Wortlaut

Lors de la pandémie Covid-19 et maintenant avec la crise de l'énergie et d'approvisionnement, l'importance de disposer de compétences nationales pour la fourniture de prestations essentielles à la Confédération a été mise en lumière.

Si de nombreuses entreprises ont pris conscience de ce fait et ont mis en place une stratégie de production et d'approvisionnement de proximité, nous nous interrogeons sur la stratégie mise en place par la Confédération pour ses propres services.

Si l'effort est souvent porté sur les marchandises, il convient également d'avoir une attention particulière sur les services essentiels, en particulier sur la fourniture et la maintenance de nos systèmes informatiques que cela soit au niveau matériel mais surtout logiciel.

- Peut-on nous indiquer si des secteurs stratégiques font appel à des fournisseurs étrangers pour l'élaboration et la maintenance de logiciels et les raisons qui ont poussé la Confédération à donner un mandat ou des mandats à l'étranger ?

- Quels sont les pays concernés par ces mandats externes et avons-nous les garanties que les données mises à disposition sont utilisées de manière confidentielle et sans risque pour la sécurité informatique de notre pays ?

Stellungnahme des Bundesrates

1. Le rapport annuel sur les marchés publics des services d'achat centraux de la Confédération (armasuisse, OFROU, OFCL et Centrale des voyages de la Confédération au DFAE) informe notamment sur le nombre de contrats conclus avec des fournisseurs suisses et étrangers. Depuis 2022, l'administration fédérale publie en outre la liste des marchés d'une valeur minimale de 50 000 francs avec des indications sur leur objet, le lieu et l'unité administrative adjudicatrice. Le rapport et la liste peuvent être consultés sur le site de la Conférence des achats de la Confédération (CA) (www.bkb.admin.ch > La CA > Rapports sur les marchés publics). En 2021, la liste faisait état de 1480 contrats concernant des services informatiques, des logiciels pour des systèmes militaires, des logiciels et des licences, et la maintenance de logiciels et de matériel informatique, dont 100 (7 %) avaient été adjugés à des fournisseurs à l'étranger.

La loi fédérale sur les marchés publics (LMP ; RS 172.056.1) dispose que les marchés publics sont soumis à la concurrence. Selon les règles, contraignantes pour la Suisse, de l'accord révisé sur les marchés publics (RS 0.632.231.422), la concurrence doit être ouverte aux États étrangers membres de l'accord. Si un soumissionnaire étranger présente l'offre la plus avantageuse, le marché lui est adjugé (art. 41 LMP).

Les marchés publics ne peuvent être attribués directement à un fournisseur qu'à titre exceptionnel. Les conditions à remplir pour une telle adjudication de gré à gré sont réglées à l'art. 21 LMP et les motifs concrets dépendent du cas d'espèce.

2. Des soumissionnaires qui ont leur siège en Europe de l'Ouest remportent principalement des marchés des catégories mentionnées au ch. 1. En 2021, les contrats dont la valeur était la plus importante ont été conclus avec des fournisseurs de France, d'Israël, de Grèce, des Pays-Bas et d'Autriche.

Pour tout achat de moyens ou de services informatiques, l'administration fédérale est tenue de respecter les directives en matière de sécurité informatique et les procédures de sécurité (art. 14, al. 3, let. b, de l'ordonnance sur les cyberrisques [OPCy ; RS 120.73] et art. 9 de la loi sur la sécurité de l'information [LSI], dont l'entrée en vigueur est prévue à l'automne 2023). L'analyse des besoins de protection fait partie des procédures de sécurité (art. 14b ss OPCy). Elle permet de déterminer s'il existe des risques importants qui exigent des mesures de protection supplémentaires. Étant donné que ces prescriptions administratives ne sont pas applicables directement aux partenaires privés, l'autorité doit s'assurer contractuellement qu'elles seront respectées (art. 14, al. 3, let. d, OPCy, et art. 9 LSI dont l'entrée en vigueur est prévue à l'automne 2023). Les entreprises et les tiers qui exécutent des mandats classifiés selon les art. 4 ss de l'ordonnance concernant la protection des informations (OPrI ; RS 510.411) doivent en outre se soumettre à la procédure concernant la sauvegarde du secret et à la procédure de sécurité relative aux entreprises. Ces procédures ont pour but d'éviter que l'adjudication crée des risques inacceptables (voir à ce sujet les chapitres 3 et 4 du rapport du Conseil fédéral publié le 24 novembre 2021 en réponse aux postulats Dobler 19.3135 " Acquisitions de l'armée. Avons-nous la maîtrise de la cybersécurité ? " et 19.3136 " Infrastructures critiques. Avons-nous la maîtrise des composants matériels et logiciels ? " du 18 mars 2019).

Réponse du Conseil fédéral.