AS 2003 3687

Ordonnance sur l'informatique et la télécommunication dans l'administration fédérale

Ordonnance sur l’informatique et la télécommunication dans l’administration fédérale (Ordonnance sur l’informatique dans l’administration fédérale, OIAF)

du 26 septembre 2003

Le Conseil fédéral suisse, vu les art. 43 et 47 de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)1, arrête:

Chapitre 1 Dispositions générales Section 1 Objet, champ d’application, définitions

Art. 1 Objet La présente ordonnance règle les tâches et les compétences relatives à la planifica- tion et à l’utilisation des technologies de l’information et de la communication (TIC) au sein de l’administration fédérale.

Art. 2 Champ d’application 1 La présente ordonnance s’applique aux unités administratives de l’administration fédérale centrale au sens de l’art. 2, al. 1 et 2, LOGA. 2 Les autorités et offices mentionnés ci-après peuvent, sous réserve d’autres disposi- tions d’organisation contenues dans le droit fédéral, s’engager par le biais d’un accord à respecter la présente ordonnance et les directives fondées sur celle-ci: a. les unités décentralisées de l’administration fédérale (art. 2, al. 3, LOGA); b. les autres autorités fédérales; c. les organisations et les personnes de droit public ou privé extérieures à l’administration fédérale auxquelles sont confiées des tâches administratives (art. 2, al. 4, LOGA); d. les institutions proches de la Confédération qui poursuivent un but d’intérêt public et veulent recourir aux services des fournisseurs internes de presta- tions mentionnés à l’art. 20. 3 Les directives relatives à l’informatique mentionnées dans la présente ordonnance ne s’appliquent pas à l’informatique du domaine de l’armement, ni aux systèmes de conduite et d’engagement de l’armée.

RS 172.010.58 1 RS 172.010

2002-2078 3687

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

Art. 3 Définitions 1 Les directives relatives à l’informatique de l’administration fédérale règlent:

a. la stratégie de l’informatique; b. les processus informatiques; c. les architectures et normes informatiques; d. la sécurité informatique; e. le contrôle de gestion de l’informatique. 2 La stratégie de l’informatique détermine, sur la base des lignes directrices de l’informatique dans l’administration fédérale, les buts, les principes et les méthodes à moyen terme relatifs à l’utilisation des TIC dans l’administration fédérale. 3 Les processus informatiques déterminent la manière dont les tâches informatiques doivent être accomplies. 4 Les architectures et normes informatiques, y compris en matière de sécurité, déter- minent le cadre technique et organisationnel des systèmes informatiques, en particu- lier les exigences concernant leur interopérabilité et leur rentabilité. 5 La sécurité informatique comprend des mesures visant à protéger l’intégrité et la disponibilité des systèmes informatiques ainsi que la confidentialité, l’intégrité, la disponibilité et la non-répudiation des données sauvegardées, traitées et transférées dans ces systèmes. 6 Le contrôle de gestion de l’informatique comprend la collecte, le traitement, la vérification et l’interprétation d’informations relatives à la gestion de l’utilisation des TIC.

7 Une prestation interdépartementale est une prestation en TIC désignée comme

telle par le Conseil de l’informatique de la Confédération (CI) et fournie à tous les bénéficiaires par le même fournisseur de prestations.

8 Un programme informatique comprend plusieurs projets informatiques coordon-

nés ayant des objectifs communs. 9 La sûreté de l’information comprend des mesures visant à protéger des infrastruc- tures vitales telles que les systèmes d’approvisionnement d’énergie, les systèmes logistiques et le système de santé. 10 Un centre de compétence informatique fournit toutes les prestations supradépar- tementales en TIC (conseil, conception, réalisation, exploitation et assistance) relati- ves à un domaine spécialisé ou spécifique.

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

Section 2 Principes de gestion des TIC

Art. 4 Objectifs 1 Les TIC sont utilisées pour soutenir de manière optimale l’exécution des tâches par les unités administratives. 2 L’utilisation des TIC se fonde sur les principes d’opportunité, de rentabilité et de facilité d’emploi pour les utilisateurs.

Art. 5 Pilotage de l’utilisation des TIC Les départements et la Chancellerie fédérale pilotent dans le cadre des directives du Conseil de l’informatique de la Confédération (CI) l’utilisation des TIC au sein des unités administratives, a. en élaborant une planification stratégique de l’informatique; b. en garantissant une utilisation rentable et efficace des TIC; c. en garantissant la compatibilité et l’interopérabilité des prestations en TIC.

Art. 6 Gestion de l’utilisation des TIC Les unités administratives gèrent l’utilisation des TIC.

Art. 7 Acquisition des prestations Le département ou la Chancellerie fédérale ou, pour ce qui est des prestations inter- départementales, le CI, décide, après avoir consulté les fournisseurs internes de prestations et les unités administratives concernées: a. si une prestation en TIC doit être acquise à l’interne ou faire l’objet d’une mise au concours publique; b. le cas échéant, auprès de quel fournisseur interne une prestation doit être acquise.

Section 3 Sécurité informatique et Etat-major spécial chargé de la sûreté de l’information

Art. 8 Protection des moyens informatiques et des données 1 Les unités administratives sont responsables de la protection des moyens informa- tiques et des données à protéger (objets à placer sous protection). 2 Elles examinent régulièrement les objets à placer sous protection et prennent les mesures de sécurité nécessaires.

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

Art. 9 Rapports et communication 1 Toutes les unités administratives, les organisations et les personnes concernées par la présente ordonnance communiquent à l’Unité de stratégie informatique de la Con- fédération (USIC) les événements en rapport avec la sécurité des objets à placer sous protection. 2 En fin d’année, les départements et la Chancellerie fédérale élaborent, à l’intention de l’USIC, un rapport concernant l’état des travaux de mise en œuvre des mesures de sécurité.

3 L’USIC en informe le CI.

Art. 10 Etat-major spécial chargé de la sûreté de l’information 1 Le Département fédéral des finances (DFF) institue un état-major spécial chargé de la sûreté de l’information et composé de représentants de l’administration fédérale, des cantons et des milieux économiques. 2 L’état-major spécial fournit une assistance aux organes dirigeants suprêmes de la politique et de l’économie lors de crises déclenchées par d’importantes perturbations affectant les infrastructures de l’information.

3 Il est présidé par le délégué à la stratégie informatique de la Confédération.

4 Il élabore un règlement interne, dans lequel les détails de son organisation et de son travail sont définis.

Chapitre 2 Organisation et compétences Section 1 Conseil de l’informatique, Unité de stratégie informatique et Comité pour la sécurité informatique

Art. 11 Conseil de l’informatique de la Confédération (CI) Le Conseil de l’informatique de la Confédération (CI) est responsable de la stratégie générale concernant les TIC au sein de l’administration fédérale.

Art. 12 Organisation du CI

1 Le CI se compose des membres suivants ayant le droit de vote:

a. un représentant, désigné nommément, de chaque département et de la Chan- cellerie fédérale; b. le secrétaire général du DFF.

2 Le secrétaire général du DFF préside le CI.

3 Le CI décide si d’autres unités qui s’engagent à respecter la présente ordonnance ainsi que les directives et les prescriptions fondées sur celle-ci peuvent aussi délé- guer au CI un représentant ayant le droit de vote.

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

4 Il est habilité à prendre une décision lorsque la majorité des membres ayant le droit de vote sont présents.

5 Il prend ses décisions à la majorité simple des membres ayant le droit de vote

présents. Le président ne vote pas. En cas d’égalité des voix, il tranche.

6 Les membres du CI ayant voix consultative sont:

a. un représentant de la Conférence informatique de la Confédération (CIC); b. le délégué à la stratégie informatique; c. un représentant de l’Administration fédérale des finances (AFF). 7 Le CI élabore un règlement interne, dans lequel les détails de son organisation et de son travail sont réglés. Il tient compte du droit d’évocation du Conseil fédéral (art. 47, al. 4, LOGA).

Art. 13 Tâches du CI

1 Le CI détermine le développement à moyen et à long terme des TIC dans l’admi-

nistration fédérale.

2 Il assume en particulier les tâches suivantes:

a. il fixe les prescriptions informatiques pour l’administration fédérale, sur- veille leur mise en oeuvre dans les départements et à la Chancellerie fédérale et définit les conditions dans lesquelles il peut être dérogé à ces prescrip- tions; b. il accorde des dérogations à l’application des prescriptions informatiques; c. il définit les prestations interdépartementales, les modalités de leur acquisi- tion et de leur pilotage; d. il décide de la création de centres de compétence informatique, des tâches qui leurs sont assignées et de leur subordination sur le plan organisationnel; e. il initialise et pilote les programmes informatiques supradépartementaux; f. il prend les décisions concernant la gestion des configurations et des ver- sions, dans la mesure où des effets sont prévisibles sur les processus inter- nes, les utilisateurs (en particulier si des besoins en formation sont générés), d’autres applications et l’interopérabilité; g. il participe au processus de budgétisation et de planification budgétaire; h. il prend des décisions concernant la cession aux départements et à la Chan- cellerie fédérale de moyens financiers provenant des réserves temporaires du DFF en faveur des TIC; i. il fixe les priorités pour les projets informatiques supradépartementaux; j. il garantit l’exploitation d’une centrale d’enregistrement et d’analyse desti- née à protéger les infrastructures vitales. 3 Le CI peut mettre sur pied une conférence des bénéficiaires de prestations visant à coordonner les besoins en matière de prestations interdépartementales.

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

4 Il édicte des ordonnances administratives dans le cadre de ses tâches.

5 Il peut déléguer des décisions accessoires, en particulier celles qui concernent des dérogations aux prescriptions informatiques, des exigences liées à l’exploitation des TIC ou à la réalisation de projets et de programmes, aux organes ou offices men- tionnés ci-après: a. au Comité pour la sécurité informatique (C-SI); b. à la Conférence informatique de la Confédération (CIC); c. à l’Unité de stratégie informatique de la Confédération (USIC); d. aux départements ou à la Chancellerie fédérale; e. à des organisations de programmes ou de projets.

Art. 14 Unité de stratégie informatique de la Confédération (USIC) 1 L’Unité de stratégie informatique de la Confédération (USIC) est l’organe d’état- major du CI.

2 L’USIC assume en particulier les tâches suivantes:

a. elle élabore les directives relatives à l’informatique et les soumet au CI; b. elle coordonne la mise en œuvre des directives informatiques et des déci- sions du CI; c. elle prépare les bases de décisions nécessaires à la planification des TIC au sein de l’administration fédérale; d. elle prépare des mandats-types pour les projets et les accords de prestations concernant les prestations interdépartementales, engage les procédures d’acquisition et assure le contrôle de gestion informatique pour le CI; e. elle dirige des programmes informatiques. 3 Dans le domaine de la sécurité informatique, l’USIC assume les tâches suivantes:

a. elle élabore, sur la base des besoins déterminés conjointement avec les uni- tés administratives, les mesures visant à protéger les objets à placer sous protection, et ordonne les mesures concrètes à prendre en matière de sécuri- té; b. elle examine, en tant qu’expert mandaté par un département, la Chancellerie fédérale ou le CI, les incidents présumés ou avérés en relation avec la sécu- rité.

4 L’USIC collabore avec des services extérieurs à l’administration fédérale.

Art. 15 Comité pour la sécurité informatique (C-SI) Le Comité pour la sécurité informatique (C-SI) est l’organe spécialisé du CI chargé de la sécurité informatique.

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

Art. 16 Organisation du C-SI 1 Les membres du C-SI ayant le droit de vote sont les délégués à la sécurité infor- matique des départements et de la Chancellerie fédérale.

2 Les membres du C-SI ayant voix consultative sont les représentants:

a. du Contrôle fédéral des finances; b. des Archives fédérales; c. du Service fédéral de sécurité; d. de l’USIC; e. de la Conférence informatique de la Confédération (CIC); f. de l’Office fédéral des constructions et de la logistique (OFCL); g. du préposé fédéral à la protection des données. 3 Le C-SI est dirigé par le préposé à la sécurité informatique de la Confédération.

4 Il se réunit périodiquement, ou sur ordre du CI ou à la demande de l’un de ses

membres. Il peut aussi prendre des décisions par correspondance (également par courrier électronique). 5 Les décisions du C-SI sont valables lorsque la majorité des membres participe à la votation. 6 Le C-SI prend ses décisions à la majorité simple des membres votants. Le prési- dent ne vote pas. En cas d’égalité des voix, il tranche. 7 Tout membre ayant le droit de vote et l’USIC peuvent soumettre des décisions du C-SI au CI. Ce dernier peut les modifier ou les annuler.

Art. 17 Tâches du C-SI

1 Le C-SI conseille le CI en matière de sécurité informatique.

2 Il se prononce à l’attention du CI sur des directives concernant la sécurité infor- matique. 3 Il prend les décisions concernant les demandes des départements, de la Chancelle- rie fédérale et des unités administratives au sujet de l’attribution de droits et de mandats relevant de la sécurité informatique, en particulier pour ce qui est des pare- feu («firewalls»), des droits d’accès et des privilèges.

4 Il fait part de ses décisions au CI sans délai.

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

Section 2 Bénéficiaires de prestations

Art. 18 Principes 1 Les bénéficiaires de prestations sont les unités et les offices mentionnés à l’art. 2, al. 1 et 2. 2 Les bénéficiaires de prestations sont responsables du respect des directives relati- ves à l’informatique et des décisions du CI et des départements ou de la Chancellerie fédérale dans leur domaine de compétence.

Art. 19 Tâches des bénéficiaires de prestations 1 Les bénéficiaires de prestations mettent en œuvre les TIC de manière économique et établissent un budget en conséquence. 2 Ils concluent des accords de projets et de prestations avec les fournisseurs de prestations et créent un portefeuille composé de leurs études, projets et applications (portefeuille de l’ informatique). 3 Ils garantissent, par un contrôle de gestion approprié, que les services supérieurs disposent en tout temps des informations nécessaires à la gestion et au pilotage.

Section 3 Fournisseurs internes de prestations

Art. 20 Principes

1 Chaque département dispose d’un propre fournisseur interne de prestations au

plus. 2 Les fournisseurs internes de prestations sont responsables du respect des directives relatives à l’informatique et du respect des décisions du CI et des départements dans leur domaine de compétence.

Art. 21 Tâches des fournisseurs internes de prestations 1 Les fournisseurs internes de prestations assurent aux bénéficiaires les prestations en TIC conformément aux accords de projets et accords sur les prestations conclus.

2 Ils tiennent une comptabilité analytique (CA).

3 En accord avec leur département, ils peuvent également proposer leurs services à d’autres unités administratives et à des institutions proches de l’administration qui poursuivent un but d’intérêt public. 4 Les fournisseurs internes de prestations dressent un inventaire des moyens infor- matiques. Ils le mettent à la disposition de l’USIC.

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

Art. 22 Organisation de la Conférence informatique de la Confédération (CIC)

1 La Conférence informatique de la Confédération (CIC) est composée d’un repré-

sentant, désigné nommément et ayant le droit de vote, des fournisseurs internes de prestations des départements et de la Chancellerie fédérale. 2 Elle est présidée par le directeur de l’Office fédéral de l’informatique et de la télé- communication (OFIT). 3 La CIC décide si d’autres unités qui s’engagent à respecter la présente ordonnance ainsi que les directives et les prescriptions fondées sur celle-ci peuvent aussi délé- guer à la CIC un représentant ayant le droit de vote.

4 Les membres de la CIC ayant voix consultative sont les représentants:

a. de l’USIC; b. de l’OFCL. 5 La CIC est habilitée à prendre une décision lorsque la majorité des membres ayant le droit de vote sont présents. 6 Elle prend ses décisions à la majorité simple des membres présents. Le président ne vote pas. En cas d’égalité des voix, il tranche.

Art. 23 Tâches de la CIC 1 La CIC garantit la coordination technique en matière de fourniture des prestations.

2 Elle coordonne les interfaces d’exploitation, la gestion de la configuration et des versions des applications interdépartementales ainsi que d’autres aspects en rapport avec l’exploitation, sous réserve des compétences du CI.

Section 4 Acquisition de prestations en TIC auprès de fournisseurs externes de prestations

Art. 24 Procédure 1 La procédure d’acquisition des prestations externes en TIC est régie par la loi du 16 décembre 1994 sur les marchés publics (LMP)2 et les ordonnances correspon- dantes ainsi que par l’ordonnance du 14 décembre 1998 concernant la gestion de l’immobilier et la logistique de la Confédération (OILC)3. L’OFCL édicte, d’entente avec l’USIC, des directives spécifiques en la matière. 2 Les fournisseurs internes de prestations ne sont pas des soumissionnaires au sens des dispositions légales concernant les marchés publics. Ils peuvent cependant être invités à soumettre une offre dans le cadre d’une procédure d’acquisition. L’adju- dicateur fait mention de cette possibilité dans l’appel d’offres.

2 RS 172.056.1 3 RS 172.010.21

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

3 Les adjudicateurs choisissent la solution présentant le meilleur rapport coûts-utilité et présentant le moins de risques. Si le mandat est confié à un fournisseur interne de prestations, les art. 27 à 35 LMP sur les voies de recours sont applicables.

Art. 25 Contrats-types Pour l’acquisition de prestations externes en TIC, l’adjudicateur se conforme aux contrats-types existants.

Section 5 L’audit de l’informatique

Art. 26 1 L’audit de l’informatique s’effectue conformément aux principes de surveillance financière de la Confédération.

2 Elle est assurée par le Contrôle fédéral des finances.

3 Le CI, les départements et la Chancellerie fédérale peuvent proposer au Contrôle fédéral des finances l’audit de l’informatique de certains objets.

Chapitre 3 Dispositions finales

Art. 27 Abrogations et modifications du droit en vigueur Les abrogations et modifications du droit en vigueur figurent dans l’annexe.

Art. 28 Entrée en vigueur La présente ordonnance entre en vigueur le 1er octobre 2003.

26 septembre 2003 Au nom du Conseil fédéral suisse: Le président de la Confédération, Pascal Couchepin La chancelière de la Confédération, Annemarie Huber-Hotz

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

Annexe (art. 27)

Abrogation et modification du droit en vigueur

I Les actes mentionnés ci-après sont abrogés:

1. Ordonnance du 23 février 2000 sur l’informatique dans l’administration

fédérale4;

2. Directives du Conseil fédéral du 23 février 2000 concernant l’informatique

et la télécommunication dans l’administration fédérale5.

II Les ordonnances mentionnées ci-après sont modifiées comme suit:

1. Ordonnance du 11 décembre 2000 sur l’organisation

du Département fédéral des finances (Org DFF)6

Art. 8 Unité de stratégie informatique de la Confédération (USIC) 1 L’unité stratégique de la Confederation (USIC) assume en particulier les tâches suivantes: a. elle élabore et communique les stratégies, les architectures, les normes et les méthodes en ce qui concerne l’utilisation des technologies de l’information et de la communication (TIC); b. elle initialise et coordonne les stratégies et les mesures en matière de sûreté de l’information en Suisse. 2 Dans son domaine d’activité, elle collabore avec les cantons, des organisations, les milieux économiques et des partenaires étrangers et représente la Confédération au sein des organisations concernées. 3 Les tâches de l’USIC en tant qu’organe d’état-major du Conseil de l’informatique de la Confédération sont définies par l’ordonnance du 26 septembre 2003 sur l’informatique dans l’administration fédérale7.

4 L’USIC nomme les responsables de la sécurité informatique de la Confédération.

4 RO 2000 1227 5 FF 2000 2708 6 RS 172.215.1 7 RS 172.010.58; RO 2003 3687

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

Art. 21 Objectifs L’Office fédéral de l’informatique et de la télécommunication (OFIT) poursuit les objectifs suivants: a. fournir des prestations dans les domaines de l’informatique et de la télécom- munication pour soutenir l’exécution des tâches de l’administration fédérale; b. axer son offre de prestations sur les besoins des bénéficiaires (clients); c. assurer la sécurité requise des infrastructures et des données informatiques; d. employer les moyens disponibles de façon économe et efficace; e. assurer la transparence des coûts et fournir ses prestations à des conditions concurrentielles.

Art. 22 Tâches particulières

1 L’OFIT assume en particulier les tâches suivantes:

a. planifier, mettre à disposition, exploiter et entretenir les transmissions de sons et de données dans le domaine civil; b. planifier, mettre à disposition, exploiter et entretenir les applications inter- départementales; c. planifier, conceptualiser, réaliser et exploiter les centres de compétence informatiques pour l’ensemble des prestations de service, notamment dans les domaines SAP et Internet; d. organiser des cours d’informatique; e. assurer l’interopérabilité technique de la bureautique dans l’ensemble de l’administration fédérale; f. fournir des prestations interdépartementales dans le domaine de la sécurité opérationnelle; g. prévenir les catastrophes et exploiter les centres de calcul de secours de haute et moyenne disponibilité pour l’ensemble de l’administration fédérale. h. représenter la Confédération au sein des organisations qui traitent des questions de fourniture de prestations. 2 Il est le fournisseur interne de prestations pour le DFF et la Chancellerie fédérale.

3 Il peut également proposer ses services aux cantons et à des institutions proches de l’administration qui poursuivent un but d’intérêt public.

4 Dans son domaine, il collabore avec les services informatiques des cantons et

d’autres administrations publiques. 5 S’il est prouvé qu’une solution plus rentable existe (meilleur rapport qualité-prix) ou si une nouvelle prestation interdépartementale est introduite, le Conseil de l’informatique de la Confédération peut en confier l’exécution à un autre fournis- seur.

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

2. Ordonnance du 30 juin 1993 concernant l’organisation

de la statistique fédérale8

Art. 10, al. 2 2 La sécurité des données est assurée par les dispositions spécifiques de la loi, l’ordonnance du 26 septembre 2003 sur l’informatique dans l’administration fédé- rale9 et l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données10.

3. Ordonnance du 13 janvier 1999 sur le recensement fédéral

de la population de l’an 200011

Art. 25, al. 3 3 Les centres de prestations de service sont soumis, s’agissant des tâches qui leur ont été confiées, aux dispositions a. de la présente ordonnance; b. de la loi du 26 juin 1998 sur le recensement fédéral de la population12; c. de la LSF; d. de la loi du 19 juin 1992 sur la protection des données13; e. de l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données14; f. de l’ordonnance du 26 septembre 2003 sur l’informatique dans l’adminis- tration fédérale15.

8 RS 431.011 9 RS 172.010.58; RO 2003 3687 10 RS 235.11 11 RS 431.112.1 12 RS 431.112 13 RS 235.1 14 RS 235.11 15 RS 172.010.58; RO 2003 3687

Ordonnance sur l’informatique dans l’administration fédérale RO 2003

4. Ordonnance du 30 juin 199316 sur le Registre des entreprises

et des établissements

Art. 15 La sécurité des données est régie par l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données17 et l’ordonnance du 26 septembre 2003 sur l’informatique dans l’administration fédérale18.

5. Ordonnance du 7 décembre 1998 sur les données agricoles19

Art. 19 La sécurité des données est régie par l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données20 et l’ordonnance du 26 septembre 2003 sur l’informatique dans l’administration fédérale21.

6. Ordonnance du 16 mars 1998 sur le Bureau de communication

en matière de blanchiment d’argent22

Art. 17, al. 1 La sécurité des données est régie par l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données23 et l’ordonnance du 26 septembre 2003 sur l’informatique dans l’administration fédérale24.

16 RS 431.903 17 RS 235.11 18 RS 172.010.58; RO 2003 3687 19 RS 919.117.71 20 RS 235.11 21 RS 172.010.58; RO 2003 3687 22 RS 955.23 23 RS 235.11 24 RS 172.010.58; RO 2003 3687