Les discussions sur la s\u00e9curit\u00e9 informatique des infrastructures critiques devraient se concentrer davantage sur l'espionnage industriel. La num\u00e9risation croissante de la soci\u00e9t\u00e9 va \u00eatre \u00e0 la source d'une hausse fulgurante de la masse de donn\u00e9es sensibles. En particulier, nos industries sont de plus en plus connect\u00e9es et automatis\u00e9es. Le flux de donn\u00e9es g\u00e9n\u00e9r\u00e9 ne peut pas ou que peu \u00eatre contr\u00f4l\u00e9, ce qui fait des entreprises concern\u00e9es des cibles tout indiqu\u00e9es pour l'espionnage industriel. De telles attaques peuvent affecter notre position dans le monde de la science et de l'innovation, et par voie de cons\u00e9quence mettre en p\u00e9ril des emplois en Suisse. Vu les liens \u00e9troits qui unissent les entreprises \u00e9trang\u00e8res avec le gouvernement et l'arm\u00e9e de leurs pays d'origine, cette situation soul\u00e8ve des questions essentielles sur la prosp\u00e9rit\u00e9 et la s\u00e9curit\u00e9 de la Suisse. D'autres pays industrialis\u00e9s, tels que l'Allemagne, les \u00c9tats-Unis, l'Australie ou plus r\u00e9cemment le Japon, interdisent dans certains cas de se fournir ou d'acheter en masse aupr\u00e8s de certains \u00c9tats \u00e9trangers. Il est urgent d'avoir en Suisse une discussion sur ces menaces et d'\u00e9tudier des mesures de protection. Dans ce contexte, je prie le Conseil f\u00e9d\u00e9ral de r\u00e9pondre aux questions suivantes.
1. Quelles possibilit\u00e9s la l\u00e9gislation actuelle offre-t-elle \u00e0 la Conf\u00e9d\u00e9ration pour contrecarrer l'influence des fournisseurs \u00e9trangers sur nos infrastructures informatiques critiques\u00a0?
2. Quelles mesures suppl\u00e9mentaires sont envisageables pour limiter l'influence grandissante des entreprises \u00e9trang\u00e8res sur nos infrastructures informatiques critiques\u00a0?
3. \u00c0 quel point nos r\u00e9seaux de t\u00e9l\u00e9communications fixes et mobiles sont-ils prot\u00e9g\u00e9s contre la criminalit\u00e9 \u00e9conomique, en sachant que les \u00e9quipements actuels proviennent tous de l'\u00e9tranger\u00a0?
4. La r\u00e9vision de la loi sur les t\u00e9l\u00e9communications pr\u00e9voit que les op\u00e9rateurs mobiles sont tenus de combattre les manipulations non autoris\u00e9es des installations de t\u00e9l\u00e9communications. Comment s'assurera-t-on que cette obligation est remplie\u00a0?
5. Le Conseil f\u00e9d\u00e9ral dispose-t-il des moyens n\u00e9cessaires pour garantir en tout temps la s\u00e9curit\u00e9 des infrastructures informatiques critiques lors de leur acquisition et de leur exploitation, ou bien a-t-il besoin pour ce faire de nouvelles bases juridiques\u00a0?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"1. En vertu de l'art.\u00a03, al.\u00a02, let.\u00a0a, de la loi f\u00e9d\u00e9rale sur les march\u00e9s publics (LMP\u00a0; RS 172.056.1), la Conf\u00e9d\u00e9ration peut, \u00e0 titre exceptionnel, restreindre la concurrence pour ses propres acquisitions en cas de menace pour la s\u00e9curit\u00e9 du pays. La situation juridique actuelle ne permet pas au Conseil f\u00e9d\u00e9ral de donner des directives aux exploitants priv\u00e9s et cantonaux d'infrastructures critiques concernant l'adjudication de march\u00e9s \u00e0 des fournisseurs \u00e9trangers.
2. A court terme, l'influence de fournisseurs \u00e9trangers sur nos infrastructures informatiques ne peut pas \u00eatre r\u00e9duite de mani\u00e8re significative. Les alternatives domestiques font en effet d\u00e9faut pour la majorit\u00e9 des produits. Il est n\u00e9anmoins possible de limiter le risque que les fournisseurs \u00e9trangers n'abusent de leur position. Il importe pour cela d'\u00e9tablir les risques encourus, ce qui rel\u00e8ve de la responsabilit\u00e9 du Service de renseignement de la Conf\u00e9d\u00e9ration et de la Centrale d'enregistrement et d'analyse pour la s\u00fbret\u00e9 de l'information. Pour accomplir leur t\u00e2che, les deux organismes s'appuient sur leurs propres analyses et sur celles effectu\u00e9es par d'autres services sp\u00e9cialis\u00e9s de la Conf\u00e9d\u00e9ration, tels qu'armasuisse ou la Base d'aide au commandement (BAC), qui \u00e9tudient le risque d'utilisation abusive des technologies informatiques et d\u00e9veloppent des mesures pour s'en pr\u00e9munir, en collaboration avec la recherche et l'industrie. D'autres solutions envisageables consisteraient \u00e0 d\u00e9finir des exigences de s\u00e9curit\u00e9 pour les infrastructures critiques au moyen de certifications et de normes ou \u00e0 exiger la mise en place de proc\u00e9dures de s\u00e9curit\u00e9 relatives aux entreprises pour les services critiques.
3. Les r\u00e9seaux de t\u00e9l\u00e9communications fixes et mobiles ne sont g\u00e9n\u00e9ralement pas la cible des criminels \u00e9conomiques, mais plut\u00f4t le moyen utilis\u00e9 pour voler des informations. Le niveau de s\u00e9curit\u00e9 des infrastructures de t\u00e9l\u00e9communications fixes et mobiles d\u00e9pend directement de la mani\u00e8re dont celles-ci ont \u00e9t\u00e9 configur\u00e9es par l'utilisateur. Avec les moyens ad\u00e9quats, un niveau de protection \u00e9lev\u00e9 peut \u00eatre atteint. Il convient pour cela d'examiner la s\u00e9curit\u00e9 des infrastructures informatiques de mani\u00e8re autonome et approfondie et de ne pas s'appuyer uniquement sur les indications des fournisseurs.
4. La r\u00e9vision de la loi sur les t\u00e9l\u00e9communications (LTC\u00a0; RS 784.10) pr\u00e9voit que les fournisseurs de services de t\u00e9l\u00e9communication sont tenus de lutter contre toute manipulation non autoris\u00e9e des installations de t\u00e9l\u00e9communication par des transmissions techniques. La responsabilit\u00e9 du contr\u00f4le de cette obligation incombe \u00e0 l'Office f\u00e9d\u00e9ral de la communication (OFCOM). Les fournisseurs sont tenus de lui apporter toutes les informations n\u00e9cessaires \u00e0 l'application de la loi. S'ils \u00e9taient soup\u00e7onn\u00e9s de ne pas suffisamment prot\u00e9ger leurs installations contre toute manipulation non autoris\u00e9e par des transmissions techniques, l'OFCOM interviendrait dans le cadre de ses comp\u00e9tences de surveillance. Le secret des t\u00e9l\u00e9communications doit \u00e9galement \u00eatre respect\u00e9.
5. Avec la loi sur la s\u00e9curit\u00e9 de l'information (LSI\u00a0; 17.028), le Conseil f\u00e9d\u00e9ral propose de nouvelles bases juridiques pour am\u00e9liorer la s\u00e9curit\u00e9 informatique des infrastructures appartenant \u00e0 la Conf\u00e9d\u00e9ration. Les entreprises qui lui fournissent des services informatiques critiques devront \u00eatre soumises \u00e0 une proc\u00e9dure de s\u00e9curit\u00e9. Dans ce cas, la nationalit\u00e9 de l'entreprise peut \u00eatre consid\u00e9r\u00e9e comme un facteur de risque. La LSI ne constitue pas une base pour exclure a priori les fournisseurs \u00e9trangers. Elle offrirait cependant la possibilit\u00e9 de contr\u00f4ler leur fiabilit\u00e9 et le respect des crit\u00e8res de s\u00e9curit\u00e9 lors de l'ex\u00e9cution de leur mandat. Selon le projet de loi, le champ d'application de la LSI resterait limit\u00e9 aux mandats attribu\u00e9s par la Conf\u00e9d\u00e9ration, mais pourrait aussi \u00eatre \u00e9largi, en vertu de l'art.\u00a02, al.\u00a05, du projet de loi, aux mandats d'exploitants d'infrastructures critiques par le biais d'une l\u00e9gislation sp\u00e9ciale.
R\u00e9ponse du Conseil f\u00e9d\u00e9ral.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1550016000000)\/","SubmittedBy":"Wasserfallen Christian","BusinessStatus":229,"BusinessStatusText":"Liquid\u00e9","BusinessStatusDate":"\/Date(1553212800000)\/","ResponsibleDepartment":7,"ResponsibleDepartmentName":"D\u00e9partement des finances","ResponsibleDepartmentAbbreviation":"DFF","IsLeadingDepartment":true,"Tags":"9|15|34|36","Category":null,"Modified":"\/Date(1690513185797)\/","SubmissionDate":"\/Date(1544572800000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5015,"SubmissionLegislativePeriod":50,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique de s\u00e9curit\u00e9|\u00c9conomie|M\u00e9dias et communication|Science et recherche"}}