre des mesures de sécurité et leur contrôle;

c.

la compétence d’autoriser les moyens informatiques;

d.

la procédure à suivre en cas de modification des risques.

³L’exécution de la procédure de sécurité incombe aux autorités et organisations soumises à la présente loi qui décident de l’utilisation de moyens informatiques.

¹Les moyens informatiques relèvent de la catégorie de sécurité «protection de base», à moins qu’ils relèvent d’une catégorie de sécurité supérieure.

²Ils relèvent de la catégorie de sécurité «protection élevée» dans les cas suivants:

a.

une violation de la confidentialité, de la disponibilité, de l’intégrité ou de la traçabilité des informations qu’ils traitent risque de nuire considérablement aux intérêts définis à l’art. 1, al. 2;

b.

leur utilisation abusive ou leur perturbation sont susceptibles de nuire considérablement aux intérêts définis à l’art. 1, al. 2.

³Ils relèvent de la catégorie de sécurité «protection très élevée» dans les cas suivants:

a.

une violation de la confidentialité, de la disponibilité, de l’intégrité ou de la traçabilité des informations qu’ils traitent risque de nuire gravement aux intérêts définis à l’art. 1, al. 2;

b.

leur utilisation abusive ou leur perturbation sont susceptibles de nuire gravement aux intérêts définis à l’art. 1, al. 2.

¹Les autorités soumises à la présente loi fixent les exigences de sécurité minimales applicables aux catégories de sécurité définies à l’art. 17.

²Tous les moyens informatiques doivent satisfaire aux exigences minimales de la catégorie de sécurité «protection de base».

³L’efficacité des mesures applicables aux moyens informatiques de la catégorie de sécurité «protection très élevée» doit faire l’objet de contrôles périodiques.

¹Les autorités et organisations soumises à la présente loi garantissent la sécurité des moyens informatiques qu’elles exploitent pour elles-mêmes ou sur mandat d’une autre autorité ou organisation.

²Les art. 57i à 57q LOGA¹⁸ s’appliquent par analogie au traitement des données personnelles dans le cadre de la surveillance des réseaux.

¹Les autorités et organisations soumises à la présente loi veillent à ce que les personnes qui accèdent à des informations, des moyens informatiques, des locaux et d’autres infrastructures de la Confédération:

a.

soient choisies avec soin;

b.

soient identifiées en fonction de la sensibilité de l’activité concernée;

c.

reçoivent une formation et une formation continue adaptées à leur niveau de responsabilité;

d.

soient le cas échéant tenues au maintien du secret.

²Elles peuvent recourir à des méthodes biométriques de vérification pour identifier les personnes, si la sensibilité de l’activité concernée le requiert. Les données biométriques sont détruites à l’échéance de l’autorisation d’accès.

³Elles peuvent en outre utiliser systématiquement le numéro AVS au sens de l’art. 50c de la loi fédérale du 20 décembre 1946 sur l’assurance-vieillesse et survivants¹⁹ comme identificateur de personnes.

¹Les autorités et organisations soumises à la présente loi veillent à ce que des autorisations d’accès à des informations, des moyens informatiques, des locaux ou d’autres infrastructures de la Confédération ne soient délivrées qu’aux personnes qui en ont besoin pour accomplir leurs tâches.

²Les autorisations sont retirées à la fin de l’engagement ou du contrat ou dès que la tâche concernée a été exécutée. Elles peuvent être bloquées ou retirées sans préavis lorsque des indices concrets donnent à penser que la sécurité est menacée.

Les autorités et organisations soumises à la présente loi veillent à assurer une protection physique adéquate des informations et moyens informatiques dont elles sont responsables contre les utilisations abusives et les perturbations.

¹Les autorités et organisations soumises à la présente loi peuvent instituer des zones de sécurité dans des locaux ou des espaces dans lesquels:

a.

des informations classifiées «confidentiel» ou «secret» sont fréquemment traitées, ou

b.

des moyens informatiques des catégories de sécurité «protection élevée» ou «protection très élevée» sont exploités.

²Elles peuvent prendre les mesures suivantes:

a.

interdire certains objets, en particulier les appareils de prises de vue et de son;

b.

surveiller les secteurs sensibles avec des appareils de prises de vue et de son;

c.

procéder à des fouilles;

d.

procéder à des contrôles des locaux inopinés, même en l’absence des employés.

³Elles peuvent exploiter, conformément à l’art. 34, al. 1^ter, de la loi du 30 avril 1997 sur les télécommunications (LTC)²⁰, une installation perturbatrice dans les zones de sécurité où des informations classifiées «secret» sont fréquemment traitées ou des moyens informatiques de la catégorie de sécurité «protection très élevée» sont exploités.²¹

⁴Les dispositions particulières relatives aux zones de sécurité établies en vertu des traités internationaux au sens de l’art. 87 et les dispositions applicables aux zones de protection des ouvrages au sens de la législation sur la protection des ouvrages militaires sont réservées.

¹Les autorités soumises à la présente loi peuvent exploiter des systèmes permettant une gestion centralisée des données servant à identifier les personnes qui ont accès aux informations, aux moyens informatiques, aux locaux et à d’autres infrastructures (systèmes de gestion des données d’identification).

²Les systèmes de gestion des données d’identification vérifient l’identité et les profils d’accès des personne, des machines et des systèmes. Ils transmettent le résultat aux systèmes d’information raccordés pour la vérification des autorisations.

³Les autorités soumises à la présente loi désignent un service responsable pour chaque système de gestion des données d’identification.

¹Les systèmes de gestion des données d’identification permettent d’échanger des données et de les harmoniser avec les systèmes d’information raccordés, avec les répertoires de personnes et d’utilisateurs et avec d’autres systèmes de gestion des données d’identification exploités par des autorités soumises à la présente loi.

²L’échange et l’harmonisation sont limités aux données dont le traitement est autorisé dans le système concerné.

Les autorités soumises à la présente loi édictent des dispositions d’exécution notamment dans les domaines suivants:

a.

la protection et la sécurité des données;

b.

les données personnelles traitées;

c.

l’échange et l’harmonisation des données avec d’autres systèmes;

d.

la journalisation et la transmission des données de journalisation aux systèmes d’information raccordés;

e.

le contrôle périodique, réalisé par un organe externe, du traitement des données personnelles.