loi modifiant 10 2° 30 4° 50 la loi modifiée du 23 juillet 2016 portant création d'un HautCommissariat à la Protection nationale, la loi modifiée du 9 décembre 2005 déterminant les conditions et modal

» : sécurité autour des réseaux et systèrnes d'

non classifiés installés et exploités par les administrations et services de l'État ; » ; 30 À l'article 3, il est inséré un paragraphe 1bis libellé comme suit : « (Ibis) Le Haut-Commissariat à la Protection nationale assure les fonctions d'Agence nationale de la sécurité des systèmes d'

, ci-après « ANSSI », de Centre de traitement des urgences informatiques, ci-après « CERT Gouvernemental » et de Service de la communication de crise. » ; 1 40 Sont insérés à la suite de l'article 9bis, les nouveaux chapitres 4ter, 4quater et 4quinquies qui prennent la teneur suivante : « Chapitre 4ter — L'Agence nationale de la sécurité des systèmes d'

Art. 9ter.

de l'État ; b) de définir, en concertation avec les administrations et services de l'État, les politiques et lignes directrices de sécurité de l'

pour les domaines spécifiques, d'émettre des recommandations d'implémentation y relatives et d'assister les entités au niveau de l'implémentation des mesures proposées ; c) de définir, en concertation avec les administrations et services de l'État, une approche de gestion des risques, en vue de constituer un plan d'évaluation et d'identification des risques concernant la sécurité de l'

et d'accompagner, à leur demande, les entités dans l'analyse et la gestion des risques ; d) de conseiller l'Institut national d'administration publique, respectivement, à leur demande, les administrations et services de l'État dans la définition d'un programme de formation dans le domaine de la sécurité de l'

; e) de promouvoir la sécurité de l'

par le biais de mesures de sensibilisation ; f) d'assurer la fonction d'autorité TEMPEST en veillant à la conformité des réseaux et systèmes d'

classifiés aux stratégies et lignes directrices TEMPEST et en approuvant les contre-mesures TEMPEST pour les installations et les produits destinés à protéger des pièces classifiées jusqu'à un certain niveau de classification dans leur environnement opérationnel.

des administrations et services de l'État ; 2 b) d'assurer un service de veille, de détection, d'alerte et de réaction aux attaques informatiques et aux incidents de sécurité d'envergure affectant ces réseaux et systèmes d'

; c) d'assurer la fonction de centre national de traitement des urgences informatiques, dénommé CERT National, en

1. opérant comme le point de contact officiel national pour les CERTs nationaux et gouvernementaux étrangers ;
2. opérant comme le point de contact officiel national pour la collecte et la distribution d'

s relatives aux incidents de sécurité qui concernent les réseaux et systèmes d'

implantés au Luxembourg ; 3. relayant les

s collectées aux CERTs sectoriels en charge de la cible d'une attaque ou à défaut de CERT sectoriel, directement à la cible. d) d'assurer la fonction de centre militaire de traitement des urgences informatiques, dénommé CERT Militaire, en

1. opérant comme le point de contact officiel national pour les CERTs militaires étrangers ;
2. assurant un service de veille, de détection, d'alerte et de réaction aux attaques informatiques et aux incidents de sécurité d'envergure affectant les réseaux et les systèmes de communication et de traitement de l'

de l'armée à partir du territoire du Grand-Duché ; 3. opérant, à partir du territoire du Grand-Duché, une équipe d'intervention spécialisée capable de prendre en charge la réponse aux incidents de sécurité d'envergure liés à ces systèmes de communication et de traitement de l'

d'une part et du traitement des incidents de sécurité d'autre part. Ces fonctions sont exercées par des services créés sur base de différents arrêtés grand-ducaux. Il y a lieu de noter que les services en question, à savoir l'Agence nationale de la sécurité des systèmes d'

(ANSSI) et le Centre de traitement des urgences informatiques (CERT Gouvernemental) exercent leurs missions déjà aujourd'hui sous la responsabilité du Haut-Commissariat à la Protection nationale (HCPN). La même approche est proposée pour le Service de la communication de crise (SCC) qui fonctionne également sous la responsabilité du Haut-Commissariat. A travers cette démarche, les auteurs du projet de loi entendent conférer une base juridique solide à l'exercice des fonctions précitées. Ensuite, le projet de loi limite la définition de l'infrastructure critique, en vue de l'aligner avec l'interprétation et l'application qui en a été faite au cours des dernières années. En outre, il est proposé de procéder à travers le présent projet de loi à des ajustements ponctuels de deux textes législatifs, afin de les aligner sur la terminologie et les missions décrites dans la loi portant création d'un Haut-Commissariat à la Protection nationale. D'une part, les termes employés dans la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques sont adaptés afin d'assurer que les mesures exceptionnelles de réquisition et d'interdiction qui y sont inscrites puissent être mises en œuvre en présence d'une crise nationale telle que définie dans la loi portant création d'un Haut-Commissariat à la Protection nationale. D'autre part, la gestion des situations de crise résultant des intempéries qui avaient frappé les régions de l'Ernztal en 2016 et du Mullerthal en 2018 et la lutte contre la propagation du COVID19 ont montré la nécessité d'adapter la loi modifiée du 8 avril 2018 sur les marchés publics afin de permettre aux autorités étatiques de recourir, dans une situation d'urgence, à une procédure simplifiée de passation des marchés. Enfin, la nouvelle loi apporte des modifications en matière de personnel du HCPN. D'abord, il est profité du présent projet de loi pour tenir compte de l'évolution que le Haut-Commissariat a connue au cours des dernières années tant du côté de ses missions que du côté de l'évolution du personnel pour créer la fonction de Haut-Commissaire à la Protection nationale adjoint. Ensuite, le projet attribue une prime d'astreinte d'une valeur de 12 points indiciaires au personnel du HautCommissariat soumis à une obligation de permanence ou de présence. 1. Attribution au HCPN des fonctions d'Agence nationale de la sécurité des systèmes d'

, de Centre de traitement des urgences informatiques et de Service de la communication de crise Comme indiqué ci-dessus, le projet de loi a pour première finalité de conférer une base juridique solide à la mise en oeuvre de différentes fonctions qui se situent dans le contexte de l'anticipation, 6 de la prévention et de la gestion de crises et qui touchent le domaine de la sécurité numérique, d'une part, et de la communication de crise, d'autre part. Alors que ces fonctions sont déjà exercées aujourd'hui, sous la responsabilité du Haut-Commissariat, par l'ANS SI, le CERT Gouvernemental et le SCC et trouvent leur fondement dans des arrêtés grand-ducaux pris en exécution de l'article 76 de la Constitution,1 le présent projet de loi vise à conférer, dans un souci de sécurité juridique, une base légale aux fonctions précitées en les intégrant dans la loi portant création d'un HautCommissariat à la Protection nationale. La démarche proposée vise à répondre à une demande du Conseil d'État. En effet, dans son avis complémentaire relatif au projet de loi portant

1. création de l'Autorité nationale de sécurité et
2. modification 1) de la loi du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ; 2) du Code pénal, la Haute Corporation a retenu que la démarche de conférer des missions à l'ANSSI par le biais d'un arrêté grand-ducal « pouvait encore se concevoir en 2015 du fait que, à ce moment, le Haut-Commissariat à la Protection nationale était constitué en service gouvernemental, tel n'est plus le cas en
3. La loi du 23 juillet 2016 portant création d'un HautCommissariat à la Protection nationale a en effet transformé cette entité gouvernementale en une administration de l'État. Il est dès lors exclu qu'un arrêté trouvant son fondement dans l'article 76 de la Constitution puisse dépasser le cadre de l'organisation du Gouvernement pour conférer de nouvelles attributions, non prévues par la loi, à une administration. Le Conseil d'État invite dès lors le législateur à insérer un article dans la loi en projet à l'effet de modifier la loi précitée du 23 juillet 2016, aux fins d'ajouter aux missions du Haut-Commissariat à la Protection nationale celle d'assurer la fonction de l'ANSSI. » 2 Le Conseil d'État a réitéré son invitation d'ajouter le fonction d'ANSSI aux missions du HCPN dans son avis complémentaire du projet de loi portant transposition de la directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'

dans l'Union européenne et modifiant 1° la loi modifiée du 20 avril 2009 portant création du Centre des technologies de l'

de l'État et 2° la loi du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale.3 Afin de donner suite à ces avis du Conseil d'État et de créer in fondement juridique adéquat pour l'exercice de la fonction d'ANSSI, la mission de cette entité gouvernementale est introduite dans la loi-cadre du HCPN. Etant donné que les réflexions développées par le Conseil d'État au sujet de l'ANSSI pourraient également trouver application au niveau du CERT Gouvernemental et du SCC, il est proposé de retenir une démarche similaire pour ces fonctions. Un arrêté grand-ducal abrogera les arrêtés grand-ducaux en question au moment de l'entrée en vigueur de la présente loi. 1 Arrêté grand-ducal du 9 mai 2018 portant fixation de la gouvernance en rnatière de gestion de la sécurité de l'

, Mém. A, n° 423, 29 mai 2018, arrêté grand-ducal du 9 mai 2018 déterminant l'organisation et les attributions du Centre de traitement des urgences informatiques, dénommé « CERT Gouvernemental », Mém. A, n° 424, 29 mai 2018 et arrêté grand-ducal du 30 mai 2016 instituant un Service de la communication de crise, Mém B, n° 3672, 7 novembre 2019. 2 Doc. parl. n° 69613, p. 2. 3 Doc. parl., n° 73144, p. 4. 7 • L'Agence nationale de la sécurité des systèmes d'

En assurant la fonction d'ANSSI, il revient au HCPN de contribuer, à un stade préventif, à la sécurité des réseaux et des systèmes d'

installés et exploités par les administrations et services de l'État en assurant l'élaboration d'une politique générale de sécurité de l'

et de lignes directrices de sécurité de l'

pour des domaines spécifiques. Une première tentative de légiférer dans le domaine de la sécurité de l'

a été entreprise en 2009 avec le dépôt du projet de loi n° 6075 portant création d'un Centre de Communications du Gouvernement (CCG). Ce texte prévoyait, entre autres, la création de nouvelles missions pour le CCG dont « la mise en place d'un service compétent pour les aspects techniques de sécurité des systèmes de communication et d'

appelé Agence nationale de sécurité des systèmes d'

(AN S SI) ». Or, puisque le projet sous rubrique n'a jamais été soumis au vote de la Chambre des députés et que les visites d'inspection et d'évaluation régulières de l'OTAN ont souligné à plusieurs reprises l'absence d'autorité compétente en matière de sécurité des systèmes d'

, le Gouvernement a décidé en 2015 de mettre en place un cadre pour la gouvernance en matière de gestion de la sécurité de l'

pour l'État par le biais d'un arrêté grand-duca1,4 en attendant une législation à moyen terme. D'une part, cet arrêté grand-ducal conférait à l'ANSSI des missions dans le domaine de la gouvernance en matière de sécurité de l'

et, d'autre part, la chargeait d'assurer le rôle de gestionnaire des incidents de sécurité affectant les réseaux et les systèmes d'

des administrations et services de l'État. Au vu des expériences acquises dans le domaine, la structure de la gouvernance en matière de cybersécurité a été adaptée en 20185 en établissant une séparation nette entre le volet stratégique et le volet opérationnel de réponse aux incidents et de gestion de crises. Alors que le volet opérationnel est depuis assuré par le CERT Gouvernemental, l'ANSSI agit en amont de tout incident de sécurité en définissant, en concertation avec les entités étatiques concernés, des politiques de sécurité et des lignes directrices couvrant des domaines spécifiques en matière de protection de l'

en vue de permettre aux administrations et services étatiques de prendre les mesures nécessaires pour prévenir la survenance d'incidents de sécurité. Les recommandations de sécurité émises dans ce cadre sont le résultat d'une approche participative permettant d'associer les acteurs concernés au processus d'élaboration de la politique de sécurité et notamment des politiques couvrant des domaines spécifiques. Cette démarche fut retenue en date du 13 juillet 2018 par le Conseil de Gouvernement sur base des conclusions d'un « proof of concept » que l'ANSSI a réalisé avec le Centre des technologies de l'

de l'État qui est le principal fournisseur d'équipements et de services informatiques auprès de l'État. La politique de sécurité de l'

appliquée auprès de l'État prévoit différents niveaux de sécurité, niveaux qui tiennent compte de la criticité de l'

gérée par une entité, de la taille et de la structure de l'entité, de la complexité technologique des systèmes d'

de l'entité ou encore des besoins et exigences spécifiques de l'entité en matière de sécurité de l'

. Les principaux objectifs recherchés par ce biais consistent à : Mérn. A, n° 30, 20 février 2015, p.

1. Mérn. A, n° 423, 29 mai
2. 8 préserver la confidentialité de l'

; assurer l'intégrité de l'

et des processus de gestion de l'

; assurer la disponibilité de l'

; apprécier les risques liés à la sécurité de l'

de façon à adopter des mesures de sécurité appropriées. Cette mission peut être étendue, à leur demande, aux autres autorités publiques, aux établissements publics, ainsi qu'aux infrastructures critiques. Alors qu'en 2015, la gouvernance de la sécurité des systèmes d'

classifiés faisait partie des missions de l'ANSSI, cette tâche sera, avec l'entrée en vigueur du projet de loi n° 6961

1. portant création de l'Autorité nationale de sécurité et
2. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ; 2) du Code pénal assurée par l'Autorité nationale de sécurité (ANS). En effet, la pratique a fait apparaître des questionnements quant aux compétences respectives de l'ANS et de l'ANSSI en matière de protection des

s classifiées. En effet, l'inscription des missions de l'ANSSI en matière de politique de sécurité de l'

classifiée dans la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale aurait pour effet de conférer à deux administrations étatiques — en l'occurrence l'ANS et le HCPN — une compétence partagée mais non clairement délimitée en matière d'élaboration des règles de sécurité de l'

classifiée. Ainsi, dans un souci de consolidation et de cohérence, les missions de l'ANSSI dans le domaine de la régulation de la sécurité des

s classifiées ont été confiées à l'ANS, cela d'autant plus que le domaine de la sécurité des

s classifiées repose en grande partie sur des exigences qui résultent de directives européennes et de textes de l'OTAN et peuvent ainsi différer des règles de sécurité applicables aux

s non classifiées. Les missions de l'ANSSI en matière d'élaboration des règles de sécurité sont avant tout d'ordre stratégique et s'inscrivent dans le cadre global de la gouvernance de la sécurité de l'

non-classifiée de l'État. L'ANSSI définit les politiques et les lignes directrices en matière de sécurité de l'

et assiste les services, qui en font la demande, à la mise en place des mesures concernant la sécurité des systèmes d'

. Les missions de l'ANSSI sont complémentaires à la mission d'autres acteurs intervenant au niveau de la sécurité des systèmes d'

opérés par l'État, tels que le CERT Gouvernemental qui assume la gestion opérationnelle des incidents de sécurité d'envergure ou encore les entités qui assurent le fonctionnement opérationnel et partant également la sécurité opérationnelle des systèmes d'

dans les administrations et services de l'État, dont, entre autres, le Centre des technologies de l'

de l'État (CTIE) qui est responsable du déploiement d'une grande partie des systèmes d'

de 1'État6. A ce titre, le CTIE, de même que tout autre gestionnaire du système informatique d'une administration de l'État — peu importe que cette 6 En effet, le CTIE est certes le plus important fournisseur de la technologie de l'

pour le compte des ministères, administrations et services de l'État fi est cependant important de souligner que le CTIE n'assure ce service pas pour l'ensemble des administrations et services de l'État qui peuvent soit disposer de leur propre service, soit recourir à un prestataire externe pour couvrir leurs besoins spécifiques en matière de technologies de l'

. A titre d'exemple, citons le Ministère de l'Éducation nationale, de l'Enfance et de la Jeunesse avec le Centre de gestion informatique de l'éducation (CGIE), le Ministère de la Santé, la Police grand-ducale ou encore l'Administration de la navigation aérienne. 9 gestion soit assurée par un service interne ou par un prestataire de service externe — joue un rôle important au niveau de la sécurité informatique dans la mesure que ce gestionnaire doit prendre les mesures opérationnelles nécessaires pour assurer la disponibilité, l'intégrité et la sécurité des systèmes informatiques en place, cela en tenant compte des politiques de sécurité émises par 1 'ANS SI. • Le CERT Gouvernemental Le CERT (Computer Emergency Response Team) Gouvernemental est une structure opérationnelle en charge de la gestion des incidents de sécurité affectant, d'une part, les réseaux et systèmes d'

des administrations et services de l'État et, d'autre part, les réseaux et systèmes d'

d'autres autorités publiques, établissements publics et infrastructures critiques si ceux-ci en font la demande. La gestion des incidents couvre essentiellement la détection des cyberattaques sur les systèmes d'

et la réaction à ces attaques. Elle implique l'animation d'une équipe d'intervention spécialisée capable de prendre en charge la détection et la réponse aux incidents de sécurité d'envergure visant ces réseaux. L'intégration des fonctions en question dans la loi portant création d'un Haut-Commissariat à la Protection nationale permet de créer des synergies évidentes au niveau de la coordination de la mise en œuvre des différentes mesures de prévention et de protection en cas d'attaque d'envergure pouvant conduire à une crise au sens de la loi précitée. Le CERT Gouvernemental a vu le jour en 2011, dans le cadre de la mise en place de mesures visant à renforcer les moyens de défense du Luxembourg contre les cyberattaques. En effet, le Gouvernement désirait se doter d'une structure opérationnelle apte à réagir à d'éventuelles attaques malveillantes sur les infrastructures informatiques de l'État et procédait ainsi à la création du CERT Gouvernemental. Depuis, le CERT Gouvernemental a évolué de façon constante. Alors que sa première base réglementaire de 20137 lui conférait le pouvoir de prendre en charge la prévention et la gestion des incidents qui menacent ou affectent les systèmes d'

publics et, à leur demande, ceux des infrastructures critiques, le CERT s'est vu attribuer en 2018 les missions de CERT Militaire et de CERT National : en tant que CERT Militaire, il revient au CERT Gouvernemental de gérer les incidents de sécurité affectant les réseaux et systèmes d'

de l'Armée luxembourgeoise. Etant donné que le CERT Gouvernemental était de toute façon en charge de la gestion des incidents informatiques d'envergure de la partie du réseau informatique de l'Armée géré par le CTIE et qu'il avait acquis depuis sa création une expertise confirmée en matière de traitement des incidents, il paraissait cohérent de conférer cette nouvelle tâche au CERT Gouvernemental ; ' Arrêté grand-ducal modifié du 30 juillet 2013 déterminant l'organisation et les attributions du Centre gouvernemental de traitement des urgences informatiques, aussi dénommé « Computer Emergency Response Team Gouvernemental », Mém. A, n° 161, 6 septembre 2013, p. 3092. 10 le CERT National assume le rôle de point de contact national officiel en matière de notification d'incidents de sécurité affectant des réseaux et systèmes d'

sises sur le territoire national. Après réception des notifications, le CERT les relaye au CERT sectoriel compétent. Notons qu'à l'heure actuelle, il y a 10 CERTs enregistrés au Luxembourg. Il convient de préciser que le CERT Gouvernemental n'intervient jamais directement sur les équipements des entités sous sa compétence. En effet, le rôle du CERT Gouvernemental consiste à assister et à conseiller l'équipe informatique de l'infrastructure concernée sur les actions à prendre. Remarquons que le CERT Gouvernemental coopère étroitement avec les entités qui assurent le déploiement des systèmes informatiques auprès des administrations et services de l'État comme le CTIE ou le CGIE. En effet, le CERT Gouvernemental possède un mandat qui couvre l'entièreté des réseaux et systèmes d'

de l'État et jouit donc d'une vue globale des incidents qui menacent et impactent les systèmes informatiques étatiques. • Le Service de la communication de crise A l'instar des développements constatés dans nos pays voisins, le Gouvernement a, en 2016, créé le SCC. D'abord, il revient au SCC de prendre en charge la communication en cas de crise en assurant la coordination horizontale de la communication à l'attention de la population et des médias. Cette entité joue un rôle essentiel au niveau de la gestion d'une crise vu qu'il revient à ce service d'assurer toute communication en situation de crise. Les services de communication des autres entités étatiques qui interviennent au niveau de la gestion d'une crise agissent, le cas échéant, sous la coordination du SCC. Ensuite, le SCC est chargé d'élaborer une stratégie de communication de crise couvrant aussi bien le volet préventif (actions de sensibilisation et mise au point d'outils de sensibilisation), que la communication en cas de survenance d'une crise. Afin de pouvoir assurer au mieux ses missions, le SCC collabore étroitement avec les acteurs impliqués dans la prévention et la gestion de crises et établit des relations professionnelles avec les médias luxembourgeois. En outre, le SCC entretient des contacts réguliers avec les services de communication de crise des pays et régions limitrophes.

1. Adaptation de la définition de l'infrastructure critique Le projet de loi limite le champ d'application de la définition de l'infrastructure critique en supprimant le bout de phrase « ou qui est susceptible de faire l'objet d'une menace particulière ». En effet, ces termes font tomber dans la notion d'infrastructure critique des infrastructures qui en temps normaux ne seraient pas considérées critiques, mais qui, au vu de circonstances particulières limitées dans le temps, pourraient faire l'objet d'une menace particulière. Or, puisque les infrastructures critiques sont soumises à des obligations strictes, la désignation d'une infrastructure 11 qui ne serait que momentanément susceptible de faire l'objet d'une menace particulière en tant qu'infrastructure critique, causerait une charge administrative disproportionnée pour cette infrastructure. Au lieu de désigner cette infrastructure en tant qu'infrastructure critique, il est ainsi proposé de recourir dans ces cas aux dispositifs de protection mis en place notamment par la Police grand-ducale et les divers plans d'intervention d'urgence (PIU) du HCPN, tels que le plan gouvernemental de vigilance nationale face aux menaces d'actions terroristes.
2. Modification de la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques Les changements apportés à la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques sont d'ordre purement terminologique. Dans un souci de sécurité juridique et afin de rendre évident que la loi sous rubrique puisse sortir ses effets en cas de crise au sens de la loi-cadre du HCPN, la notion de « crise » au sens de la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale est ajoutée à l'article 5 dont le champ d'application se limite actuellement au conflit armé, la crise internationale grave et la catastrophe.
3. Modification de la loi modifiée du 8 avril 2018 sur les marchés publics Afin de permettre au HCPN de réagir efficacement en cas de prévention et de gestion de crises, le livre ler de la loi sur les marchés publics est adapté à deux égards. D'abord, il est permis au HCPN de recourir, sous certaines conditions, à une procédure restreinte sans publication d'avis ou à une procédure négociée pour la passation de marchés de travaux. En effet, depuis 2016, le Haut-Commissariat à la Protection nationale était confronté, à plusieurs reprises, à des intempéries qualifiées de « crise » au sens de la loi HCPN et ayant causé des dommages importants aux biens étatiques et communaux. Bien que la remise en état des infrastructures essentielles bénéficiait dans une première phase des dispositions d'urgence de la loi sur les marchés publics (art. 20, paragraphe 1 er, lettre 0), la complexité de certains dossiers a eu pour effet de prolonger les travaux de réparation dans le temps, de sorte que les travaux étaient encore en cours de réalisation alors que la première phase d'urgence venait à son terme. En effet, il se peut, vu la complexité des travaux à réaliser, que des études statiques approfondies doivent être réalisées au préalable pour examiner l'étendue précise des dégâts. L'absence de la notion de « travaux » dans l'article 20, paragraphe 1 er, lettre m), de la loi modifiée du 8 avril 2018 sur les marchés publics, a rendu inutilement compliquée la remise en état de ces infrastructures. Il est entendu que la formulation proposée ne permet le recours à la procédure négociée qu'au cas où la réparation en tant que telle s'avère urgente. Remarquons que le HCPN bénéficie déjà à l'heure actuelle de cette prérogative pour la passation de marchés de fournitures et de services. Ensuite, le projet de loi exempte le HCPN de l'obligation de devoir solliciter l'avis préalable de la Commission des soumissions en cas d'urgence impérieuse. En effet, les situations d'urgence impérieuse sont par la force des choses, et par définition, incompatibles avec l'accomplissement d'une formalité de demande d'avis préalable. En témoignent les marchés qui ont dû être passés au 12 pied levé dans le contexte de la lutte contre la propagation du COVID-19, où le HCPN essayait d'acquérir des équipements de protection individuelle essentiels, sur un marché dans lequel la demande dépassait de loin l'offre et dans un contexte international difficile, tel que documenté par la presse internationale. Il s'agissait de répondre instantanément aux offres reçues, le cas échéant, sous peine de voir un autre acquéreur s'emparer des fournitures.
4. Adaptations en matière de personnel Finalement, le nouveau projet de loi entérine formellement la fonction de Haut-Commissaire à la Protection nationale adjoint. Alors que cette fonction existe dans l'organigramme du HCPN depuis 2016, il revient au projet de loi de lui accorder une base légale. Puisque le HCPN ne cesse de gagner en missions depuis 2015, notamment au vu des missions d'ANSSI, de CERT Gouvernemental et de SCC, il est opportun de créer la fonction de Haut-Commissaire adjoint. Il y a lieu de noter en outre qu'une des deux personnes qui assurent la direction du HCPN doit se trouver en permanence sur le territoire national pour être en mesure d'intervenir en cas de crise. Ensuite, à l'instar des dispositions prévues pour le personnel du cadre civil de la Police grandducale et de l'Inspection générale de la Police, la nouvelle loi prévoit une prime d'astreinte de 12 points indiciaires pour le personnel du HCPN soumis à une obligation de permanence ou de présence. 13 Comrnentaire des articles Ad art. I" L'article Ier, point 1, modifie l'article 2, point 4, de la loi modifiée portant création d'un HautCommissariat à la Protection nationale (HCPN) en supprimant de la définition de « l'infrastructure critique » les termes « ou qui est susceptible de faire l'objet d'une menace particulière ». Il s'est avéré que ces termes dépassent ce qui est réellement visé par la notion d'infrastructure critique. En effet, interprété à la lettre, ces termes font tomber dans la notion d'infrastructure critique des infrastructures qui en temps normaux ne seraient pas considérées critiques, mais qui, au vu de circonstances particulières limitées dans le temps, pourraient faire l'objet d'une menace particulière. Or, puisque les infrastructures critiques sont soumises à des obligations strictes, la désignation d'une infrastructure qui ne serait que momentanément susceptible de faire l'objet d'une menace particulière en tant qu'infrastructure critique, causerait une charge administrative disproportionnée pour cette infrastructure. Au lieu de désigner cette infrastructure en tant qu'infrastructure critique, il est ainsi proposé de recourir dans ces cas aux dispositifs de protection mis en place notamment par la Police grand-ducale et les divers plans d'intervention d'urgence (PIU) du HCPN, tels que le plan gouvernemental de vigilance nationale face aux menaces d'actions terroristes. Remarquons que cette interprétation est en ligne avec les deux règlements grand-ducaux pris en matière d'infrastructures critiques.8 L'article Ier, point 2, rajoute la définition de la « sécurité de l'

» dans la loi-cadre du HCPN. Etant donné que la fonction d'Agence nationale de la sécurité des systèmes d'

(ANSSI) est inscrite dans la loi portant création d'un Haut-Commissariat à la Protection nationale et que cette fonction concerne notamment la sécurité de l'

, il a été jugé nécessaire de reprendre au niveau de la loi-cadre du HCPN la définition de la notion qui figure dans l'arrêté grand-ducal du 9 mai 2018 portant fixation de la gouvernance en matière de gestion de la sécurité de l'

. Puisque le projet de loi n° 6961

1. portant création de l'Autorité nationale de sécurité et
2. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ; 2) du Code pénal confie les missions de l'ANSSI en matière de régulation de la sécurité des

s classifiées à l'Autorité nationale de sécurité (ANS), la définition de la « sécurité de l'

» est adaptée. Il est ainsi souligné que les compétences du HCPN ne concernent que la sécurité des réseaux et systèmes d'

non classifiés et visent, conformément à la stratégie élaborée dans ce domaine au cours des dernières années, a priori, les administrations et services de l'État. L'article Ier, point 3, du projet de loi vise, dans un souci de sécurité juridique, à accorder une base légale aux fonctions d'ANSSI, de Centre de traitement des urgences informatiques (CERT Gouvernemental) et de Service de la communication de crise (SCC), réglementés à date par le biais de trois arrêtés grand-ducaux. Les missions des différents services sont précisées infra. Règlement grand-ducal du 21 février 2018 fixant la structure des plans de sécurité et de continuité de l'activité des infrastructures critiques, Mém. A, n° 151, ler mars 2018 et règlement grand-ducal du 21 février 2018 déterminant les modalités du recensement et de la désignation des infrastructures critiques, Mém. A, n° 152, 1er mars 2018. 14 L'article Ier, point 4, rajoute trois nouveaux chapitres dans la loi-cadre du HCPN. D'abord, l'article Ier, point 3 attribue au HCPN la fonction d'ANSSI, de sorte que les missions afférentes dans le domaine de la sécurité de l'

seront inscrites dans la loi-cadre du HCPN. En assurant la fonction d'ANSSI, le HCPN définit la politique générale de sécurité de l'

de l'État à l'adresse des administrations et services de l'État (paragraphe 1 er, lettre a)). Alors que la notion de « politique de sécurité de l'

» trouve son origine dans la norme ISO/CEI 27000 qui pose les exigences de sécurité à appliquer dans le secteur privé, l'ANSSI a, en étroite collaboration avec les acteurs-clé du domaine de la sécurité informatique de l'État, tels que le Centre des technologies et de l'

de l'État (CTIE) et le CERT Gouvernemental, élaboré une politique de sécurité adaptée au contexte étatique. Cette politique, dont une deuxième édition a vu le jour en 2018, a pour objet de définir des mesures de sécurité dans le domaine de la protection de l'

gérée par les administrations et services de l'État, afin d'en garantir la confidentialité, l'intégrité et la disponibilité. La politique générale de sécurité de l'

de l'État décrit les objectifs généraux de sécurité de l'

, ses principes fondateurs et le cadre organisationnel de la gestion de la sécurité de l'

de l'État. Soulignons que la politique de sécurité de l'ANSSI n'a pas de force contraignante et que la responsabilité de mettre en place les mesures techniques et organisationnelles nécessaires pour garantir la sécurité de l'

appartient aux administrations et services étatiques. Remarquons que le volet de la sécurité des systèmes d'

classifiés ne fait plus partie des compétences de l'ANSSI. En effet, dans un souci de cohérence, il a été décidé de confier cette mission à l'ANS qui, selon le projet de loi n° 6961

1. portant création de l'Autorité nationale de sécurité et
2. modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité ; 2) du Code pénal est « responsable de la définition des dispositions de sécurité destinées à assurer la protection des pièces classifiées. » Ainsi, l'ANSSI assurera dorénavant le volet de la sécurité de l'

non-classifiée, tandis que l'ANS est compétente pour le volet de la sécurité des

s classifiées. Outre la politique générale, l'ANSSI est compétente pour définir, en concertation avec les administrations et services de l'État concernés, des politiques et lignes directrices de sécurité pour des domaines spécifiques et d'émettre des recommandations d'implémentation y relatives (lettre b)). Ces politiques sont spécifiques dans le sens où elles ne concernent qu'un certain domaine de la sécurité de l'

, tel que la sécurité physique et environnementale, le contrôle d'accès, la sécurité des communications ou encore la sécurité des ressources humaines. Alors que l'ANSSI élaborerait une politique dans le domaine de la sécurité des ressources humaines ensemble avec le Centre de gestion du personnel et de l'organisation de l'État (CGPO), une politique en matière de sécurité physique et environnementale serait formulée en coopération avec l'Administration des bâtiments publics (ABP). Après avoir défini les politiques et lignes directrices, l'ANSSI assiste les entités qui en font la demande dans l'implémentation de ces politiques de sécurité. Vu les spécificités de chaque entité, il importe d'identifier les objectifs de sécurité qui leurs sont propres avant de définir les mesures de sécurité appropriées. 15 Selon la lettre c), la troisième mission de l'ANSSI tourne autour de la gestion des risques en matière de sécurité de l'

. La gestion des risques s'appuie sur un processus systématique d'identification, d'appréciation et de traitement des risques et permet d'assurer que les mesures de protection mises en place sont proportionnées aux enjeux et aux risques encourus. L'ANSSI a mis en œuvre une méthodologie d'analyse des risques pragmatique, facile à appréhender et adaptée à la structure et au fonctionnement des différents types d'entités étatiques. Depuis fin 2018, elle propose aux entités intéressées, sans frais à leurs charges, un accompagnement professionnel à la réalisation d'une première analyse des risques et à la définition d'un plan de traitement des risques. Cette analyse des risques permet de sélectionner et prioriser les mesures appropriées à mettre en œuvre au niveau de la sécurité de l'

. Conformément à la lettre d), l'ANSSI conseille l'INAP et les entités qui en font la demande dans la définition de programmes de formation relatifs à la sécurité de l'

. Tandis que les formations générales en matière de sécurité de l'

s'adressent à tout le personnel de l'État, les programmes de formation couvrant des domaines plus spécifiques de la sécurité de l'

s'adressent aux responsables de la gestion de la sécurité de l'

et aux professionnels des technologies de l'

et de communication. En sus, l'ANSSI a la mission de promouvoir la sécurité de l'

(lettre e)). En effet, la sécurité de l'

repose avant tout sur des mesures simples et des bonnes pratiques à adopter par toutes les parties prenantes. La sensibilisation aux risques cyber et aux mesures de prévention et de protection constitue le premier moyen de défense pour garantir la sécurité des réseaux et des systèmes d'

. De cette manière, l'ANSSI entend instaurer une véritable culture de la sécurité de l'

au sein de l'ensemble du personnel de l'État. Finalement, l'ANSSI assure la fonction d'autorité TEMPEST (lettre 0). Puisque tout équipement ou système qui traite ou transmet des

s sous forme électronique produit des signaux électromagnétiques et que ces signaux peuvent être représentatifs des

s traitées, leur interception et leur exploitation risquent de révéler des

s sensibles à des destinataires malveillants. Une telle interception et exploitation de signaux en vue d'une reconstitution d'

s traitées constitue la « menace TEMPEST ». Le risque lié à l'interception et à l'exploitation de signaux compromettants est particulièrement présent dans le domaine des

s classifiées. Ainsi, afin d'assurer la protection des

s classifiées traitées par les réseaux et systèmes d'

, l'OTAN et l'UE imposent que chaque État membre mette en place une autorité TEMPEST qui est chargée : - de veiller à la conformité des réseaux et systèmes d'

classifiés aux stratégies et lignes directrices TEMPEST, et d'approuver les contre-mesures TEMPEST pour les installations et les produits destinés à protéger des

s classifiées. Les contre-mesures sont déterminées en fonction du niveau de classification des

s traitées, de l'affaiblissement électromagnétique naturel du bâtiment/local (« zonage TEMPEST »), de la proximité éventuelle d'éléments extérieurs non contrôlés et des caractéristiques de rayonnement électromagnétique des 16 équipements. Les mesures de protection ainsi identifiées s'étendent de la simple mise en place de matériel de traitement certifiée à un certain niveau de protection TEMPEST (matériel TEMPEST certifié niveau A, B ou C selon la norme SDIP 27/2 de l'OTAN) à la mise en place d'une cage Faraday, enceinte blindée empêchant la propagation d'ondes électromagnétiques. Le paragraphe 2 pose que les activités de l'ANSSI peuvent être étendues, à leur demande, à d'autres autorités publiques, aux établissements publics et infrastructures critiques. Les « autres autorités publiques » visent les entités qui ne seraient pas des administrations et services étatiques, tels que la Chambre des députés. L'extension aux infrastructures critiques est une conséquence logique de l'intégration des fonctions de l'ANSSI dans la loi-cadre du HCPN qui est l'autorité compétente en matière de protection des infrastructures critiques. De cette façon, afin de pouvoir garantir un suivi optimal de ces infrastructures, le HCPN aura la possibilité de leur proposer les services de l'ANSSI pour ce qui est du volet de leur sécurité de l'

. Cette extension des fonctions d'ANSSI aux infrastructures critiques ne peut se faire, conformément à la philosophie inhérente à la loi portant création d'un HCPN, qu'à la demande du propriétaire ou de l'opérateur d'une infrastructure critique. En effet, le législateur, en formulant les dispositions régissant la protection des infrastructures critiques qui sont inscrites dans la loi portant création d'un HCPN, a privilégié une approche de collaboration entre le HCPN et les opérateurs d'une infrastructure critique, cela par opposition à une approche dirigiste consistant à imposer à ces opérateurs des mesures contraignantes. Ainsi, le HCPN, après avoir analysé le plan de continuité de l'activité d'une infrastructure critique, peut formuler des recommandations au niveau des mesures de sécurité à implémenter auprès d'une infrastructure critique en vue d'en renforcer la résilience. Dans le contexte de cette analyse, le HCPN peut évidemment émettre des recommandations concernant la sécurité de l'

et proposer à ce niveau ses services de conseil. Ensuite, l'article Ier, point 4, rajoute un nouvel chapitre 4quater dans la loi-cadre du HCPN qui attribue la mission de CERT (Computer Emergency Response Team) Gouvernemental au HCPN (article 9quater). Les missions du CERT Gouvernemental sont complémentaires à celles de l'ANSSI. En effet, alors que les attributions de l'ANSSI se situent dans le domaine de la prévention, celles du CERT Gouvernemental s'inscrivent dans le domaine de la réaction. Le CERT Gouvernemental est une structure opérationnelle ayant comme mission principale de détecter les attaques informatiques dirigées à l'encontre des réseaux informatiques de l'État et d'organiser une réaction adéquate à ces attaques. La compétence du CERT Gouvernemental vise les « incidents de sécurité d'envergure », c'est-àdire les incidents qui impactent la disponibilité, l'intégrité ou la confidentialité des systèmes d'

de l'État. Ces incidents d'envergure sur les réseaux et systèmes sont à distinguer des évènements de sécurité, qui constituent de simples risques de compromission des équipements ou logiciels déployés auprès de l'État. La lettre a) du paragraphe 1 er attribue au CERT Gouvernemental une compétence transversale en matière de gestion des incidents de sécurité d'envergure en le nommant « point de contact 17 unique ». En effet, un centre de traitement centralisé permet de mettre sur pied une équipe d'experts capable de prendre en charge de manière rapide des attaques sophistiquées. Selon la lettre b), la réponse du CERT Gouvernemental aux incidents informatiques se divise en plusieurs étapes : D'abord, le CERT Gouvernemental organise une veille technologique portant sur les différents types d'attaques, ainsi que sur les moyens de défense y relatifs. Les

s sont rassemblées à l'aide de sources ouvertes, telles que des sites d'actualités spécialisés, de sources commerciales et d'échanges avec des partenaires. Ensuite, il revient au CERT Gouvernemental de détecter les incidents de sécurité d'envergure affectant les réseaux et systèmes d'

de l'État à travers des analyses manuelles ou automatiques (par exemple logiciels du type endpoint protection qui permettent de sécuriser à distance les terminaux des utilisateurs). Plus précisément, l'équipe du CERT Gouvernemental examine les fichiers de journalisation (logs) générés par les équipements informatiques afin d'identifier une compromission éventuelle (indicators of compromise). Notons que le CERT Gouvernemental reçoit constamment des indicateurs de compromission de ses partenaires nationaux et internationaux, de sorte qu'il lui est possible de mettre en place des logiciels qui trouvent ces indicateurs. Lors de la phase d'alerte, le CERT Gouvernemental met en garde le correspondant informatique de l'entité compromise pour que ce dernier puisse prendre les mesures de réaction appropriées. Dernièrement, pendant la phase de réaction, le CERT Gouvernemental propose des mesures de remédiation, soit au correspondant informatique, soit à l'opérateur de systèmes (par exemple le CTIE). En effet, il convient de noter que le CERT Gouvernemental a une fonction de conseil et de support pour les entités concernées, sans pour autant intervenir directement sur l'équipement électronique de ces derniers. La lettre c) du premier paragraphe décrit la fonction de centre national de traitement des urgences informatiques, dénommé CERT National. Afin d'éviter toute confusion au niveau du CERT compétent pour un incident donné, le CERT National agit en tant que point de contact national compétent pour recevoir toute notification d'incidents et pour relayer ces

s au CERT sectoriel compétent. Observons que la mission du CERT National s'arrête à la transmission de l'incident au CERT compétent et que le CERT National n'assure par conséquent aucun suivi des incidents transmis. Les

s qui sont reçues par le CERT Gouvernemental dans le cadre de sa mission de CERT National de la part de ses partenaires internationaux et des opérateurs d'infrastructures critiques lui permettent d'avoir une vue d'ensemble pour évaluer correctement l'état de la sécurité dans le domaine cyber et pour anticiper ainsi les mesures qui s'imposent. Il opère comme point de contact officiel pour les CERTs national étrangers et pour la collecte et la distribution d'

s relatives aux incidents de sécurité concernant les systèmes d'

localisés au Luxembourg et de relayer les

s pertinentes aux CERTs sectoriels. 18 Finalement, le HCPN est en charge de la fonction de CERT Militaire (lettre d)). En tant que CERT Militaire, il lui revient d'assurer la gestion des incidents informatiques survenant sur les réseaux et systèmes d'

de l'Armée luxembourgeoise. En effet, l'Armée luxembourgeoise a fait connaître son besoin de faire protéger ses infrastructures informatiques opérationnelles. Il est entendu que les interventions du CERT Gouvernemental se limiteront à des interventions pouvant être réalisées à partir du territoire national et que le personnel du HCPN ne peut être appelé à se déplacer à l'étranger pour réaliser ces interventions. A l'instar du domaine de compétence de l'ANSSI, le deuxième paragraphe de l'article 9quater permet au CERT Gouvernemental de proposer ses services à d'autres autorités publiques, aux établissements publics, ainsi qu'aux infrastructures critiques. Ces services sont fournis sur base d'un accord de collaboration qui définit les responsabilités de chaque partie. Ces accords permettent au CERT Gouvernemental d'obtenir des

s sur les attaques dirigées à l'encontre de ces entités et d'utiliser ces

s pour protéger le reste de sa constituante. Ce cas de figure rejoint la mission de CERT National, en l'occurrence une mission d'intérêt général, à savoir la protection des besoins essentiels et des intérêts vitaux de la population et du pays. Conformément à la philosophie de la loi portant création d'un HCPN, l'opérateur d'une infrastructure critique reste libre de recourir aux services du CERT Gouvernemental. Ainsi, par exemple, dans le contexte de l'analyse du plan de continuité des activités d'une infrastructure critique, le HCPN peut recommander à ce que l'opérateur de l'infrastructure critique collabore avec un CERT. L'opérateur est cependant libre de recourir aux services du CERT Gouvernemental ou aux services d'un des dix CERTs exerçant des activités au Luxembourg. A l'heure actuelle, des de collaboration ont été conclus avec des entités nationales, telles que la Banque et la Caisse d'Epargne de l'État et le Corps grand-ducal d'incendie et de secours, et internationales sises sur le territoire luxembourgeois, telles que la NATO Support and Procurernent Agency. Le troisième paragraphe pose que le CERT Gouvernemental bénéficie de la part des administrations et services de l'État de toute collaboration nécessaire. Cette collaboration implique notaimnent que le CERT Gouvernemental est autorisé à recueillir, demander et obtenir des

s à caractère technique sur les infrastructures et architectures de communication et d'

et de recueillir, demander et obtenir un accès aux fichiers de journalisation techniques. En outre, le CERT Gouvernemental peut demander aux administrations et services de l'État de déconnecter des équipements informatiques des réseaux de communication de l'État. Outre l'ANSSI et le CERT Gouvernemental, le SCC sera intégré dans la loi portant création d'un Haut-Commissariat à la Protection nationale (nouvel chapitre 4quinquies (article 9quinquies) de la loi-cadre du HCPN). Le SCC est appelé à élaborer une stratégie de communication de crise couvrant aussi bien le volet préventif (actions de sensibilisation et mise au point d'outils de sensibilisation), que la communication en cas de survenance d'une crise. Dans ce contexte, il lui revient, d'une part, d'émettre des consignes et alertes à destination de la population afin de réduire les impacts de la crise et, d'autre part, de limiter les polémiques qui risquent de se propager à défaut de communication adéquate. 19 Afin de pouvoir assurer au mieux ses missions, le SCC collabore étroitement avec les acteurs impliqués dans la prévention et la gestion de crises et établit des relations professionnelles avec les médias luxembourgeois. En outre, le SCC entretient des contacts réguliers avec les services de communication de crise des pays et régions limitrophes. L'article Ier, point 5, de la loi sous projet consacre formellement la fonction de Haut-Commissaire à la Protection nationale adjoint qui existe depuis 2016 dans l'organigramme du HCPN. Puisque le HCPN s'est vu attribuer au cours des dernières années de plus en plus de missions, un renfort au niveau de la direction s'avère indispensable. L'article I", point 6, complète le cadre du personnel par la fonction du Haut-Commissaire à la Protection nationale adjoint (article 11, paragraphe ler) et supprime l'article 11, paragraphe 2, alinéa 2 de la loi portant création d'un Haut-Commissariat à la Protection nationale. En effet, afin de diminuer la charge administrative en relation avec le détachement d'un agent auprès du HCPN, il est décidé de se rallier au régime de droit commun fixé par l'article 7, paragraphe 2, de la loi modifiée du 16 avril 1979 fixant le statut général des fonctionnaires de l'État. L'article Ier, point 7, contient les dispositions nécessaires pour assurer le transfert du personnel de l'ANSSI, du CERT Gouvernemental et du SCC vers le Haut-Commissariat à la Protection nationale. En effet, il y a lieu de prévoir des garde-fous pour éviter que les agents disposant d'une majoration d'échelon ou d'un grade de substitution ne soient lésés par ce transfert. Il s'agit de souligner qu'il s'agit d'une mesure transitoire dont l'effet disparaîtra au plus tard avec la cessation des fonctions des agents concernés. Ad art. II Etant donné que la fonction de Haut-Commissaire à la Protection nationale adjoint est introduite dans la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale (HCPN) et que cette fonction est à considérer comme fonction dirigeante, il importe de l'insérer dans la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État. Ad art. III La terminologie utilisée au niveau de l'article 5 de loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques est alignée sur celle qui a été inscrite dans la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale, cette dernière ayant introduit dans notre ordre juridique une définition de la notion de « crise ». L'adaptation vise ainsi à assurer que le dispositif inscrit à l'article 5 précité puisse être mis en œuvre en cas de crise, et notamment dans le contexte d'une crise se situant dans le cadre du « Plan d'intervention d'urgence face aux attaques contre les systèmes d'

ou en cas de défaillance des systèmes d'

». 20 Ad art. IV L'article du projet de loi modifie la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État sur deux points. D'abord, la fonction du Haut-Commissaire à la Protection nationale adjoint est insérée à l'article 17, de sorte que cette fonction va de pair avec une majoration d'échelon pour fonctions dirigeantes. En outre, l'article 22 de ladite loi est complété par un nouvel paragraphe qui accorde une prime de 12 points indiciaires aux agents du HCPN qui sont soumis à une obligation de permanence ou de présence. En effet, vu que le HCPN est un organe de gestion de crise qui doit pouvoir être joignable en permanence, certains agents sont soumis à une obligation de permanence. Cet ajout vise à compenser les efforts mis en œuvre par ces agents. Finalement, à l'instar des dispositions applicables aux directeurs adjoints d'autres administrations, le point 4 de l'article IV prévoit des allongements de grade pour la fonction du Haut-Commissaire à la Protection nationale adjoint. Ad art. V Le projet sous rubrique modifie la loi modifiée du 8 avril 2018 sur les marchés publics est modifiée à deux égards. D'abord, comme la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale assure un accès rapide aux fournitures et services en cas de crise, l'article V vise à inclure les marchés de travaux dans le champ d'application de ce régime d'exception. En effet, depuis 2016, le Haut-Commissariat à la Protection nationale était confronté, à plusieurs reprises, à des intempéries qualifiées de « crise » au sens de la loi HCPN et ayant causé des dommages importants aux biens étatiques et communaux. Bien que la remise en état des infrastructures essentielles bénéficiait dans une première phase des dispositions d'urgence de la loi sur les marchés publics (art. 20, paragraphe 1 er, lettre 0), la complexité de certains dossiers a eu pour effet de prolonger les travaux de réparation dans le temps, de sorte que les travaux étaient encore en cours de réalisation alors que la première phase d'urgence venait à son terme. En effet, il se peut, vu la complexité des travaux à réaliser, que des études statiques approfondies doivent être réalisées au préalable pour examiner l'étendue précise des dégâts. L'absence de la notion de « travaux » dans l'article 20, paragraphe 1 er, lettre m), de la loi modifiée du 8 avril 2018 sur les marchés publics, a rendu inutilement compliquée la remise en état de ces infrastructures. Il est entendu que la formulation proposée ne permet le recours à la procédure négociée qu'au cas où la réparation en tant que telle s'avère urgente. Soulignons que ce régime d'exception est limité aux marchés tombant dans le champ d'application du livre Ier de la loi sur les marchés publics, de sorte que les marchés publics de travaux d'envergure (au-dessus de 5.186.000 EUR) sont passés avec les mesures de publicité adéquates. 21 Ensuite, afin de permettre au HCPN de répondre de manière efficace à une crise, le projet de loi modifie l'article 159, paragraphe 3, de la loi modifiée du 8 avril 2018 sur les marchés publics. En effet, alors que les articles 20, paragraphe 1 er, lettre 0, 64, paragraphe 2, lettre c), et 124, lettre

1. d)de la loi modifiée du 8 avril 2018 sur les marchés publics permettent au HCPN de recourir à une procédure restreinte sans publication d'avis ou une procédure négociée dès lors que les conditions de « l'urgence impérieuse », telles qu'énoncées dans le cadre de ces dispositions, sont remplies (ce qui est bien souvent le cas en temps de crise), la passation de ces marchés est retardée par le fait qu'un avis doit préalablement être sollicité auprès de la Commission des soumissions. Or, les situations d'urgence impérieuse sont par la force des choses, et par définition, incompatibles avec l'accomplissement d'une formalité de demande d'avis préalable. En témoignent les marchés qui ont dû être passés au pied levé dans le contexte de la lutte contre la propagation du COVID-19, où le HCPN essayait d'acquérir des équipements de protection individuelle essentiels, sur un marché dans lequel la demande dépassait de loin l'offre et dans un contexte international difficile, tel que documenté par la presse internationale. Il s'agissait de répondre instantanément aux offres reçues, le cas échéant, sous peine de voir un autre acquéreur s'emparer des fournitures. Le projet de loi est formulé de manière à ce que l'exemption à l'obligation de saisir préalablement la Commission des soumissions, telle que prévue à l'article 159, paragraphe 3, soit strictement limitée. 22 Textes législatifs coordonnés Loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale et modifiant
2. a)la loi modifiée du 23 juillet 1952 concernant l'organisation militaire ;
3. b)la loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise internationale grave ou de catastrophe ;
4. c)la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel ;
5. d)la loi modifiée du 25 juin 2009 sur les marchés publics ;
6. e)la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État ;
7. f)la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État Chapitre 1" — Objet Art. 1 er. Il est créé une administration dénommée Haut-Commissariat à la Protection nationale, dont les compétences et les mécanismes selon lesquels elle intervient sont déterminés par la présente loi qui règle également l'organisation de la protection des infrastructures critiques. Le Haut-Commissariat à la Protection nationale est placé sous l'autorité du membre du Gouvernement ayant dans ses attributions la Protection nationale. Chapitre 2 — Définitions Art. 2. Pour l'application de la présente loi, on entend par 1. « concept de protection nationale » : un concept qui consiste à prévenir les crises, respectivement à protéger le pays et la population contre les effets d'une crise. En cas de survenance d'une crise, il comprend la gestion des mesures et activités destinées à faire face à la crise et à ses effets et à favoriser le retour à l'état normal ; 2. « crise » : tout évènement qui, par sa nature ou ses effets, porte préjudice aux intérêts vitaux ou aux besoins essentiels de tout ou partie du pays ou de la population, qui requiert des décisions urgentes et qui exige une coordination au niveau national des actions du Gouvernement, des administrations, des services et organismes relevant des pouvoirs publics, et, si besoin en est, également au niveau international ; 3. « gestion de crises » : l'ensemble des mesures et activités que le Gouvernement initie, le cas échéant avec le concours des autorités communales concernées, pour faire face à la crise et à ses effets et pour favoriser le retour à l'état normal ; 4. « infrastructure critique » : tout point, système ou partie de celui-ci qui est indispensable à la sauvegarde des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population ou qui est susceptible de faire l'objet d'une menace particulière ; 23 4bis. « sécurité de l'

: sécurité autour des réseaux et systèmes d'

non classifiés installés et exploités par les administrations et services de l'État ; 5. « stratégie nationale en matière de sécurité des réseaux et des systèmes d'

» : un cadre prévoyant des objectifs et priorités stratégiques en matière de sécurité des réseaux et des systèmes d'

au niveau national. Chapitre 3 — Mission et attributions du Haut-Commissariat à la Protection nationale Art. 3.

; c) quant aux mesures de gestion de crises : 1.d'initier, de conduire et de coordonner les tâches de gestion de crises ;

1. de veiller à l'exécution de toutes les décisions prises ;
2. de favoriser le plus rapidement possible le retour à l'état normal ;
3. de préparer un budget commun pour la gestion de crises et de veiller à son exécution ;
4. de veiller à la mise en place et au fonctionnement du Centre national de crise. Dans le cadre de ses attributions, le Haut-Commissariat à la Protection nationale est le point de contact du Luxembourg auprès des institutions et organisations européennes et internationales et veille à une coopération efficace avec ces entités. (1bis) Le Haut-Commissariat à la Protection nationale assure les fonctions d'Agence nationale de la sécurité des systèmes d'

, ci-après « ANSSI », de Centre de traitement des urgences informatiques, ci-après « CERT Gouvernemental » et de Service de la communication de crise.

s susceptibles d'avoir un rapport avec leurs missions. 24

s couvertes par ce secret si la révélation dudit secret est nécessaire à l'exercice de sa mission de gestion de crises ou de protection des infrastructures critiques. Une divulgation d'

s en réponse à une telle demande n'entraîne pour l'organisme ou la personne détenteur des

s secrètes aucune responsabilité.

s qui sont couvertes par le secret de l'instruction relative à une enquête judiciaire concomitante ne peuvent être transmises qu'avec l'accord de la juridiction ou du magistrat saisi du dossier. Chapitre 4 — La protection des infrastructures critiques Art.

1. La protection de l'infrastructure critique comprend l'ensemble des activités visant à prévenir, à atténuer ou à neutraliser le risque d'une réduction ou d'une discontinuité de la disponibilité de fournitures ou de services indispensables à la sauvegarde des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population offerts par l'intermédiaire de l'infrastructure ainsi que le risque externe dont l'infrastructure est susceptible de faire l'objet. Un point, système ou partie de celui-ci ne répondant pas à la définition donnée à l'article 2, peut être recensé et classifié comme infrastructure critique lorsque le fonctionnement d'une infrastructure critique en dépend. De même peut être recensé et désigné comme infrastructure critique un secteur ou une partie de secteur dont tous les éléments ne répondent pas nécessairement à la définition donnée à l'article 2, mais dont l'ensemble est considéré comme tel. Art.
2. Les modalités du recensement et de la désignation des infrastructures critiques sont fixées par règlement grand-ducal. Art.
3. Le propriétaire ou opérateur d'une infrastructure critique est tenu de mettre à la disposition du Haut-Commissariat à la Protection nationale toutes les données sollicitées aux fins du recensement, de la désignation et de la protection des infrastructures critiques. Ces données comprennent toutes les

s qui sont nécessaires dans le contexte de la prévention ou de la gestion d'une crise. Les données relatives à l'infrastructure critique faisant l'objet d'un enregistrement, d'une communication, d'une déclaration, d'un recensement, d'un classement, d'une autorisation ou d'une notification imposés par la loi ou par la réglementation afférente sont communiquées au Haut-Commissariat à la Protection nationale, sur sa demande, par les départements ministériels, les administrations et services de l'État qui détiennent ces données. Art. 7. La désignation d'une infrastructure critique fait l'objet d'un arrêté grand-ducal. 25 Art. 8.

Art. 9bis

. Le Haut-Commissariat à la Protection nationale élabore une stratégie nationale en matière de sécurité des réseaux et des systèmes d'

, qui porte, en particulier, sur les points suivants : a) les objectifs et les priorités de la stratégie nationale en matière de sécurité des réseaux et des systèmes d'

; b) un cadre de gouvernance permettant d'atteindre les objectifs et les priorités de la stratégie nationale en matière de sécurité des réseaux et des systèmes d'

, prévoyant notamment les rôles et les responsabilités des organismes publics et des autres acteurs pertinents ;

1. c)l'inventaire des mesures en matière de préparation, d'intervention et de récupération, y compris la coopération entre les secteurs public et privé ;
2. d)un aperçu des programmes d'éducation, de sensibilisation et de formation en rapport avec la stratégie nationale en matière de sécurité des réseaux et des systèmes d'

; 26 e) un aperçu des plans de recherche et de développement en rapport avec la stratégie nationale en matière de sécurité des réseaux et des systèmes d'

;

1. f)un plan d'évaluation des risques permettant d'identifier les risques ;
2. g)une liste des différents acteurs concernés par la mise en œuvre de la stratégie nationale en matière de sécurité des réseaux et des systèmes d'

. Chapitre 4ter — L'Agence nationale de la sécurité des systèmes d'

Art. 9ter.

de l'État ; b) de définir, en concertation avec les administrations et services de l'État, les politiques et lignes directrices de sécurité de l'

pour les domaines spécifiques, d'émettre des recommandations d'implémentation y relatives et d'assister les entités au niveau de l'implémentation des mesures proposées ; c) de définir, en concertation avec les administrations et services de l'État, une approche de gestion des risques, en vue de constituer un plan d'évaluation et d'identification des risques concernant la sécurité de l'

et d'accompagner, à leur demande, les entités dans l'analyse et la gestion des risques ; d) de conseiller l'Institut national d'administration publique, respectivement, à leur demande, les administrations et services de l'État dans la définition d'un programme de formation dans le domaine de la sécurité de l'

; e) de promouvoir la sécurité de l'

par le biais de mesures de sensibilisation ; f) d'assurer la fonction d'autorité TEMPEST en veillant à la conformité des réseaux et systèmes d'

classifiés aux stratégies et lignes directrices TEMPEST et en approuvant les contre-mesures TEMPEST pour les installations et les produits destinés à protéger des pièces classifiées jusqu'à un certain niveau de classification dans leur environnement opérationnel.

des administrations et services de l'État ; 27 b) d'assurer un service de veille, de détection, d'alerte et de réaction aux attaques informatiques et aux incidents de sécurité d'envergure affectant ces réseaux et systèmes d'

; c) d'assurer la fonction de centre national de traitement des urgences informatiques, dénommé CERT National, en

1. opérant comme le point de contact officiel national pour les CERTs nationaux et gouvernementaux étrangers ;
2. opérant comme le point de contact officiel national pour la collecte et la distribution d'

s relatives aux incidents de sécurité qui concernent les réseaux et systèmes d'

implantés au Luxembourg ; 3. relayant les

s collectées aux CERTs sectoriels en charge de la cible d'une attaque ou à défaut de CERT sectoriel, directement à la cible. d) d'assurer la fonction de centre militaire de traitement des urgences informatiques, dénommé CERT Militaire, en

1. opérant comme le point de contact officiel national pour les CERTs militaires étrangers ;
2. assurant un service de veille, de détection, d'alerte et de réaction aux attaques informatiques et aux incidents de sécurité d'envergure affectant les réseaux et les systèmes de communication et de traitement de l'

de l'armée à partir du territoire du Grand-Duché ; 3. opérant, à partir du territoire du Grand-Duché, une équipe d'intervention spécialisée capable de prendre en charge la réponse aux incidents de sécurité d'envergure liés à ces systèmes de cornrnunication et de traitement de l'

, le Centre de traitement des urgences informatiques et le Service de la communication de crise dans la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale. Accessoirement, l'avant-projet adapte la loi sur les réseaux et services communications électroniques et la loi sur les marchés publics à la terminologie et aux missions décrites dans la loi-cadre du HCPN. Finalement, il est procédé à des ajustements ponctuels de la loi-cadre du HCPN en matière de personnel. Autre(s) Ministère(s) / Organisme(s) / Commune(s) impliqué(e)(s) Version 23.03.2012 Ministère de la Fonction publique, Ministère de la Mobilité et des Travaux publics, Centre des technologies de l'

d