Le Conseil f\u00e9d\u00e9ral est charg\u00e9 d\u2019adapter les bases l\u00e9gales, notamment la loi sur le contr\u00f4le des biens (LCB) et l\u2019ordonnance sur le contr\u00f4le des biens (OCB), de telle sorte que la mise \u00e0 disposition d\u2019infrastructures et de services num\u00e9riques, notamment les infrastructures en nuage (IaaS), les services de plateforme (PaaS), le software as a service (SaaS) et les acc\u00e8s \u00e0 distance, soit aussi soumise \u00e0 une obligation d\u2019autorisation ou de d\u00e9claration lorsqu\u2019il existe un risque concret d\u2019utilisation \u00e0 des fins militaires ou d\u00e9terminantes pour la s\u00e9curit\u00e9.
Ce faisant, il veillera en particulier :
Dans sa r\u00e9ponse \u00e0 l\u2019interpellation 25.4530, le Conseil f\u00e9d\u00e9ral pr\u00e9cise que les infrastructures en nuage telles que \u00ab IaaS \u00bb, \u00ab PaaS \u00bb et \u00ab SaaS \u00bb ne sont actuellement pas consid\u00e9r\u00e9es comme des exportations au sens de la l\u00e9gislation sur le contr\u00f4le des biens et qu\u2019elles ne sont donc pas soumises \u00e0 autorisation. Par ailleurs, il n\u2019existe aucun m\u00e9canisme de contr\u00f4le sp\u00e9cifique pour ce type de services, sauf si un logiciel figurant explicitement sur la liste d\u00e9terminante est concern\u00e9.
Cette situation juridique permet d\u2019acc\u00e9der depuis la Suisse \u00e0 des infrastructures num\u00e9riques susceptibles d\u2019avoir une incidence sur la s\u00e9curit\u00e9, sans qu\u2019un contr\u00f4le syst\u00e9matique au titre de la l\u00e9gislation sur le contr\u00f4le des exportations soit effectu\u00e9. Compte tenu de l\u2019importance croissante des technologies num\u00e9riques dans le domaine militaire et dans celui du renseignement, l\u2019approche ax\u00e9e principalement sur les biens physiques atteint ses limites et n\u2019est plus adapt\u00e9e \u00e0 notre \u00e9poque.
La pratique actuelle, en vertu de laquelle les contr\u00f4les ne sont effectu\u00e9s qu\u2019au cas par cas et sur la base d\u2019informations concr\u00e8tes, n\u2019est pas suffisante pour pr\u00e9venir les abus. Qui plus est, l\u2019\u00e9volution technologique fulgurante, notamment dans le domaine des nouveaux mod\u00e8les \u00ab as a service \u00bb, n\u00e9cessite une approche englobant toutes les technologies afin d\u2019\u00e9viter toute lacune \u00e0 l\u2019avenir.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Le Conseil f\u00e9d\u00e9ral a d\u00e9j\u00e0 pris position sur ces questions dans son avis sur le postulat 25.4119 et dans sa r\u00e9ponse \u00e0 l\u2019interpellation 25.4530.
Conform\u00e9ment \u00e0 la loi sur le contr\u00f4le des biens (LCB ; RS 946.202), le Conseil f\u00e9d\u00e9ral peut soumettre \u00e0 autorisation l\u2019importation, l\u2019exportation, le transit et le courtage de biens afin de soutenir les mesures de contr\u00f4le internationales non contraignantes du point de vue du droit international, pour autant que les principaux partenaires commerciaux de la Suisse soutiennent \u00e9galement ces mesures. Il s\u2019appuie \u00e0 cette fin sur des listes de biens \u00e0 double usage et de biens militaires sp\u00e9cifiques harmonis\u00e9es au niveau international, \u00e9tablies notamment dans le cadre de l\u2019Arrangement de Wassenaar.
Les listes de biens de l\u2019Arrangement de Wassenaar et, partant, le r\u00e9gime suisse de contr\u00f4le \u00e0 l\u2019exportation englobent d\u00e9j\u00e0 la fourniture transfrontali\u00e8re de logiciels \u00e0 double usage et de logiciels militaires, quelle qu\u2019en soit la forme de transmission (y compris les solutions de type software as a service [SaaS], via une infrastructure en nuage, p. ex.). En revanche, la seule fourniture de services en nuage g\u00e9n\u00e9riques ne constitue pas une activit\u00e9 soumise aux mesures de contr\u00f4le \u00e0 l\u2019exportation harmonis\u00e9es au niveau international, raison pour laquelle le Conseil f\u00e9d\u00e9ral ne peut pas adopter de mesures correspondantes. Aucun changement de cap n\u2019est pr\u00e9visible \u00e0 l\u2019international dans un avenir proche. Le Conseil f\u00e9d\u00e9ral rejette une modification de la loi sur le contr\u00f4le des biens non seulement pour cette raison, mais aussi parce qu\u2019il juge que des dispositions visant \u00e0 r\u00e9glementer les services en nuage n\u2019ont pas leur place dans cette base l\u00e9gale. Un regard au-del\u00e0 des fronti\u00e8res le confirme. Ainsi, en Allemagne \u00e9galement, ce genre de services n\u2019est pas r\u00e9gi par la l\u00e9gislation en mati\u00e8re de contr\u00f4le \u00e0 l\u2019exportation, mais notamment par la loi relative \u00e0 l\u2019Office f\u00e9d\u00e9ral de la s\u00e9curit\u00e9 informatique et \u00e0 la s\u00e9curit\u00e9 informatique des organismes (Gesetz \u00fcber das Bundesamt f\u00fcr Sicherheit in der Informationstechnik und \u00fcber die Sicherheit in der Informationstechnik von Einrichtungen).
De plus, les services en nuage peuvent, dans certains cas, \u00eatre assimil\u00e9s \u00e0 un soutien logistique au sens de la loi f\u00e9d\u00e9rale sur les prestations de s\u00e9curit\u00e9 priv\u00e9es fournies \u00e0 l\u2019\u00e9tranger (LPSP ; RS 935.41), s\u2019ils sont fournis \u00e0 des forces arm\u00e9es ou de s\u00e9curit\u00e9 et qu\u2019ils pr\u00e9sentent un lien \u00e9troit avec leurs fonctions essentielles.
Le risque que des infrastructures informatiques exploit\u00e9es en Suisse soient utilis\u00e9es de mani\u00e8re abusive pour des cyberattaques est d\u00e9j\u00e0 pris en compte dans le cadre de la mise en \u0153uvre de la motion 25.3011 \u00ab Renforcer le r\u00f4le des fournisseurs d\u2019h\u00e9bergement et d\u2019informatique en nuage dans la lutte contre les cybermenaces \u00bb. Celle-ci charge le Conseil f\u00e9d\u00e9ral d\u2019\u00e9laborer des bases l\u00e9gales pour \u00e9viter ce type d\u2019abus.