Chapitre 6 Organisation et exécution

¹Les autorités et organisations suivantes désignent, chacune dans son domaine de compétence, un préposé à la sécurité de l’information et un suppléant:

a.

le Conseil fédéral;

b.

la Délégation administrative de l’Assemblée fédérale;

c.

les tribunaux de la Confédération;

d.

le Ministère public de la Confédération;

e.

la Banque nationale suisse;

f.

les départements et la Chancellerie fédérale.

²Les préposés à la sécurité de l’information accomplissent les tâches suivantes:

a.

conseiller et aider dans leur domaine les services compétents dans l’accomplissement des tâches et l’exécution des obligations qui leur incombent en vertu de la présente loi;

b.

diriger, sur mandat de l’autorité ou de l’organisation à laquelle ils sont subordonnés, l’organisation spécialisée chargée de la sécurité de l’information et la gestion des risques;

c.

vérifier, sur mandat de l’autorité ou de l’organisation à laquelle ils sont subordonnés, le respect des prescriptions relatives à la sécurité de l’information, en rendre compte et proposer les mesures qui s’imposent;

d.

signaler, sur une base volontaire, les incidents dans le domaine de la sécurité de l’information au service spécialisé de la Confédération pour la sécurité de l’information et aux services visés à l’art. 74, al. 5.

³Aucune tâche susceptible d’entrer en conflit avec l’une des tâches visées à l’al. 2 ne peut être confiée aux préposés à la sécurité de l’information.

¹La Conférence des préposés à la sécurité de l’information se compose des préposés à la sécurité de l’information au sens de l’art. 81, al. 1, de deux représentants des cantons et du Préposé fédéral à la protection des données et à la transparence.

²Elle accomplit les tâches suivantes:

a.

promouvoir l’exécution uniforme de la présente loi;

b.

contribuer à la normalisation des exigences et mesures visées à l’art. 85;

c.

conseiller le service spécialisé de la Confédération pour la sécurité de l’information sur tous les aspects de la coordination de l’exécution et sur tous les points d’importance stratégique;

d.

veiller à l’échange d’informations, notamment sur la gestion des risques et sur les problèmes et les incidents dans le domaine de la sécurité de l’information;

e.

assurer la coordination avec les autres services qui accomplissent des tâches dans le domaine de la sécurité de l’information.

³Elle édicte son règlement interne.

¹Le service spécialisé de la Confédération pour la sécurité de l’information:

a.

conseille et soutient les autorités soumises à la présente loi, leurs préposés à la sécurité de l’information et les cantons dans l’exécution de la présente loi;

b.

peut recommander des mesures si la sécurité de l’information de la Confédération est menacée;

c.

peut mener des contrôles à la demande des autorités soumises à la présente loi;

d.

peut évaluer, à la demande des autorités soumises à la présente loi, les risques liés à l’utilisation de nouvelles technologies;

e.

peut examiner, à la demande des autorités et organisations soumises à la présente loi, l’adéquation de leurs processus, moyens, installations, objets et prestations par rapport aux exigences en matière de sécurité de l’information;

f.

peut gérer et coordonner, à la demande des autorités soumises à la présente loi, les questions liées à la sécurité de l’information lorsque des projets importants impliquent plusieurs autorités;

g.

sert d’interlocuteur pour les contacts spécialisés avec des services nationaux, étrangers ou internationaux;

h.

rend compte chaque année au Conseil fédéral de la situation en matière de sécurité de l’information au sein de la Confédération.

²Le préposé du Conseil fédéral à la sécurité de l’information dirige le service spécialisé de la Confédération pour la sécurité de l’information.

³Le Conseil fédéral règle l’organisation du service spécialisé de la Confédération pour la sécurité de l’information. Il peut le charger d’autres tâches pour le compte de l’administration fédérale ou de l’armée.

¹Les autorités soumises à la présente loi édictent les dispositions d’exécution. Le Conseil fédéral peut charger la Chancellerie fédérale d’édicter des dispositions d’exécution pour les affaires du Conseil fédéral.

²Les compétences que la présente loi donne aux autorités soumises à la présente loi sont exercées, pour l’Assemblée fédérale, par la Délégation administrative de l’Assemblée fédérale.

³Les dispositions d’exécution du Conseil fédéral s’appliquent par analogie aux autorités soumises à la présente loi si elles n’édictent pas leurs propres dispositions d’exécution.

¹Le Conseil fédéral fixe des exigences standard en matière de sécurité et définit des mesures standard en matière d’organisation, de personnel et de construction, de même que sur le plan technique, pour assurer la sécurité de l’information; il suit à cet effet l’avancement des connaissances et de la technique.

²Il peut déléguer cette tâche.

³Les exigences et mesures standard du Conseil fédéral ont valeur de recommandations, sauf si les autorités soumises à la présente loi les déclarent obligatoires.

¹Les cantons veillent au contrôle périodique de la mise en œuvre et de l’efficacité de la sécurité de l’information visée à l’art. 3.

²Ils informent le service spécialisé de la Confédération pour la sécurité de l’information des résultats des contrôles visés à l’al. 1.

³Ils désignent le service qui est l’interlocuteur des autorités soumises à la présente loi en matière de sécurité de l’information.

⁴Le Conseil fédéral définit les cas dans lesquels les cantons peuvent recourir aux prestations des services spécialisés visés par la présente loi afin d’assurer leur propre sécurité de l’information. Ces prestations sont soumises à des émoluments. Leur montant est fixé par le Conseil fédéral.

Le Conseil fédéral peut conclure des traités internationaux en matière de sécurité de l’information portant sur les objets suivants:

a.

l’échange d’informations sur des menaces, des vulnérabilités et des incidents dans le domaine de la sécurité de l’information, en particulier dans les infrastructures critiques;

b.

l’échange d’informations classifiées;

c.

l’exécution des contrôles de sécurité relatifs aux personnes et des procédures de sécurité relatives aux entreprises;

d.

la reconnaissance des déclarations de sécurité;

e.

l’exécution de contrôles.

¹Le Conseil fédéral veille à ce que l’exécution, l’adéquation, l’efficacité et l’économicité de la présente loi soient contrôlés périodiquement par un service indépendant, en particulier par le Contrôle fédéral des finances.

²Il en rend compte régulièrement aux commissions compétentes de l’Assemblée fédérale.