AS 2020 5871

Ordonnance sur la coordination de la transformation numérique et la gouvernance de l'informatique dans l'administration fédérale

Ordonnance sur la coordination de la transformation numérique et la gouvernance de l’informatique dans l’administration fédérale (Ordonnance sur la transformation numérique et l’informatique, OTNI)

du 25 novembre 2020

Le Conseil fédéral suisse, vu la loi fédérale du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)1, arrête:

Chapitre 1 Dispositions générales

Art. 1 Objet et buts La présente ordonnance définit les organes, stratégies et procédures nécessaires: a. à la mise à disposition des utilisateurs de services numériques répondant à leurs besoins; b. à la numérisation, l’automatisation et l’intégration des processus d’affaires; c. à l’utilisation et l’échange des données et à la normalisation de leur signifi- cation; d. à la gouvernance de l’informatique dans le respect des principes d’adéqua- tion, d’interopérabilité, de rentabilité et de sécurité; e. à la promotion de normes informatiques ouvertes et reconnues; f. à l’optimisation du soutien à la réalisation des objectifs communs de la Con- fédération, des cantons et des communes en matière de cyberadministration.

RS 172.010.58 1 RS 172.010

2020-2221 5871

Ordonnance sur la transformation numérique et l’informatique RO 2020

Art. 2 Champ d’application 1 La présente ordonnance s’applique aux unités de l’administration fédérale centrale au sens de l’art. 7 de l’ordonnance du 25 novembre 1998 sur l’organisation du gouvernement et de l’administration (OLOGA)2. 2 Peuvent, sous réserve d’autres dispositions d’organisation contenues dans le droit fédéral, se soumettre par un accord avec le secteur Transformation numérique et gouvernance de l’informatique de la Chancellerie fédérale (secteur TNI de la ChF) à la présente ordonnance, à l’ordonnance du 27 mai 2020 sur les cyberrisques3 et à l’ordonnance GEVER du 3 avril 20194, y compris aux directives fondées sur celles- ci: a. les unités de l’administration fédérale décentralisée au sens de l’art. 7a OLOGA; b. les autres autorités fédérales; c. les organisations et les personnes de droit public ou privé extérieures à l’administration fédérale auxquelles sont confiées des tâches administratives de la Confédération au sens de l’art. 2, al. 4, LOGA; d. les institutions proches de la Confédération qui poursuivent un but d’intérêt public et qui recourent à des services de l’administration fédérale centrale s’inscrivant dans le champ d’application de la présente ordonnance. 3 L’accord peut porter uniquement sur une partie des dispositions visées à l’al. 2 si des raisons objectives le justifient et qu’un niveau de sécurité approprié soit main- tenu.

4 Le secteur TNI de la ChF propose des accords-types.

5 Il consulte le Centre national pour la cybersécurité pour les accords et les accords- types qui ont une incidence sur la cybersécurité.

Art. 3 Responsabilités des départements et de la Chancellerie fédérale Sauf disposition contraire de la présente ordonnance, les départements et la Chancel- lerie fédérale sont responsables de la transformation numérique dans leurs domaines de compétences respectifs et règlent la gouvernance de l’informatique dans ces domaines.

2 RS 172.010.1 3 RS 120.73 4 RS 172.010.441

Ordonnance sur la transformation numérique et l’informatique RO 2020

Chapitre 2 Organes Section 1 Secteur Transformation numérique et gouvernance de l’informatique de la Chancellerie fédérale

Art. 4 1 Le secteur TNI de la ChF est dirigé par le délégué à la transformation numérique et à la gouvernance de l’informatique (délégué TNI). Ce dernier est directement subor- donné au chancelier de la Confédération. 2 Le secteur TNI de la ChF veille, par une coordination interdépartementale, à ce que les processus d’affaires, les modèles de données, les applications et les technologies soient définis et mis en œuvre par l’administration fédérale de manière cohérente et efficace. 3 Il définit et gère des instruments d’aide à la coordination de la transformation numérique et à la gouvernance de l’informatique. 4 Il gère des services standard et conduit des projets ou des programmes relevant de son domaine de compétences. 5 Il prépare les affaires du Conseil fédéral relatives à la TNI dans l’administration fédérale et exécute les mandats qui en résultent. 6 Il peut représenter la Confédération dans des organisations dans le domaine de la TNI, tant au niveau national qu’au niveau international.

Section 2 Conseil de la transformation numérique et de la gouvernance informatique de la Confédération

Art. 5 Rôle Le Conseil de la transformation numérique et de la gouvernance informatique de la Confédération (Conseil TNI) est un organe interdépartemental qui conseille le délégué TNI dans l’exécution de ses tâches.

Art. 6 Composition

1 Le Conseil TNI est composé des personnes suivantes:

a. le délégué TNI; b. un représentant de chaque département; c. le chargé de mission Administration numérique suisse auprès de la Confédé- ration et des cantons; d. un représentant de la Conférence des prestataires de services informatiques (art. 10); e. un représentant du Centre national pour la cybersécurité; f. un représentant de l’Office fédéral de la statistique (OFS).

Ordonnance sur la transformation numérique et l’informatique RO 2020

2 Il est présidé par le délégué TNI.

Art. 7 Séances

1 Tous les membres du Conseil TNI peuvent déposer des propositions et mettre des

sujets à l’ordre du jour.

2 Le délégué TNI et les représentants de chaque département ont droit de vote.

3 Le délégué TNI peut faire appel à d’autres personnes à titre consultatif.

Section 3 Fourniture de prestations

Art. 8 Décision relative à l’acquisition de prestations Sauf disposition contraire de la présente ordonnance, les départements et la Chancel- lerie fédérale décident, sur la base d’analyses de marché et en tenant compte des principes d’adéquation, d’interopérabilité, de rentabilité et de sécurité et des exi- gences en matière de sécurité: a. si les prestations sont fournies par un fournisseur interne ou si elles sont ac- quises à l’extérieur; b. le cas échéant, par quel fournisseur interne la prestation est fournie.

Art. 9 Fournisseurs internes de prestations informatiques 1 Les départements et la ChF ne peuvent disposer de plus d’un fournisseur interne de prestations informatiques chacun.

2 Le Conseil fédéral peut accorder des dérogations.

Art. 10 Conférence des prestataires de services informatiques 1 La Conférence des prestataires de services informatiques (CPSI) est l’organe de coordination des fournisseurs internes de prestations informatiques.

2 Elle a notamment pour tâche:

a. d’assurer la veille technologique et de lancer des projets visant à favoriser l’adoption de technologies innovantes; b. de coordonner la fourniture de services informatiques, notamment en assu- rant l’harmonisation technique et opérationnelle des interfaces et de la ges- tion des configurations et des versions; c. de consolider les positions des fournisseurs internes de prestations lors- qu’elle est consultée et en vue des délibérations du Conseil TNI. 3 Elle est composée d’un représentant de chacun des fournisseurs internes de presta- tions informatiques et d’un représentant du secteur TNI de la ChF.

Ordonnance sur la transformation numérique et l’informatique RO 2020

Art. 11 Accès aux données pour les fournisseurs externes de prestations 1 Les fournisseurs externes de prestations peuvent obtenir l’accès à des données qui ne sont pas accessibles au public si les conditions suivantes sont réunies: a. cet accès est nécessaire pour fournir une prestation; b. l’autorité responsable des données a donné son accord par écrit; c. des mesures contractuelles, organisationnelles et techniques appropriées ont été prises pour éviter que les données soient accessibles à des tiers.

2 Si l’autorité responsable des données donne elle-même l’accès aux données, il

incombe à l’échelon hiérarchique supérieur de donner l’accord prévu à l’al. 1, let. b.

Section 4 Comité de pilotage des processus de soutien

Art. 12

1 Le Comité de pilotage des processus de soutien (CPPS) coordonne les décisions

concernant l’appui informatique aux processus de soutien utilisés dans l’ensemble de l’administration fédérale en matière de finances, de personnel, d’acquisition, de gestion immobilière et de logistique. 2 Il se compose d’un représentant de chacune des unités administratives suivantes:

a. Administration fédérale des finances (AFF); b. Office fédéral des constructions et de la logistique; c. Office fédéral du personnel (OFPER); d. Office fédéral de l’armement; e. secteur TNI de la ChF.

3 Il est présidé par le représentant du secteur TNI de la ChF.

4 Un représentant de l’Office fédéral de l’informatique et de la télécommunication et un représentant de la Base d’aide au commandement participent aux séances avec voix consultative.

Chapitre 3 Stratégies Section 1 Stratégie en matière de transformation numérique et d’informatique

Art. 13 Responsabilité et contenu 1 Le Conseil fédéral définit la stratégie de l’administration fédérale en matière de transformation numérique et d’informatique (stratégie TNI). 2 La stratégie définit les objectifs de la transformation numérique dans l’admini- stration fédérale et les domaines d’action permettant d’atteindre ces objectifs.

Ordonnance sur la transformation numérique et l’informatique RO 2020

Art. 14 Mise en œuvre Le secteur TNI de la ChF élabore et coordonne la mise en œuvre de la stratégie. Il consulte le Conseil TNI.

Section 2 Stratégie Suisse numérique

Art. 15 Responsabilité et contenu

1 Le Conseil fédéral définit la stratégie Suisse numérique.

2 La stratégie contient les lignes directrices régissant l’action de l’État en matière de transformation numérique. Elle décrit de quelle manière et dans quels domaines les autorités, les milieux économiques, le monde scientifique, la société civile et les acteurs politiques doivent collaborer afin que la Suisse puisse tirer pleinement profit de ce processus de transformation.

Art. 16 Mise en œuvre Le secteur TNI de la ChF coordonne l’élaboration et la mise en œuvre de la straté- gie, en collaboration avec les cantons, les organisations concernées, les entreprises et les partenaires étrangers. Il consulte le chargé de mission Administration numérique suisse auprès de la Confédération et des cantons et la Conférence des secrétaires généraux (CSG).

Chapitre 4 Directives

Art. 17 Directives du secteur TNI de la ChF 1 Le secteur TNI de la ChF édicte pour l’ensemble des autorités, organisations et personnes visées à l’art. 2 des directives générales et abstraites portant sur: a. les stratégies partielles, à savoir sur les lignes directrices qui définissent l’orientation générale de la TNI, la délimitation de son utilisation et la plani- fication du développement de certains de ses aspects à moyen terme; b. les processus TNI, à savoir sur la manière dont les tâches liées à la TNI doi- vent être accomplies, et les instruments d’aide à utiliser; c. l’architecture d’entreprise, à savoir sur l’articulation des processus d’affai- res, des modèles de données, des technologies ou des produits et services in- formatiques, entre les départements; d. les normes, à savoir sur la définition des produits, interfaces ou technologies qui découlent de l’architecture d’entreprise et qui sont nécessaires pour assu- rer l’interopérabilité, la rentabilité ou la sécurité; e. les services standard, à savoir sur les prestations en matière de transforma- tion numérique ou d’informatique, gérées de manière centralisée, fréquem- ment utilisées dans l’administration fédérale et répondant à des exigences

Ordonnance sur la transformation numérique et l’informatique RO 2020

identiques ou similaires; une directive définissant un service standard établit notamment la responsabilité de la fourniture et de la gestion du service stan- dard, l’acquisition des prestations, le financement général et le contrôle de la qualité des prestations fournies; f. la gestion de portefeuille TNI, à savoir sur toutes les activités nécessaires à la coordination des études, programmes et projets en matière de transforma- tion numérique et sur le regroupement des applications ou services informa- tiques au niveau de l’administration fédérale, et les mesures qui s’y rappor- tent; g. le contrôle de gestion, à savoir sur la collecte, le traitement, la vérification et l’interprétation d’informations servant à la TNI, et les mesures qui s’y rap- portent.

2 Il consulte au préalable le Conseil TNI.

3 Il décide de dérogations aux directives qu’il a édictées.

4 Il peut déléguer des décisions de portée mineure concernant ces dérogations:

a. aux départements et à la Chancellerie fédérale; b. à des groupes de travail; c. à des responsables de programmes ou de projets.

Art. 18 Directives du chancelier de la Confédération sur des services standard avec obligation d’achat 1 Le chancelier de la Confédération décide, sur proposition du secteur TNI de la ChF et après avoir entendu la CSG, des directives qui portent sur les services standard avec obligation d’achat et sur les projets TNI clés. 2 Il décide, après avoir entendu la CSG, de dérogations aux directives qu’il a édic- tées.

3 Il peut déléguer des décisions de portée mineure concernant ces dérogations au

secteur TNI de la ChF.

Art. 19 Procédure de règlement des différends 1 La procédure de règlement des différends vise à régler un différend entre un dépar- tement et le secteur TNI de la ChF portant sur: a. l’établissement d’une directive du secteur TNI de la ChF; b. l’octroi d’une dérogation aux directives du secteur TNI de la ChF.

2 Le département notifie le différend au secteur TNI de la ChF.

3 Le secteur TNI de la ChF informe les membres du Conseil TNI et soumet sans

tarder le différend à la CSG, à l’intention du chancelier de la Confédération. 4 Le chancelier de la Confédération tranche le différend, après avoir entendu la CSG.

Ordonnance sur la transformation numérique et l’informatique RO 2020

Chapitre 5 Projets TNI clés

Art. 20 Objet Les projets TNI clés de l’administration fédérale sont les projets ou programmes en matière de TNI qui nécessitent un renforcement de la conduite stratégique et opéra- tionnelle, de la coordination et des vérifications en raison: a. des ressources qu’ils requièrent; b. de leur importance stratégique; c. de leur complexité, ou d. des risques qu’ils présentent.

Art. 21 Responsabilité Le chancelier de la Confédération détermine les projets TNI clés de l’administration fédérale sur proposition du secteur TNI de la ChF, après avoir entendu la CSG.

Art. 22 Rapports et mesures correctives 1 Le secteur TNI de la ChF fait régulièrement rapport à la CSG sur les projets TNI clés de l’administration fédérale, en consolidant les rapports que lui remettent les unités administratives chargées de ces projets. 2 Si nécessaire, le chancelier de la Confédération propose des mesures correctives au Conseil fédéral, après avoir entendu la CSG.

Chapitre 6 Système de gestion des données de référence pour des processus de soutien

Art. 23 But

1 Le système de gestion des données de référence (GDR) permet de gérer et de

mettre à disposition de manière centralisée les données nécessaires à l’exécution électronique des processus de soutien en matière de finances, d’acquisition, de gestion immobilière et de logistique (processus de soutien pris en charge). 2 Les données centralisées du GDR peuvent au surplus être utilisées pour mettre à jour les données des registres de la Confédération si les bases légales du registre correspondant le permettent.

3 En plus des données centralisées, d’autres données personnelles peuvent être

gérées dans le GDR comme des données de référence, pour autant qu’un autre acte fédéral le prévoie et règle le traitement des données, notamment le but du traitement, l’étendue des données, les sources des données, les droits d’accès et la responsabilité de la protection des données.

Ordonnance sur la transformation numérique et l’informatique RO 2020

Art. 24 Définitions Dans le contexte du GDR, on entend par: a. unité GDR: toute personne, entreprise ou exploitation suisse ou étrangère, quelle que soit sa nature juridique, dont les données sont traitées dans le GDR; b. données de référence GDR: les données des unités GDR qui sont nécessaires pour exécuter les processus de soutien pris en charge.

Art. 25 Compétences 1 L’AFF est responsable de l’exploitation et de la sécurité du GDR. Elle gère les données visées à l’art. 26, al. 1, let. a à h, et elle est responsable de leur protection. 2 Chaque autorité, organisation et personne visée à l’art. 2, qui utilise un processus de soutien pris en charge peut gérer dans le GDR sa propre base de données visées à l’art. 26, al. 1, let. i. Elle est responsable de la protection de ces données.

Art. 26 Données

1 Les données suivantes sont gérées de manière centralisée dans le GDR:

a. numéro d’identification non personnel; b. données d’identification, par ex. nom, prénom, date de naissance; c. langue; d. coordonnées personnelles, par ex. adresses postales, adresses électroniques, numéros de téléphone; e. forme juridique; f. informations sur le secteur; g. coordonnées bancaires, par ex. titulaire du compte, numéro du compte, banque; h. numéros de registre permettant d’identifier de manière univoque une unité GDR; i. autres données requises pour l’exécution des processus de soutien pris en charge, à savoir:

1. données comptables internes à la Confédération,

2. données relatives aux rappels,

3. conditions de vente,

4. conditions d’achat.

2 Aucune donnée sensible et aucun profil de la personnalité ne peuvent être gérés dans le GDR.

Ordonnance sur la transformation numérique et l’informatique RO 2020

Art. 27 Sources des données

1 Les données centralisées dans le GDR proviennent des sources suivantes:

a. unités GDR actuelles et futures; b. autorités, organisations et personnes visées à l’art. 2, qui ont accès aux don- nées centralisées dans le GDR; c. registres suivants de la Confédération:

1. registre d’identification des entreprises de l’OFS,

2. registre des entreprises et des établissements de l’OFS,

3. répertoire officiel des localités avec le code postal et le périmètre,

4. répertoire officiel des rues,

5. répertoire officiel des adresses de bâtiments,

6. système d’information géographique de l’Office fédéral de l’agricul-

ture,

7. système d’information central sur la migration;

d. systèmes d’information de La Poste Suisse pour la validation des adresses des personnes et des entreprises en Suisse; e. banques de données accessibles au public. 2 L’autorité, organisation ou personne responsable en vertu de l’art. 25 reprend les données de la source, les enregistre et les modifie dans le GDR, après avoir effectué les vérifications nécessaires. 3 Les données peuvent être reprises, enregistrées et modifiées au moyen d’une inter- face entre le GDR et le système source concerné.

Art. 28 Accès aux données 1 Les autorités, organisations et personnes visées à l’art. 2, reçoivent un accès:

a. aux données visées à l’art. 26, al. 1, let. i, qu’elles gèrent elles-mêmes dans le GDR; b. aux données visées à l’art. 26, al. 1, let. a à h, dans la mesure où elles en ont besoin pour exécuter des processus de soutien pris en charge.

2 L’accès peut être accordé au moyen d’une interface avec les systèmes d’infor-

mation concernés.

Art. 29 Interface pour la mise à jour des autres registres L’AFF peut, au moyen d’une interface, mettre à disposition des données centralisées en vue de la mise à jour d’autres registres.

Art. 30 Conservation et effacement des données 1 Les données centralisées dans le GDR sont conservées pendant 30 ans à partir du dernier traitement des données, mais au plus pendant 10 ans après la fin de l’existen-

Ordonnance sur la transformation numérique et l’informatique RO 2020

ce de l’unité GDR concernée, notamment après son décès ou sa radiation du registre du commerce.

2 À l’expiration du délai, l’AFF marque les blocs de données de référence comme

effacés, sauf si une loi fédérale en interdit l’effacement. 3 Les données marquées comme effacées ne sont plus utilisées pour l’exécution des processus de soutien pris en charge ou pour la mise à jour des registres de la Confé- dération. L’AFF les communique au cas par cas si la reconstitution d’anciens blocs de données tenus hors du GDR l’exige. 4 Le droit de demander la destruction des données prévu par la législation sur la protection des données est réservé.

Chapitre 7 Harmonisation des applications spécialisées des domaines judiciaire et policier

Art. 31

1 Les services de la Confédération qui gèrent des applications spécialisées des

domaines judiciaire et policier collaborent avec les cantons afin d’harmoniser ces applications. 2 Les modalités de la collaboration, notamment la création d’organes communs à la Confédération et aux cantons, sont fixées dans des conventions conclues avec les cantons.

3 Les départements concernés peuvent conclure des conventions d’exécution pour

les différents projets. Celles-ci doivent respecter les prescriptions de la présente ordonnance.

4 Les départements concernés informent les organes communs des projets en cours

et futurs portant sur des applications spécialisées des domaines judiciaire et policier. Ils veillent à ce que ces dernières soient conformes aux décisions prises par les organes communs.

Chapitre 8 Finances et audit

Art. 32 Gestion financière des ressources affectées à l’informatique 1 L’inscription au budget et sur le compte d’État de la Confédération des ressources affectées à l’informatique s’effectue en principe de manière décentralisée. 2 Le secteur TNI de la ChF fournit les instruments nécessaires à la gestion des res- sources TNI et coordonne l’utilisation de ces ressources en accord avec les départe- ments et assure le contrôle interdépartemental de gestion. 3 Les fournisseurs internes de prestations tiennent une comptabilité analytique éten- due et présentent périodiquement au secteur TNI de la ChF, de manière transparente, les coûts et recettes des services standard.

Ordonnance sur la transformation numérique et l’informatique RO 2020

Art. 33 Ressources affectées de manière centralisée à la TNI 1 Le Conseil fédéral décide, dans le cadre du processus budgétaire de la Confédéra- tion, des ressources à affecter de manière centralisée. 2 Le chancelier de la Confédération décide, sur proposition du secteur TNI de la ChF et après avoir entendu la CSG, de l’attribution de ces ressources centralisées ins- crites au budget de la Confédération. 3 Le secteur TNI de la ChF peut attribuer, dans le cadre de l’exécution budgétaire et après avoir entendu le Conseil TNI, des ressources affectées de manière centralisée: a. que le chancelier de la Confédération n’a pas attribuées; b. que le chancelier de la Confédération a attribuées, mais qui n’ont pas été uti- lisées.

4 Il gère les ressources inscrites au budget de manière centralisée.

Art. 34 Audit de l’informatique 1 L’audit de l’informatique obéit aux principes de la surveillance financière au sein de la Confédération.

2 Il est effectué par le Contrôle fédéral des finances (CDF).

3 Les départements, la Chancellerie fédérale et le secteur TNI de la ChF peuvent

proposer au CDF des audits dans le domaine de la TNI.

Chapitre 9 Dispositions finales

Art. 35 Abrogation et modification d’autres actes

1 L’ordonnance du 9 décembre 2011 sur l’informatique et la télécommunication

dans l’administration fédérale (OIAF)5 est abrogée.

2 La modification d’autres actes est réglée en annexe.

Art. 36 Dispositions transitoires 1 Les autorités, organisations et personnes qui, avant l’entrée en vigueur de la pré- sente ordonnance, se sont engagées par un accord avec l’Unité de pilotage informa- tique de la Confédération (UPIC) à respecter les dispositions de l’OIAF6 sont sou- mises jusqu’au 31 décembre 2023 à la présente ordonnance dans la mesure de l’ancien droit. Elles sont soumises à la présente ordonnance à partir du 1er janvier 2024, à moins que l’accord ait été résilié avant cette date. Tous les droits et obliga- tions de l’UPIC prévus dans ces accords passent au secteur TNI de la ChF. 2 Les dérogations à l’OIAF ou aux directives fondées sur l’OIAF qui ont été approu- vées avant l’entrée en vigueur de la présente ordonnance conservent leur validité,

5 RO 2011 6093, 2015 4873, 2016 1783 3445, 2018 1093, 2020 2107 6 RO 2011 6093, 2015 4873, 2016 1783 3445, 2018 1093, 2020 2107

Ordonnance sur la transformation numérique et l’informatique RO 2020

dans la mesure où elles ne sont pas modifiées ou abrogées par l’autorité compétente au sens de la présente ordonnance.

3 Les directives du Conseil fédéral, du Département fédéral des finances et de

l’UPIC en matière informatique qui ont été adoptées avant l’entrée en vigueur de la présente ordonnance conservent leur validité, dans la mesure où elles n’entrent pas en contradiction avec la présente ordonnance et n’ont pas été modifiées ou abrogées par l’autorité compétente au sens de la présente ordonnance.

Art. 37 Entrée en vigueur La présente ordonnance entre en vigueur le 1er janvier 2021.

25 novembre 2020 Au nom du Conseil fédéral suisse: La présidente de la Confédération, Simonetta Sommaruga Le chancelier de la Confédération, Walter Thurnherr

Ordonnance sur la transformation numérique et l’informatique RO 2020

Annexe (art. 35, al. 2)

Modification d’autres actes

Les actes mentionnés ci-après sont modifiés comme suit:

1. Ordonnance du 27 mai 2020 sur les cyberrisques7

Art. 2, let. b La présente ordonnance s’applique: b. aux autorités, organisations et personnes visées à l’art. 2, al. 2, de l’ordon- nance du 25 novembre 2020 sur la transformation numérique et l’infor- matique (OTNI)8 qui s’engagent à la respecter.

Art. 11, al. 1, let. f

1 Le délégué à la cybersécurité assume les tâches suivantes:

f. décider de dérogations aux directives qu’il a édictées; si ces dérogations concernent également les directives de la Chancellerie fédérale concernant la transformation numérique et la gouvernance de l’informatique, il consulte cette dernière au préalable.

Art. 13, al. 2 2 Les fournisseurs de prestations internes visés à l’art. 9 OTNI9 rendent régulière- ment compte au NCSC des failles de sécurité et des cyberincidents détectés ainsi que des mesures prises ou prévues pour y remédier.

Art. 14, al. 1 1 Les unités administratives désignent chacune un délégué à la sécurité informatique (DSIO). Le secteur Transformation numérique et gouvernance de l’informatique de la Chancellerie fédérale désigne par ailleurs un délégué à la sécurité informatique des services standard.

Art. 16, al. 1 1 Les autorités et offices qui, avant l’entrée en vigueur de la présente ordonnance, se sont engagées par le biais d’un accord avec l’Unité de pilotage informatique de la Confédération (UPIC) à respecter les dispositions de l’ordonnance du 9 décembre

7 RS 120.73 8 RS 172.010.58 9 RS 172.010.58

Ordonnance sur la transformation numérique et l’informatique RO 2020

2011 sur l’informatique dans l’administration fédérale (OIAF)10 sont soumises

jusqu’au 31 décembre 2021 aux obligations de la présente ordonnance dans la me- sure de l’ancien droit.

2. Ordonnance du 15 août 2018 sur l’entrée et l’octroi de visas11

Art. 52, al. 2 2 Si les dispositions cantonales de protection des données n’assurent pas un niveau de protection adéquat, la sécurité des données est régie par l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données12 et l’ordonnance du 27 mai 2020 sur les cyberrisques13.

3. Ordonnance VIS du 18 décembre 201314

Art. 34, let. b et c La sécurité des données est régie par: b. l’ordonnance du 27 mai 2020 sur les cyberrisques15; c. les directives du Conseil fédéral du 16 janvier 2019 concernant la sécurité informatique dans l’administration fédérale16.

4. Ordonnance du 19 novembre 2003 sur l’égalité pour les handicapés17

Art. 10, al. 2, let. a 2 Les unités administratives et organes suivants adoptent les directives nécessaires:

a. le secteur Transformation numérique et gouvernance de l’informatique de la Chancellerie fédérale, pour les unités administratives selon l’art. 2, al. 1,

10 RO 2011 6093, 2015 4873, 2016 1783 3445, 2018 1093, 2020 2107 11 RS 142.204 12 RS 235.11 13 RS 120.73 14 RS 142.512 15 RS 120.73 16 FF 2019 1283 17 RS 151.31 18 RS 172.010

Ordonnance sur la transformation numérique et l’informatique RO 2020

5. Ordonnance du 25 novembre 1998 sur l’organisation du

gouvernement et de l’administration19

Art. 16, al. 3

3 Le Conseil fédéral édicte son règlement d’organisation.

6. Ordonnance GEVER du 3 avril 201920

Art. 1, al. 1

1 La présente ordonnance s’applique:

a. aux unités de l’administration fédérale centrale au sens de l’art. 7 de l’ordon- nance du 25 novembre 1998 sur l’organisation du gouvernement et de l’ad- ministration (OLOGA)21; b. aux autorités, organisations et personnes visées à l’art. 2, al. 2, de l’ordon- nance du 25 novembre 2020 sur la transformation numérique et l’infor- matique (OTNI)22 qui s’engagent à la respecter.

Titre précédant l’art. 15 Section 4 Stratégie GEVER et compétences dans l’administration fédérale

Art. 15 Stratégie GEVER

1 Le chancelier de la Confédération, sur proposition du secteur Transformation

numérique et gouvernance de l’informatique de la Chancellerie fédérale (secteur TNI de la ChF) et après avoir entendu la Conférence des secrétaires généraux (CSG), définit la stratégie de la Confédération en matière de gestion des affaires de l’administration fédérale (stratégie GEVER). 2 L’élaboration et la mise en œuvre de la stratégie GEVER sont coordonnées par le secteur TNI de la ChF.

Art. 16 Abrogé

Art. 17, al. 1, 4 et 6

1 Le Groupe spécialisé GEVER Confédération est composé d’un représentant du

Service GEVER Confédération et d’un représentant de chaque département et de la

19 RS 172.010.1 20 RS 172.010.441 21 RS 172.010.1 22 RS 172.010.58

Ordonnance sur la transformation numérique et l’informatique RO 2020

Chancellerie fédérale. Le représentant du Service GEVER Confédération préside le groupe.

4 Un représentant des Archives fédérales suisses et un représentant du Centre de

services informatiques du Département fédéral de l’économie, de la formation et de la recherche participent aux séances à titre consultatif. D’autres personnes peuvent être invitées à y participer ponctuellement à titre consultatif. 6 Il prépare les décisions du secteur TNI de la ChF relatives à GEVER standardisé, notamment les décisions relatives à la configuration spécialisée et à l’ordre de priori- té des exigences relatives aux affaires.

Art. 18, al. 2, phrase introductive et let. a à c

2 Ses tâches sont notamment les suivantes:

a. préparer les affaires du Groupe spécialisé GEVER Confédération et exécuter les mandats que ce dernier lui confie dans ce contexte; b. abrogée c. abrogée

7. Ordonnance du 22 février 2012 sur le traitement des données

personnelles liées à l’utilisation de l’infrastructure électronique de la Confédération23

Art. 3 Conservation sécurisée des données Les données doivent être conservées de manière sécurisée conformément aux dispo- sitions de l’ordonnance du 27 mai 2020 sur les cyberrisques24.

8. Ordonnance du 19 octobre 2016 sur les systèmes de gestion

des données d’identification et les services d’annuaires de la Confédération25

Remplacement d’une expression Dans tout l’acte, «UPIC» est remplacé par «secteur TNI de la ChF», en procédant aux ajustements grammaticaux nécessaires.

Art. 5, al. 1, let. a

1 Les organes de la Confédération responsables des systèmes IAM sont:

23 RS 172.010.442 24 RS 120.73 25 RS 172.010.59

Ordonnance sur la transformation numérique et l’informatique RO 2020

a. le secteur Transformation numérique et gouvernance de l’informatique de la Chancellerie fédérale (secteur TNI de la ChF), pour tous les systèmes IAM proposés comme services standard et tous les systèmes IAM relevant expli- citement du secteur TNI de la ChF;

9. Ordonnance du 24 octobre 2012 sur l’organisation

des marchés publics de l’administration fédérale26

Art. 25, al. 2 2 Ses membres se recrutent en particulier dans les services d’achat centraux, dans le secteur Transformation numérique et gouvernance de l’informatique de la Chancel- lerie fédérale (secteur TNI de la ChF), à l’Office fédéral de l’environnement (OFEV), au Secrétariat d’Etat à l’économie (SECO) et au Secrétariat général du DFAE (SG-DFAE).

Art. 29, al. 3

3 Il est dirigé par le secteur TNI de la ChF.

10. Ordonnance du 20 septembre 2013 relative au système

d’information en matière pénale de l’Administration fédérale des douanes27

Art. 18, al. 1 1 La garantie de la sécurité des données est régie par les art. 20 et 21 de l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données28 et par les dispositions de l’ordonnance du 27 mai 2020 sur les cyberrisques29.

11. Ordonnance RIPOL du 26 octobre 201630

Art. 14, al. 2 2 La sécurité des données est garantie par l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données31, par l’ordonnance du 27 mai 2020 sur les

26 RS 172.056.15 27 RS 313.041 28 RS 235.11 29 RS 120.73 30 RS 361.0 31 RS 235.11

Ordonnance sur la transformation numérique et l’informatique RO 2020

cyberrisques32 et par les directives du Conseil fédéral du 16 janvier 2019 concernant la sécurité informatique dans l’administration fédérale33.

12. Ordonnance N-SIS du 8 mars 201334

Art. 53, al. 1, let. b et c

1 La sécurité des données se fonde sur:

b. l’ordonnance du 27 mai 2020 sur les cyberrisques35; c. les directives du Conseil fédéral 16 janvier 2019 concernant la sécurité in- formatique dans l’administration fédérale36.

13. Ordonnance du 2 juillet 2008 sur les armes37

Art. 62, al. 2 2 Aux fins de gestion fine de l’accès, la Chancellerie fédérale peut, à titre régulier et pour chaque utilisateur, communiquer au système d’information harmonisé commun relatif à l’acquisition et à la possession d’armes à feu les données relatives au nom, le sigle, les identificateurs locaux, l’adresse électronique, les coordonnées ainsi que les données concernant les rapports de travail, fonctions et rôles de chaque utilisa- teur qu’elle a tirées du système de gestion des données d’identification de la Confé- dération.

1 La sécurité des données est garantie conformément à l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données38, à l’ordonnance du 27 mai

2020 sur les cyberrisques39 et aux directives du Conseil fédéral 16 janvier 2019

concernant la sécurité informatique dans l’administration fédérale40.

32 RS 120.73 33 FF 2019 1283 34 RS 362.0 35 RS 120.73 36 FF 2019 1283 37 RS 514.541 38 RS 235.11 39 RS 120.73 40 FF 2019 1283

Ordonnance sur la transformation numérique et l’informatique RO 2020

14. Ordonnance du 2 mars 2018 sur l’État-major fédéral Protection

de la population41

Annexe 1, ch. 6.2 Abrogé

15. Ordonnance du 10 mai 2017 sur l’approvisionnement

économique du pays42

Art. 8, al. 1, let. n

1 Le délégué peut confier des tâches d’approvisionnement économique du pays aux

entités fédérales suivantes: n. Chancellerie fédérale;

16. Ordonnance du 5 avril 2006 sur les finances de la Confédération43

Art. 18, al. 3

3 L’Administration des finances édicte, conjointement avec l’Office fédéral du

personnel (OFPER) et le secteur Transformation numérique et gouvernance de l’informatique de la Chancellerie fédérale (secteur TNI de la ChF), des instructions techniques relatives à la procédure applicable aux demandes budgétaires.

Art. 22, al. 1 1 L’Administration des finances, le secteur TNI de la ChF et l’OFPER vérifient si les demandes budgétaires des unités administratives sont conformes aux principes mentionnés à l’art. 12, al. 4, LFC, ainsi qu’aux directives et exigences au sens des art. 18 et 21.

Art. 27i Directives complémentaires L’Administration des finances édicte des directives complémentaires concernant les art. 27a à 27h. Elle édicte les directives concernant les art. 27d et 27e en accord avec l’OFPER et le secteur TNI de la ChF.

41 RS 520.17 42 RS 531.11 43 RS 611.01

Ordonnance sur la transformation numérique et l’informatique RO 2020

17. Ordonnance du 23 août 2017 sur le traitement des données

Art. 12, al. 1 1 La garantie de la sécurité des données est régie par les art. 20 et 21 de l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données45 et par l’ordonnance du 27 mai 2020 sur les cyberrisques46.

18. Ordonnance du 31 octobre 2007 sur les allocations familiales47

1 La protection des données et la sécurité informatique sont régies par les disposi- tions suivantes: a. l’ordonnance du 27 mai 2020 sur les cyberrisques48; b. les directives du Conseil fédéral du 16 janvier 2019 concernant la sécurité informatique dans l’administration fédérale49.

19. Ordonnance du 20 août 2014 sur le système d’information

du service civil50

Art. 11, al. 1, let. b et c

1 La sécurité des données est régie par les dispositions suivantes:

b. l’ordonnance du 27 mai 2020 sur les cyberrisques51; c. les directives du Conseil fédéral du 16 janvier 2019 concernant la sécurité informatique dans l’administration fédérale52.

44 RS 631.061 45 RS 235.11 46 RS 120.73 47 RS 836.21 48 RS 120.73 49 FF 2019 1283 50 RS 824.095 51 RS 120.73 52 FF 2019 1283

Ordonnance sur la transformation numérique et l’informatique RO 2020

20. Ordonnance du 27 novembre 2000 sur les explosifs53

1 La sécurité des données est garantie conformément à l’art. 7 de la loi fédérale du 19 juin 1992 sur la protection des données54, à l’ordonnance du 27 mai 2020 sur les cyberrisques55 et aux directives du Conseil fédéral du 16 janvier 2019 concernant la sécurité informatique dans l’administration fédérale56.

53 RS 941.411 54 RS 235.1 55 RS 120.73 56 FF 2019 1283