1 Introduction 1.1 Contexte Par arrêté grand-ducal du 9 mai 2018 portant fixation de la gouvernance en matière de gestion de la sécurité de l’information, l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), sous l’autorité du Haut Commissariat à la Protection Nationale (HCPN), a été chargée de définir, après concertation des acteurs concernés, la politique générale de sécurité de l’information de l’État luxembourgeois. La présente politique, élaborée par l’ANSSI en étroite concertation avec le Centre des Technologies de l’Information de l’État (CTIE), a été approuvée par le Conseil de gouvernement. La politique générale et l’ensemble des documents connexes sont dénommées « politique de sécurité de l’information de l’État luxembourgeois » (PSI-LU). La PSI-LU est alignée aux objectifs de la stratégie nationale en matière de cybersécurité. 1.2 Objectifs La présente politique décrit les objectifs généraux de sécurité de l’information (au chapitre 2), ses principes fondateurs (au chapitre 3) et le cadre organisationnel de la gestion de la sécurité de l’information de l’État (au chapitre 4). L’objectif de cette politique générale et des futurs documents connexes est d’assurer que les meilleures pratiques soient utilisées et le soin nécessaire appliqué afin de protéger l’information gérée par les départements ministériels, les administrations et services de l’État luxembourgeois. Ainsi, elle contribue à renforcer la confiance des citoyens, des entreprises exerçant une activité au Luxembourg et des États partenaires dans les services de l’État luxembourgeois. 1.3 Champ d’application La présente politique générale, ainsi que les lignes directrices émises dans le cadre de futurs documents connexes, sont considérées comme recommandations aux départements ministériels, administrations et services de l’État luxembourgeois, dénommés par la suite « les entités ». La sécurité de l’information concerne les actifs gérés par les entités. Par le terme « actif », il y a lieu de comprendre tout ce qui présente une valeur pour l’entité, notamment :       les informations et les données ; les documents et les archives 1 ; les actifs techniques, par exemple les systèmes d’information ; les bâtiments et sites ; les personnes physiques avec leurs connaissances et compétences ; les processus et services. La politique de sécurité de l’information de l’État s’applique à l’information durant tout son cycle de vie, c’est-à-dire depuis la création, pendant le traitement, durant l’archivage jusqu’à la destruction. La présente politique ayant un caractère général et étant inspirée des normes, standards et bonnes pratiques internationaux, est en principe applicable à tout type d’entité. Dans ce sens, elle peut aussi servir de référence aux organismes non directement concernés. 1 sans préjudice des dispositions de la loi du 25 juillet 2015 relative à l'archivage électronique et portant modification: 1. de l'article 1334 du Code civil; 2. de l'article 16 du Code de commerce; 3. de la loi modifiée du 5 avril 1993 relative au secteur financier. Politique générale de la sécurité de l’information de l’État luxembourgeois – Version 2.0 Page 4 de 11