338 L Arrêté grand-ducal du 10 février 2015 1. portant fixation de la gouvernance en matière de gestion de la sécurité de l’information 2. modifiant l’arrêté grand-ducal du 30 juillet 2013 déterminant l’organisation et les attributions du Centre gouvernemental de traitement des urgences informatiques, aussi dénommé «Computer Emergency Response Team Gouvernemental». Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau, Vu l’article 76 de la Constitution; Vu l’arrêté royal grand-ducal du 9 juillet 1857 portant organisation du Gouvernement grand-ducal, tel qu’il a été modifié; Vu l’arrêté grand-ducal du 28 janvier 2015 portant constitution des Ministères; Sur le rapport de Notre Premier Ministre, Ministre d’Etat et après délibération du Gouvernement en Conseil; Arrêtons: Art. 1er. Aux fins du présent arrêté grand-ducal, on entend par: – «Sécurité de l’information»: sécurité autour des systèmes d’information classifiés et non classifiés installés et exploités par l’Etat et les opérateurs d’infrastructures critiques pour leurs besoins propres, – «Systèmes de communication et d’information»: tout système d’information et de communication et tout autre système électronique traitant des informations, – «Système de communication et d’information classifié»: tout système de communication et d’information où sont traitées des pièces classifiées telles que définies dans la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité, – «Informations classifiées»: toute information ou tout matériel identifié comme tel par la classification de sécurité de l’entité correspondante, dont la divulgation non autorisée pourrait porter atteinte à des degrés divers aux intérêts de l’entité correspondante, – «Bureau d’ordre central»: entité nationale responsable de la réception, de la comptabilisation, de la distribution et de la destruction de toutes les pièces classifiées au Grand-Duché de Luxembourg, – «Bureau d’ordre auxiliaire»: entité décentralisée d’un département ministériel, administration, service ou autre structure spécifique responsable de la réception, de la comptabilisation, de la distribution et de la destruction des pièces classifiées de ce département ministériel, administration, service ou autre structure, – «Agence nationale de la sécurité des systèmes d’information (ANSSI)»: autorité nationale en matière de sécurité des systèmes d’information classifiés et non classifiés installés et exploités par l’Etat et les opérateurs d’infrastructures critiques pour leurs besoins propres, – «Computer Emergency Response Team Gouvernemental (CERT gouvernemental)»: centre gouvernemental de traitement des urgences informatiques tel que créé par l’arrêté grand-ducal du 30 juillet 2013 déterminant l’organisation et les attributions du Centre gouvernemental de traitement des urgences informatiques, aussi dénommé «Computer Emergency Response Team Gouvernemental», – «Computer Emergency Response Team National (CERT national)»: centre national de traitement des urgences informatiques. Art. 2.- La gouvernance de la gestion de la sécurité de l’information classifiée et non classifiée, est organisée autour des trois autorités suivantes: – autorité régulatrice et gestionnaire d’incidents – autorité opérationnelle – autorité homologative. Art. 3. (1) Le Haut-Commissariat à la Protection Nationale assure la fonction d’ANSSI. Celle-ci est considérée comme autorité régulatrice et gestionnaire d’incidents. (2) L’ANSSI a pour missions: 1. de définir les politiques et lignes directrices en matière de la sécurité de l’information (classifiée et non classifiée) et d’en surveiller l’efficacité et la pertinence; 2. de veiller à ce que les mesures concernant la sécurité des systèmes d’informations soient mises en place et que leur application soit garantie; 3. de certifier les moyens de traitement de l’information non classifiée (systèmes, services, infrastructures, ou locaux les abritant); 4. d’assurer la fonction de CERT national et gouvernemental; 5. de coordonner la formation à la sécurité de l’information classifiée et non classifiée; 6. de veiller à ce que les utilisateurs soient sensibilisés de façon adéquate aux risques spécifiques liés à l’utilisation des systèmes de communication et d’information; notamment aux risques en relation avec les attaques électroniques; 7. d’assurer la fonction d’autorité Tempest; 8. d’assurer la fonction d’autorité d’agrément cryptographique. U X E M B O U R G