172.010.59
Ordonnance concernant la protection des applications et des systèmes informatiques dans l’administration fédérale
du 10 juin 1991 (Etat le 16 février 1999)
Le Conseil fédéral suisse, vu l’article 61, 1er alinéa, de la loi sur l’organisation de l’administration1, arrête:
Section 1 But et champ d’application
Art. 1 But
Lors de la planification, de la réalisation et de l’exploitation d’applications et de systèmes informatiques (systèmes) dans l’administration fédérale, il faut s’assurer que ces systèmes sont protégés contre les influences extérieures et contre tout accès non autorisé.
Tous les domaines du traitement des données doivent être protégés, notamment:
Les lieux (immeubles, locaux, transport de supports de données);
Les systèmes (matériels, logiciels, logistique);
L’utilisation des systèmes (exploitation, applications);
Les communications (transport de données par câbles, réseaux);
Les données personnelles (protection des données);
Les données;
La documentation.
RO 1991 1288 ch. II 1 1587 art. 1er, 1991 362, 1992 288 annexe ch. 2 510 581 appendice ch. 2, 1993 1770, 1995 978 4362 art. 1er, 1996 1486; RS 151 annexe ch. 1, 172.010.18 art. 1er, 172.010.31 annexe ch. 1, 251 annexe ch. 1, 510.10 annexe ch. 2, 531 art. 59 ch. 2. RS 172.010 art. 63]. Voir actuellement la LF du 21 mars 1997 sur l'organisation du gouvernement et de l'administration (RS 172.010).
Art. 2 Champ d’application
La présente ordonnance s’applique à toutes les unités administratives de la Confédération selon l’article 58 de la loi sur l’organisation de l’administration2. Les me-sures générales de sécurité (section 2) définissent les exigences minimales.
Toutes les unités administratives soumises à l’ordonnance participent à l’élaboration des instructions et des directives qui correspondent aux exigences minimales. L’Office fédéral de l’informatique (OFI) dirige ces travaux en accord avec la Conférence informatique de la Confédération (CIC).
Lorsque c’est nécessaire, les unités administratives peuvent édicter des exigences plus élevées en matière de sécurité.
Seules les mesures générales de sécurité s’appliquent au Département fédéral de la défense, de la protection de la population et des sports (DDPS) et au Conseil des écoles polytechniques fédérales.3 Ces unités administratives sont responsables dans leur domaine respectif, de préparer, d’ordonner, de réaliser et de contrôler les mesures de sécurité.
Section 2 Mesures générales de sécurité
Art. 3 Evaluation des risques
Tout système fait l’objet d’une évaluation des risques.
L’évaluation est effectuée par les responsables de l’application en collaboration avec les organes compétents.
L’évaluation des risques se fonde sur les critères suivants:
La nécessité de protéger les données (protection des données personnelles, classification, valeur de reconstitution);
La grandeur du système;
La valeur du système;
La durée admissible d’une panne;
La probabilité du risque.
ch. II 1 1587 art. 1er, 1991 362, 1992 288 annexe ch. 2 510 581 appendice ch. 2, 1993 1770, 1995 978 4362 art. 1er, 1996 1486; RS 151 annexe ch. 1, 172.010.18 art. 1er, 172.010.31 annexe ch. 1, 251 annexe ch. 1, 510.10 annexe ch. 2, 531 art. 59 ch. 2. RS 172.010 art. 63]. Voir actuellement la LF du 21 mars 1997 sur l'organisation du gouvernement et de l'administration (RS 172.010).
Art. 4 Mesures de sécurité
Les mesures de sécurité doivent garantir que:
Les systèmes sont protégés contre les influences extérieures;
Seules les personnes autorisées ont accès aux systèmes et aux archives des supports de données;
Seules les personnes autorisées ont accès aux systèmes, aux données, aux programmes et aux réseaux;
Les données sont adéquatement protégées contre les écoutes et les accès non autorisés lors des transmissions et des transports;
Les données et les programmes sont protégés contre les falsifications, les pertes et les enregistrements à distance non autorisés;
Les systèmes sont protégés contre les pannes en fonction de la nécessité qu’il y a de les préserver. Des solutions de substitution et de rechange doivent être prévues en cas de catastrophe.
Les responsables des applications désignent les personnes qui ont l’autorisation d’accéder aux lieux ou aux données. Il faut protéger tout particulièrement les systèmes contre les accès incorrects ou illicites de ces personnes.
Les dispositions de l’ordonnance du 10 décembre 19904 sur la classification et le traitement d’informations de l’administration civile ainsi que de l’ordonnance du 1er mai 19905 concernant la protection des informations sont réservées.
Section 3 Application
Art. 5 Organes compétents
La préparation et le contrôle des mesures destinées à protéger les systèmes incombent à l’OFI en collaboration avec le service de sécurité de l’administration fédérale. L’OFI conseille les unités organiques responsables et assure la coordination entre les organes compétents.
Les organes suivants soutiennent l’OFI dans l’exécution de leurs tâches et conseillent les unités organiques responsables:
Les responsables de l’informatique des départements surveillent notamment l’application des mesures de sécurité en matière d’informatique dans leur domaine de compétence.
6 Le Préposé fédéral à la protection des données (ci-après préposé fédéral) se prononce sur les projets qui touchent des données personnelles et doit participer au contrôle des systèmes.
L’office des constructions fédérales planifie et surveille l’application des mesures de sécurité prises dans les domaines techniques et de la construction.
L’office central fédéral des imprimés et du matériel soutient les organes compétents, dans le cadre de ses tâches, lors de l’acquisition de nouveaux produits.
D’autres organes, qui sont compétents pour certains secteurs administratifs ou domaines spécialisés précis, ou pour l’exploitation de systèmes.
Les unités organiques assument la responsabilité de l’exploitation de leurs systèmes.
Art. 5a7 Collaboration avec le préposé fédéral A sa demande, l’OFI conseille le préposé fédéral en matière de sécurité des données personnelles traitées par des unités administratives.
Art. 6 Applications des mesures de sécurité
Les unités organiques qui exploitent un système sont responsables de l’observation et de l’exécution des mesures prescrites en matière de sécurité.
Les dépenses consacrées à la sécurité doivent être comprises dans la planification et dans le calcul de la rentabilité en tant que coûts inhérents au projet. Si les moyens financiers ne permettent pas de réaliser après coup des mesures de sécurité supplémentaires dans des systèmes et des applications existantes, les possibilités de financement doivent être indiquées lors de l’évaluation des risques.
Les informaticiens responsables des offices arrêtent les mesures de sécurité concrètes après entente avec les utilisateurs, les responsables de l’informatique des départements, l’OFI et le préposé fédéral si des données personnelles sont touchées.8 Les mesures de sécurité doivent être contrôlées régulièrement pour savoir si elles sont toujours d’actualité.
Les services supérieurs contrôlent périodiquement si les mesures de sécurité sont respectées.
La protection des systèmes doit être assurée à toutes les phases, jusqu’à leur liquidation.
Art. 7 Obligation d’annoncer
Les unités organiques responsables annoncent en temps utile à l’OFI la planification de systèmes, conformément aux directives techniques de la CIC.
Les unités organiques responsables ainsi que les organes compétents annoncent à l’OFI, par la voie hiérarchique, tous les faits qui touchent la sécurité des systèmes ou une mesure de sécurité particulière.
Les unités organiques responsables élaborent, deux ans après la mise en service d’un système ou chaque fois que l’OFI le demande par la voie hiérarchique, un rapport sur l’état, l’efficacité et l’utilité des mesures de sécurité.
L’OFI informe le préposé fédéral si des données se rapportant à des personnes sont touchées.9
Section 4 Dispositions finales
Art. 8 Exécution
L’OFI édicte les instructions et les directives nécessaires après entente avec les autres organes compétents (art.5, al. 2) et surveille leur exécution.
Art. 9 Disposition transitoire
Les systèmes existants doivent être examinés dans un délai de cinq ans et au besoin adaptés à la présente ordonnance.
Art. 10 Entrée en vigueur
La présente ordonnance entre en vigueur le 15 juin 1991.