Services en nuage et services à double usage. Combler les lacunes de la législation sur le contrôle des biens

Le Conseil fédéral est chargé d’adapter les bases légales, notamment la loi sur le contrôle des biens (LCB) et l’ordonnance sur le contrôle des biens (OCB), de telle sorte que la mise à disposition d’infrastructures et de services numériques, notamment les infrastructures en nuage (IaaS), les services de plateforme (PaaS), le software as a service (SaaS) et les accès à distance, soit aussi soumise à une obligation d’autorisation ou de déclaration lorsqu’il existe un risque concret d’utilisation à des fins militaires ou déterminantes pour la sécurité.

Ce faisant, il veillera en particulier :

1. non seulement à réexaminer et à adapter la distinction actuelle entre l’exportation physique et la fourniture numérique de technologies déterminantes pour la sécurité, mais aussi à combler les lacunes existantes ;
2. à faire en sorte que les autorités responsables disposent d’instruments adaptés pour recenser et contrôler efficacement les transferts immatériels de technologies et les futures formes de services numériques, sans se limiter à une technologie particulière ;
3. à faire en sorte que la Suisse exploite et développe les marges de manœuvre dont elle dispose dans le cadre de l’Arrangement de Wassenaar.

Dans sa réponse à l’interpellation 25.4530, le Conseil fédéral précise que les infrastructures en nuage telles que « IaaS », « PaaS » et « SaaS » ne sont actuellement pas considérées comme des exportations au sens de la législation sur le contrôle des biens et qu’elles ne sont donc pas soumises à autorisation. Par ailleurs, il n’existe aucun mécanisme de contrôle spécifique pour ce type de services, sauf si un logiciel figurant explicitement sur la liste déterminante est concerné.

Cette situation juridique permet d’accéder depuis la Suisse à des infrastructures numériques susceptibles d’avoir une incidence sur la sécurité, sans qu’un contrôle systématique au titre de la législation sur le contrôle des exportations soit effectué. Compte tenu de l’importance croissante des technologies numériques dans le domaine militaire et dans celui du renseignement, l’approche axée principalement sur les biens physiques atteint ses limites et n’est plus adaptée à notre époque.

La pratique actuelle, en vertu de laquelle les contrôles ne sont effectués qu’au cas par cas et sur la base d’informations concrètes, n’est pas suffisante pour prévenir les abus. Qui plus est, l’évolution technologique fulgurante, notamment dans le domaine des nouveaux modèles « as a service », nécessite une approche englobant toutes les technologies afin d’éviter toute lacune à l’avenir.