Le Contrôle fédéral des finances critique l’e-ID et recommande de reporter son lancement
À quelques mois de l’introduction prévue de l’e-ID, le Contrôle fédéral des finances (CDF) met en garde contre des risques. Il pointe des faiblesses de sécurité, des lacunes conceptuelles et des délais très serrés. Le CDF recommande de repousser la date de lancement afin de ne pas compromettre la sécurité de ce projet de 182 millions de francs.
Le Contrôle fédéral des finances (CDF) dresse un tableau préoccupant de l’état d'avancement du projet d’introduction de l’e-ID. Dans un nouveau rapport (PDF), l’autorité de surveillance met en garde contre un risque central: sous la pression croissante des délais, l’équipe pourrait sacrifier la phase finale et déterminante de tests et de stabilisation prévue pour l’été 2026, afin d’achever les développements en cours.
Le CDF insiste sur le fait que l’absence d’erreurs et la stabilité doivent primer sur le calendrier.C'est pourquoi il préconise de reporter la date de lancement prévue pour le troisième trimestre 2026 plutôt que de lancer un produit inachevé.
Des fonctions de sécurité critiques encore absentes
Le CDF se montre particulièrement alarmé par l'état de la sécurité technique. L'équipe chargée du projet n'a en effet pas encore achevé la conception d'un chiffrement de bout en bout des données utilisateur. Cette fonction doit garantir que seules les parties impliquées dans une transaction puissent lire les informations. Le CDF se dit « surpris » que cette mesure de sécurité fondamentale n’ait pas été intégrée dès le départ au concept, mais doive être ajoutée ultérieurement.
Le rapport critique également la sécurité des accès pour des organisations telles que les services cantonaux des automobiles, qui devront par exemple délivrer le permis d’élève conducteur numérique (ePEC) via la même infrastructure. Leur accès technique au système repose actuellement uniquement sur une simple combinaison nom d’utilisateur–mot de passe, que le CDF juge «techniquement peu sûr et obsolète».
Le système visant à instaurer la confiance reste inutilisé
Le CDF identifie un autre point critique dans le fonctionnement du «registre de confiance». Le système prévoit que les entreprises et les autorités qui consultent les données d'identification électronique puissent faire vérifier la légitimité de leurs demandes par la Confédération. Les entités ayant passé le contrôle avec succès pourraient être signalées comme particulièrement fiables dans l'application d'identification électronique «Swiyu».
Cependant, l'équipe chargée du projet prévoit de renoncer à cette fonction dans le cadre de l'e-ID. Le CDF estime au contraire qu’il s’agit d’un potentiel inexploité, une telle identification pouvant renforcer la confiance des utilisateurs dans les transactions.
Le rapport révèle d'autres lacunes opérationnelles pour les responsables informatiques et les équipes de développement qui souhaitent s'appuyer sur l'écosystème e-ID. Le CDF recommande instamment à la Confédération de tenir et de publier une nomenclature complète des composants logiciels (Software Bill of Materials, SBOM). Un tel inventaire est indispensable pour la gestion des risques des entreprises qui connectent leurs propres applications à l’e-ID. Cette mesure importante n’est pas encore mise en œuvre.
Une reconnaissance internationale incertaine
L'audit met également en lumière les incertitudes quant à la reconnaissance internationale de la solution suisse. Selon l’analyse actuelle, l’e-ID suisse n’atteindrait que le niveau de sécurité « substantiel », alors que l’Union européenne vise le niveau supérieur («élevé»). Cette différence pourrait compliquer la reconnaissance mutuelle, notamment parce que la Confédération ne contrôle pas la sécurité des téléphones mobiles privés utilisés. Des discussions politiques officielles sur la reconnaissance ne pourront de toute façon débuter qu’après l’entrée en vigueur de la loi sur l’e-ID.
Dans leurs prises de position, les offices fédéraux responsables — l’Office fédéral de la justice (OFJ) et l’Office fédéral de l’informatique et de la télécommunication (OFIT) — rejettent les critiques. Selon eux, les points soulevés ne constituent pas des défauts, mais des tâches ouvertes planifiées dans un processus de développement agile. L'OFIT reproche au Contrôle fédéral des finances une « présentation inadéquate de la situation en matière de risques » et fait valoir que les aspects critiqués seront abordés au cours du projet. Pour le CDF, le message central demeure toutefois inchangé: la confiance de la population suisse dans l’e-ID étatique ne bénéficiera pas d’une seconde chance.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
