Ordonnance sur l’informatique et la télécommunication dans l’administration fédérale
(Ordonnance sur l’informatique dans l’administration fédérale, OIAF)

La présente ordonnance s’applique aux unités administratives de l’administration fédérale centrale au sens de l’art. 2, al. 1 et 2, LOGA.

Les autorités et offices mentionnés ci-après peuvent, sous réserve d’autres dispositions d’organisation contenues dans le droit fédéral, s’engager par le biais d’un accord à respecter la présente ordonnance et les directives fondées sur celle-ci:

1. les unités décentralisées de l’administration fédérale (art. 2, al. 3, LOGA);

2. les autres autorités fédérales;

3. les organisations et les personnes de droit public ou privé extérieures à l’administration fédérale auxquelles sont confiées des tâches administratives (art. 2, al. 4, LOGA);

4. les institutions proches de la Confédération qui poursuivent un but d’intérêt public et veulent recourir aux services des fournisseurs internes de prestations mentionnés à l’art. 20.

Les directives relatives à l’informatique mentionnées dans la présente ordonnance ne s’appliquent pas à l’informatique du domaine de l’armement, ni aux systèmes de conduite et d’engagement de l’armée.

Les directives relatives à l’informatique de l’administration fédérale règlent:

1. la stratégie de l’informatique;

2. les processus informatiques;

3. les architectures et normes informatiques;

4. la sécurité informatique;

5. le contrôle de gestion de l’informatique.

La stratégie de l’informatique détermine, sur la base des lignes directrices de l’informatique dans l’administration fédérale, les buts, les principes et les méthodes à moyen terme relatifs à l’utilisation des TIC dans l’administration fédérale.

Les processus informatiques déterminent la manière dont les tâches informatiques doivent être accomplies.

Les architectures et normes informatiques, y compris en matière de sécurité, déterminent le cadre technique et organisationnel des systèmes informatiques, en particulier les exigences concernant leur interopérabilité et leur rentabilité.

La sécurité informatique comprend des mesures visant à protéger l’intégrité et la disponibilité des systèmes informatiques ainsi que la confidentialité, l’intégrité, la disponibilité et la non-répudiation des données sauvegardées, traitées et transférées dans ces systèmes.

Le contrôle de gestion de l’informatique comprend la collecte, le traitement, la vérification et l’interprétation d’informations relatives à la gestion de l’utilisation des TIC.

Une prestation interdépartementale est une prestation en TIC désignée comme telle par le Conseil de l’informatique de la Confédération (CI) et fournie à tous les bénéficiaires par le même fournisseur de prestations.

Un programme informatique comprend plusieurs projets informatiques coordonnés ayant des objectifs communs.

La sûreté de l’information comprend des mesures visant à protéger des infrastructures vitales telles que les systèmes d’approvisionnement d’énergie, les systèmes logistiques et le système de santé.

Un centre de compétence informatique fournit toutes les prestations supradépartementales en TIC (conseil, conception, réalisation, exploitation et assistance) relatives à un domaine spécialisé ou spécifique.

Les TIC sont utilisées pour soutenir de manière optimale l’exécution des tâches par les unités administratives.

L’utilisation des TIC se fonde sur les principes d’opportunité, de rentabilité et de facilité d’emploi pour les utilisateurs.

Les unités administratives sont responsables de la protection des moyens informatiques et des données à protéger (objets à placer sous protection).

Elles examinent régulièrement les objets à placer sous protection et prennent les mesures de sécurité nécessaires.

Toutes les unités administratives, les organisations et les personnes concernées par la présente ordonnance communiquent à l’Unité de stratégie informatique de la Confédération (USIC) les événements en rapport avec la sécurité des objets à placer sous protection.

En fin d’année, les départements et la Chancellerie fédérale élaborent, à l’intention de l’USIC, un rapport concernant l’état des travaux de mise en œuvre des mesures de sécurité.

L’USIC en informe le CI.

Le Département fédéral des finances (DFF) institue un état-major spécial chargé de la sûreté de l’information et composé de représentants de l’administration fédérale, des cantons et des milieux économiques.

L’état-major spécial fournit une assistance aux organes dirigeants suprêmes de la politique et de l’économie lors de crises déclenchées par d’importantes perturbations affectant les infrastructures de l’information.

Il est présidé par le délégué à la stratégie informatique de la Confédération.

Il élabore un règlement interne, dans lequel les détails de son organisation et de son travail sont définis.

Le CI se compose des membres suivants ayant le droit de vote:

1. un représentant, désigné nommément, de chaque département et de la Chancellerie fédérale;

2. le secrétaire général du DFF.

Le secrétaire général du DFF préside le CI.

Le CI décide si d’autres unités qui s’engagent à respecter la présente ordonnance ainsi que les directives et les prescriptions fondées sur celle-ci peuvent aussi déléguer au CI un représentant ayant le droit de vote.

Il est habilité à prendre une décision lorsque la majorité des membres ayant le droit de vote sont présents.

Il prend ses décisions à la majorité simple des membres ayant le droit de vote présents. Le président ne vote pas. En cas d’égalité des voix, il tranche.

Les membres du CI ayant voix consultative sont:

1. un représentant de la Conférence informatique de la Confédération (CIC);

2. le délégué à la stratégie informatique;

3. un représentant de l’Administration fédérale des finances (AFF).

Le CI élabore un règlement interne, dans lequel les détails de son organisation et de son travail sont réglés. Il tient compte du droit d’évocation du Conseil fédéral (art. 47, al. 4, LOGA).

Le CI détermine le développement à moyen et à long terme des TIC dans l’administration fédérale.

Il assume en particulier les tâches suivantes:

1. il fixe les prescriptions informatiques pour l’administration fédérale, surveille leur mise en oeuvre dans les départements et à la Chancellerie fédérale et définit les conditions dans lesquelles il peut être dérogé à ces prescriptions;

2. il accorde des dérogations à l’application des prescriptions informatiques;

3. il définit les prestations interdépartementales, les modalités de leur acquisition et de leur pilotage;

4. il décide de la création de centres de compétence informatique, des tâches qui leurs sont assignées et de leur subordination sur le plan organisationnel;

5. il initialise et pilote les programmes informatiques supradépartementaux;

6. il prend les décisions concernant la gestion des configurations et des versions, dans la mesure où des effets sont prévisibles sur les processus internes, les utilisateurs (en particulier si des besoins en formation sont générés), d’autres applications et l’interopérabilité;

7. il participe au processus de budgétisation et de planification budgétaire;

8. il prend des décisions concernant la cession aux départements et à la Chancellerie fédérale de moyens financiers provenant des réserves temporaires du DFF en faveur des TIC;

9. il fixe les priorités pour les projets informatiques supradépartementaux;

10. il garantit l’exploitation d’une centrale d’enregistrement et d’analyse destinée à protéger les infrastructures vitales.

Le CI peut mettre sur pied une conférence des bénéficiaires de prestations visant à coordonner les besoins en matière de prestations interdépartementales.

Il édicte des ordonnances administratives dans le cadre de ses tâches.

Il peut déléguer des décisions accessoires, en particulier celles qui concernent des dérogations aux prescriptions informatiques, des exigences liées à l’exploitation des TIC ou à la réalisation de projets et de programmes, aux organes ou offices mentionnés ci-après:

1. au Comité pour la sécurité informatique (C-SI);

2. à la CIC;

3. à l’USIC;

4. aux départements ou à la Chancellerie fédérale;

5. à des organisations de programmes ou de projets.

L’USIC est l’organe d’état-major du CI.

L’USIC assume en particulier les tâches suivantes:

1. elle élabore les directives relatives à l’informatique et les soumet au CI;

2. elle coordonne la mise en œuvre des directives informatiques et des décisions du CI;

3. elle prépare les bases de décisions nécessaires à la planification des TIC au sein de l’administration fédérale;

4. elle prépare des mandats-types pour les projets et les accords de prestations concernant les prestations interdépartementales, engage les procédures d’acquisition et assure le contrôle de gestion informatique pour le CI;

5. elle dirige des programmes informatiques.

Dans le domaine de la sécurité informatique, l’USIC assume les tâches suivantes:

1. elle élabore, sur la base des besoins déterminés conjointement avec les unités administratives, les mesures visant à protéger les objets à placer sous protection, et ordonne les mesures concrètes à prendre en matière de sécurité;

2. elle examine, en tant qu’expert mandaté par un département, la Chancellerie fédérale ou le CI, les incidents présumés ou avérés en relation avec la sécurité.

L’USIC collabore avec des services extérieurs à l’administration fédérale.

Les membres du C-SI ayant le droit de vote sont les délégués à la sécurité informatique des départements et de la Chancellerie fédérale.

Les membres du C-SI ayant voix consultative sont les représentants:

1. du Contrôle fédéral des finances;

2. des Archives fédérales;

3. du Service fédéral de sécurité;

4. de l’USIC;

5. de la CIC;

6. de l’Office fédéral des constructions et de la logistique (OFCL);

7. du Préposé fédéral à la protection des données et à la transparence2;

8. 3 de l’organe de coordination pour la protection des informations au sein de la Confédération.

Le C-SI est dirigé par le préposé à la sécurité informatique de la Confédération.

Il se réunit périodiquement, ou sur ordre du CI ou à la demande de l’un de ses membres. Il peut aussi prendre des décisions par correspondance (également par courrier électronique).

Les décisions du C-SI sont valables lorsque la majorité des membres participe à la votation.

Le C-SI prend ses décisions à la majorité simple des membres votants. Le président ne vote pas. En cas d’égalité des voix, il tranche.

Tout membre ayant le droit de vote et l’USIC peuvent soumettre des décisions du C-SI au CI. Ce dernier peut les modifier ou les annuler.

Le C-SI conseille le CI en matière de sécurité informatique.

Il se prononce à l’attention du CI sur des directives concernant la sécurité informatique.

Il prend les décisions concernant les demandes des départements, de la Chancellerie fédérale et des unités administratives au sujet de l’attribution de droits et de mandats relevant de la sécurité informatique, en particulier pour ce qui est des pare-feu («firewalls»), des droits d’accès et des privilèges.

Il coordonne son activité avec l’organe de coordination pour la protection des informations au sein de la Confédération.⁴

Il fait part de ses décisions au CI sans délai.

La désignation de l’unité administrative a été adaptée en application de l’art. 16 al. 3 de l’O du 17 nov. 2004 sur les publications officielles (RS 170.512.1).

Les bénéficiaires de prestations sont les unités et les offices mentionnés à l’art. 2, al. 1 et 2.

Les bénéficiaires de prestations sont responsables du respect des directives relatives à l’informatique et des décisions du CI et des départements ou de la Chancellerie fédérale dans leur domaine de compétence.

Les bénéficiaires de prestations mettent en œuvre les TIC de manière économique et établissent un budget en conséquence.

Ils concluent des accords de projets et de prestations avec les fournisseurs de prestations et créent un portefeuille composé de leurs études, projets et applications (portefeuille de l’informatique).

Ils garantissent, par un contrôle de gestion approprié, que les services supérieurs disposent en tout temps des informations nécessaires à la gestion et au pilotage.

Chaque département dispose d’un propre fournisseur interne de prestations au plus.

Les fournisseurs internes de prestations sont responsables du respect des directives relatives à l’informatique et du respect des décisions du CI et des départements dans leur domaine de compétence.

Les fournisseurs internes de prestations assurent aux bénéficiaires les prestations en TIC conformément aux accords de projets et accords sur les prestations conclus.

Ils tiennent une comptabilité analytique (CA).

En accord avec leur département, ils peuvent également proposer leurs services à d’autres unités administratives et à des institutions proches de l’administration qui poursuivent un but d’intérêt public.

Les fournisseurs internes de prestations dressent un inventaire des moyens informatiques. Ils le mettent à la disposition de l’USIC.

La CIC est composée d’un représentant, désigné nommément et ayant le droit de vote, des fournisseurs internes de prestations des départements et de la Chancellerie fédérale.

Elle est présidée par le directeur de l’Office fédéral de l’informatique et de la télécommunication (OFIT).

La CIC décide si d’autres unités qui s’engagent à respecter la présente ordonnance ainsi que les directives et les prescriptions fondées sur celle-ci peuvent aussi déléguer à la CIC un représentant ayant le droit de vote.

Les membres de la CIC ayant voix consultative sont les représentants:

1. de l’USIC;

2. de l’OFCL.

La CIC est habilitée à prendre une décision lorsque la majorité des membres ayant le droit de vote sont présents.

Elle prend ses décisions à la majorité simple des membres présents. Le président ne vote pas. En cas d’égalité des voix, il tranche.

La CIC garantit la coordination technique en matière de fourniture des prestations.

Elle coordonne les interfaces d’exploitation, la gestion de la configuration et des versions des applications interdépartementales ainsi que d’autres aspects en rapport avec l’exploitation, sous réserve des compétences du CI.

La procédure d’acquisition des prestations externes en TIC est régie par la loi du 16 décembre 1994 sur les marchés publics (LMP)⁵ et les ordonnances correspondantes ainsi que par l’ordonnance du 14 décembre 1998 concernant la gestion de l’immobilier et la logistique de la Confédération (OILC)⁶. L’OFCL édicte, d’entente avec l’USIC, des directives spécifiques en la matière.

Les fournisseurs internes de prestations ne sont pas des soumissionnaires au sens des dispositions légales concernant les marchés publics. Ils peuvent cependant être invités à soumettre une offre dans le cadre d’une procédure d’acquisition. L’adjudicateur fait mention de cette possibilité dans l’appel d’offres.

Les adjudicateurs choisissent la solution présentant le meilleur rapport coûts-utilité et présentant le moins de risques. Si le mandat est confié à un fournisseur interne de prestations, les art. 27 à 35 LMP sur les voies de recours sont applicables.

L’audit de l’informatique s’effectue conformément aux principes de surveillance financière de la Confédération.

Elle est assurée par le Contrôle fédéral des finances.

Le CI, les départements et la Chancellerie fédérale peuvent proposer au Contrôle fédéral des finances l’audit de l’informatique de certains objets.