selon le principe de « Security by design ». Elle est la pierre angulaire de la gestion de tous les projets, processus et activités quotidiennes. Lors de la conception de systèmes traitant des données à caractère personnel, les principes de « Protection des données dès la conception » et « Protection des données par défaut» sont considérés. 3.7 Communication et collaboration La politique de sécurité de l’information de l’État, la Charte de bonne conduite en matière de sécurité de l’information numérique ainsi que les lignes directrices et circulaires relatives à la sécurité de l’information sont systématiquement communiquées à l’ensemble du personnel de l’État. La sécurité de l’information est l’affaire de tous. Les entités et les agents de l’État sont appelés à contribuer activement à assurer la sécurité de l’information de l’État et à s’entraider mutuellement dans la réalisation des objectifs de sécurité de l’information. 3.8 Respect et tracabilité Le personnel interne et externe connaît les règles émanant de la politique de sécurité de l’information de l’État et reconnaît l'importance de la sécurité de l’information pour l’État. Les mesures prises pour mettre en œuvre la politique de sécurité sont documentées. 3.9 Culture de sécurité de l’information La présente politique établit un point de départ pour une gestion appropriée de la sécurité de l’information. L’État compte sur la coopération active du personnel afin d’assurer un environnement de travail sécurisé. La politique de sécurité de l’information contribue ainsi à instaurer progressivement une véritable culture de la sécurité de l’information. 3.10 Révision La politique de sécurité de l’information de l’État est revue en cas de changements législatifs, organisationnels, technologiques, respectivement sur base de l’évolution de la situation des menaces et des risques. 4 Organisation et gestion de la sécurité de l’information de l’État La sécurité de l’information de l’État est gérée, pilotée et coordonnée. Tous les acteurs impliqués travaillent de concert pour assurer la sécurité de l’information globale de l’État. 4.1 Les entités Les entités sont responsables de la sécurité de l’information dans leur champ d’attribution et, à cette fin, elles prennent les mesures techniques et organisationnelles nécessaires et proportionnées pour gérer les risques qui menacent la sécurité de l’information. Ces mesures garantissent un niveau de sécurité adapté au risque, compte tenu de la criticitéde l’information gérée, de la taille et de la structure de l’entité, de la complexité technologique des systèmes d’information de l’entité, des besoins et exigences spécifiques de l’entité en matière de sécurité de l’information, des coûts associés et des moyens disponibles. L’annexe 2 met en évidence l’approche recommandée de mise en œuvre de la politique de sécurité de l’information de l’État en fonction du type d’entité. 4.2 L’Agence nationale de sécurité des systèmes d’information (ANSSI) L’ANSSI assiste, à leur demande, les entités dans l’implémentation des politiques et lignes directrices de sécurité de l’information et propose aux entités intéressées un accompagnement dans le cadre de leur analyse et gestion des risques de la sécurité de l’information. Par ailleurs, l’ANSSI a la mission de promouvoir la sécurité de l’information par le biais de mesures de sensibilisation à l’adresse des dirigeants et des utilisateurs des entités. Politique générale de la sécurité de l’information de l’État luxembourgeois – Version 2.0 Page 7 de 11