En mars 2018, la Chambre du peuple avait refusé l'entrée en matière à près de deux contre un. La majorité avait estimé la réforme trop complexe, elle doutait de son efficacité et craignait son coût. Le Conseil des Etats a décidé l'inverse en automne 2018, forçant la main au National.
Le projet veut renforcer et sécuriser le fonctionnement de l'Etat, a expliqué Pierre-Alain Fridez (PS/JU) au nom de la commission. Les différentes cyberattaques ont montré les lacunes dans notre système. La loi offre un cadre moderne au domaine de la cybersécurité, a avancé la conseillère fédérale Viola Amherd.
La réglementation se fonde sur des normes internationales éprouvées. Le principe de la transparence dans l'administration n'est pas remis en cause. Seule l'UDC s'est opposée à un "monstre bureaucratique". Selon David Zuberbühler (UDC/AR), le projet n'augmente pas la sécurité de l'information, mais les coûts.
Destiné aux autorités
La loi s'adresse en premier lieu aux autorités fédérales, y compris au Parlement, aux tribunaux fédéraux, au Ministère public de la Confédération et à la Banque nationale suisse. Un standard minimal sera introduit. Les particuliers et les acteurs du secteur de l'économie ne sont concernés que dans la mesure où ils exercent des activités sensibles sur mandat des autorités fédérales.
La collaboration avec les cantons qui devront assurer le même niveau de sécurité que la Confédération sera améliorée. Les cantons pourront recourir pour leurs propres besoins aux services spécialisés prévus. Ils seront également inclus dans l'organe de coordination pour la standardisation des mesures.
Contrôles de sécurité
Le Conseil fédéral souhaite lever le pied concernant les contrôles de sécurité, qui doivent assurer à l'embauche que certains employés ne présentent pas de danger. Il veut réduire leur nombre de quelque 80'000 par an au strict minimum nécessaire à l'identification de risques considérables pour la Confédération.
Seules les personnes qui exercent des activités sensibles devraient être concernées; il s'agit notamment des collaborateurs externes qui seront soumis à un contrôle systématique. Les magistrats cantonaux élus par le peuple ou par le parlement du canton ne devraient pas y être soumis, a tacitement décidé la Chambre.
Des contrôles de loyauté pourraient aussi être menés pour les personnes appelées à exercer des tâches policières ou de poursuite pénale dans le cadre de leur fonction. L'Autorité de surveillance du MPC pourrait aussi recourir à ces contrôles. Le Secrétariat d'Etat aux migrations pourrait quant à lui faire vérifier la loyauté des interprètes et des traducteurs.
Les tiers auxquels la société nationale du réseau de transport attribue des fonctions critiques peuvent être soumis à un contrôle périodique de sécurité relatif aux personnes.
Les autorités et organisations concernées pourront prendre des mesures dans les zones de sécurité. Les appareils de prises de vue et de son pourront être interdits.
AVS
Contrairement aux sénateurs, le Conseil national ne souhaite pas que toutes les autorités et organisations concernées par la loi puissent systématiquement se servir du numéro AVS pour identifier des personnes, a-t-il décidé par 137 voix contre 52. Ces organisations auront toutefois la possibilité de l'utiliser de manière temporaire.
Pour Beat Flach, ce numéro permet d'identifier en toute sécurité une personne et d'éviter des confusions. Son utilisation ne représente pas une lacune dans la sécurité de l'information. Le numéro AVS est très bien sécurisé, a avancé la ministre de la défense.
Contrôle du Parlement
Le National a suivi le Conseil des Etats et ajouté nommément l'approvisionnement en eau potable et en énergie parmi les infrastructures critiques. Les installations hospitalières ne seront pas explicitement mentionnées. Elles sont déjà incluses dans la notion d'"infrastructures essentielles au fonctionnement de l'économie et du bien-être de la population".
Le Conseil fédéral devrait consulter les commissions compétentes lorsqu'il fixe les objectifs et les coûts de la sécurité de l'information, a décidé le National par 158 voix contre 22. Cette disposition est superflue, a estimé Mme Amherd. Le Parlement a déjà cette compétence.