Champ d'application

1. Ce règlement s'applique à l'administration publique conformément à l'art. 1 de la loi sur l'administration publique du 16 juin 1994, à l'exception des établissements publics autonomes de droit public.

2. Il s'applique de manière appropriée aux tribunaux et autres autorités judiciaires, dans la mesure où ceux-ci n'agissent pas à titre judiciaire.

1. Les systèmes informatiques sont protégés contre les influences extérieures et les accès non autorisés par des mesures organisationnelles et techniques appropriées.

1. Les termes suivants signifient

a) Systèmes informatiques : Appareils et installations ainsi que l'infrastructure, le logiciel d'exploitation et les applications informatiques associés, qui sont utilisés pour le traitement électronique des données, y compris les données traitées.

b) Applications informatiques : Programmes qui permettent l'utilisation de systèmes informatiques pour accomplir ou soutenir certaines tâches.

c) Données : Toutes les informations numériques traitées par des systèmes informatiques.

d) Événement : Violation de la sécurité informatique entraînant un dommage financier ou une perte d'image, ou qui a pour conséquence une diminution massive de la disponibilité des systèmes informatiques concernés.

e) Exploitation normale : Fonctionnement des systèmes informatiques dans des conditions normales.

f) Exploitation d'urgence : Fonctionnement des systèmes informatiques concernés après l'occurrence d'un événement.

1. La Conférence des responsables informatiques des départements établit les mesures de sécurité, classées selon les risques, dans un catalogue de mesures. Les mesures de sécurité servent à réduire les risques.

2. Les bureaux évaluent les risques, déterminent les niveaux de sécurité, identifient les mesures de sécurité à prendre et veillent à leur mise en œuvre.

3. Les départements et le Service de planification informatique contrôlent la classification des systèmes et applications informatiques.

1. Les responsables informatiques départementaux et le Service de planification informatique conseillent les offices dans l'évaluation des risques, la détermination des niveaux de sécurité, l'identification des mesures de sécurité ainsi que dans leur mise en œuvre et leur vérification.

1. Les offices déterminent individuellement les menaces pour leurs systèmes et applications informatiques en classifiant les données qu'ils gèrent.

2. Ils prennent en compte les risques liés à un comportement imprudent ou malveillant des employés et des tiers, en raison des défauts techniques des appareils et des bâtiments, ainsi qu'en raison des incendies et des événements naturels.

1. Sont considérées comme « secrètes » les données qui se rapportent à des données personnelles particulièrement dignes de protection, à des profils de personnalité, à des données dont le mauvais usage pourrait désavantager considérablement une personne concernée sur le plan social et économique, ou à des données protégées contractuellement.

2. Sont considérées comme « confidentielles » les données qui concernent des données personnelles, des données dont le mauvais usage pourrait désavantager une personne concernée sur le plan social et économique, des données de pertinence financière ou des données pour lesquelles une obligation d'archivage existe.

3. Toutes les autres données sont classées comme non classifiées en termes de confidentialité.

1. L'exigence de « haute disponibilité » s'applique aux données dont l'indisponibilité met en danger des vies ou dont l'importance pour l'accomplissement de tâches est telle que leur disponibilité doit être rétablie sur un système informatique approprié dans un délai d'un jour. Les mêmes exigences de disponibilité s'appliquent aux données dont la récupération est impossible et dont la perte entraîne un préjudice financier considérable ou un dommage d'image auprès du public.

2. L'exigence de « disponibilité moyenne » s'applique aux données dont l'importance pour l'accomplissement de tâches est telle que leur disponibilité doit être rétablie sur un système informatique approprié dans un délai de trois jours. Les mêmes exigences de disponibilité s'appliquent aux données dont la récupération est possible, mais dont la perte entraîne un préjudice financier moyen ou un dommage d'image au sein de l'administration.

3. Toutes les autres données sont classifiées comme non classifiées concernant la disponibilité.

1. En cas de classification «secret» ou «haute disponibilité», une protection élevée est garantie pour les systèmes et applications informatiques.

2. En cas de classification «confidentiel» ou «disponibilité moyenne», une protection moyenne est garantie pour les systèmes et applications informatiques.

3. Lorsque les données sont classées comme non classifiées, une protection de base est garantie pour les systèmes et applications informatiques.

1. Un catalogue de mesures établit, après la classification des données, les mesures de sécurité informatique pour les systèmes et applications informatiques concernant

a) la prévention d'une divulgation non autorisée des données (confidentialité) ;

b) la prévention d'une modification non autorisée des données ou des droits d'accès (intégrité et authenticité) ;

c) la durée maximale admissible d'une défaillance (disponibilité).

2. La conférence des responsables informatiques des départements est chargée de l'élaboration et de la mise à jour du catalogue de mesures.

1. Les offices désignent une organisation de sécurité informatique.

2. La personne responsable au sein de l'organisation de sécurité informatique

a) prend les mesures préventives nécessaires ;

b) assure, après la survenance d'un événement, la continuité de l'activité avec l'aide des systèmes informatiques et leur rétablissement à un fonctionnement normal.

1. Le responsable informatique du département assure la coordination interservices au sein du département ou de la chancellerie d'État.

1. Le Service de planification informatique assure la coordination inter-départementale. À cet effet, il désigne un Responsable cantonal de la sécurité informatique.

2. Le Responsable cantonal de la sécurité informatique intervient tant en fonctionnement normal qu'en fonctionnement d'urgence.

1. L'état-major cantonal désigne une sous-section informatique.

2. La sous-section informatique est déployée lors de grands événements, situations d'urgence et catastrophes, lorsque la sécurité informatique est menacée.

1. Les offices classent les systèmes et applications informatiques existants selon la classification des données et veillent à la mise en œuvre des mesures de sécurité requises.

1. Lors de l'acquisition ou du remplacement de systèmes et d'applications informatiques, les bureaux déterminent et mettent en œuvre les mesures de sécurité informatique nécessaires dans le cadre des projets de mise en œuvre.

1. Les autorités informent les employés des mesures de sécurité qu'ils doivent respecter.

2. Elles veillent à la formation.

1. Lorsqu'un office traite des données par l'intermédiaire d'autres offices ou les échange avec eux, les niveaux et mesures de sécurité ainsi que les responsabilités pour la mise en œuvre sont définis conjointement.

1. Lorsqu'une autorité confie le traitement de données à des organismes qui ne sont pas soumis à ce règlement, le contrat de collaboration doit stipuler les mesures que le mandataire doit prendre et la manière dont leur conformité sera contrôlée.

1. L'échange de données sur les réseaux publics n'est autorisé que par le biais de points d'accès sécurisés. Sont considérés comme publics tous les réseaux en dehors du réseau de communication KOMSG du canton.

2. L'accès aux réseaux internes du canton depuis les réseaux publics s'effectue via les passerelles sécurisées fournies par l'opérateur de réseau.

3. L'opérateur de réseau peut accorder des exceptions.

1. Les conditions dans lesquelles le traitement des données en dehors des locaux de l'administration et l'utilisation de ces données sur des appareils privés sont autorisées sont régies par une directive administrative.

1. Les offices vérifient périodiquement le respect et l'adéquation des mesures de sécurité informatique.

2. Si les tâches, l'organisation ou les systèmes ou applications informatiques utilisés par un office changent, ils réexaminent les niveaux de sécurité et les objectifs de protection ainsi que l'adéquation des mesures de sécurité informatique.

1. Pour les systèmes et applications informatiques classés sous « haute disponibilité » ou « secret », les offices font périodiquement vérifier les mesures de sécurité informatique par des organismes indépendants internes ou externes.

2. Le responsable cantonal de la sécurité informatique peut demander des vérifications ponctuelles.

3. Pour les systèmes et applications informatiques classés sous « haute disponibilité », un plan d'urgence est élaboré et testé périodiquement.

1. L'ordonnance relative à la division du traitement des données et de l'organisation du 22 avril 1975 est abrogée.

1. Pour les systèmes et applications informatiques existants, les offices évaluent, dans les deux ans suivant l'entrée en vigueur de ce règlement, les risques et établissent les niveaux de sécurité, les mesures de sécurité informatique ainsi que le calendrier de leur mise en œuvre.

1. Ce décret est appliqué à compter du 1er mars 2004.