Annexe 2: Approche recommandée de mise en œuvre de la politique de sécurité de l’information de l’État par type d’entité Entités type A Structure type Critères       Approche recommandée   Entités type B entités de petite taille entités sans service IT propre ou avec petit service IT avec ou sans personnel détaché du CTIE   traitement exclusif de données peu sensibles ou publiques pas de traitement de données à caractère personnel, respectivement pas de traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques dans le sens du RGPD1   recours aux services IT du CTIE et pas de dépendance significative des services métier d’une infrastructure IT propre pas de contraintes légales ou réglementaires spécifiques dans le domaine de la sécurité de l’information focus sur la sensibilisation du personnel application de la Charte de bonne conduite en matière de sécurité de l’information numérique       Entités type C entités de taille moyenne entité avec service IT propre de taille moyenne  traitement de données sensibles pas de traitement de données à caractère personnel, respectivement pas de traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques dans le sens du RGPD infrastructure IT hybride avec recours aux services IT du CTIE et dépendance des services métier d’une infrastructure IT propre pas de contraintes légales ou réglementaires spécifiques dans le domaine de la sécurité de l’information  sensibilisation du personnel application de la Charte de bonne conduite en matière de sécurité de l’information numérique analyse des risques afin d’identifier et d’apprécier les risques et de définir l’approche appropriée de gestion de la sécurité de l’information attribution du rôle de délégué à la sécurité de l’information (DSI) à un membre de la hiérarchie de l’entité           entités de taille moyenne à importante entités avec service IT propre de taille appropriée et couvrant les différents domaines IT traitement de données hautement sensibles traitement d’un volume important de données sensibles traitement de données à caractère personnel susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques dans le sens du RGPD dépendance des services métier d’une infrastructure IT propre d’envergure contraintes légales ou réglementaires spécifiques dans le domaine de la sécurité de l’information sensibilisation du personnel application de la Charte de bonne conduite en matière de sécurité de l’information numérique établissement d’un cadre structuré de gestion de la sécurité de l’information basé sur une approche de gestion des risques désignation d’un délégué à la sécurité de l’information (DSI) rapprochement, conformité ou certification ISO/IEC 27001 ou autre norme équivalente 1 RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) Politique générale de la sécurité de l’information de l’État luxembourgeois – Version 2.0 Page 10 de 11