Projet de loi n°76701 modifiant 1° la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale, 2° la loi mod

CHAMBEITI OF COMMERCE LUXEMBOURG POWERING BUSINESS Luxembourg, le 10 février 2021 Objet : Projet de loi n°76701 modifiant 1° la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale, 2° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État, 3° la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques, 4° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancément des fonctionnaires de l'État et 5° la loi modifiée du 8 avril 2018 sur les marchés publics. (5622MEM) Saisine : Ministre d'Etat (18 septembre 2020) Avis de la Chambre de Commerce Le projet de loi sous avis (ci-après, le « Projet ») a principalement pour objet d'adapter la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale (ci-après, la « Loi ») afin d'y intégrer l'exercice par le Haut-Commissariat à la Protection nationale (ci-après, le « HCPN ») des missions d'Agence nationale de la sécurité des systèmes d'information (ci-après, « l'ANSSI »), de Centre de traitement des urgences informatiques (ci-après, le « CERT Gouvernemental ») et de Service de communication de crise (ci-après, le « SCC »). En bref > La Chambre de Commerce accueille favorablement le projet de loi sous avis qui ancre légalement les missions du HCPN agissant dans ses fonctions d'Agence nationale de la sécurité des systèmes d'information, de Centre de traitement des urgences informatiques et de Service de communication de crise. > Elle se demande néanmoins pourquoi les auteurs du Projet n'ont pas saisi l'occasion de la modification de la Loi du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale, afin de mettre à jour son article 14 concernant (

1. i)la base légale des traitements de données personnelles nécessaires à l'exécution des missions du HCPN et (
2. ii)la législation applicable en matière de protection des données personnelles. 'Lien vers le proiet de loi sur le site de la Chambre des Députés CHAMBER —I OF COMMERCE •-1BOuRG POWERING BUSINESS 2 Il modifie également (
3. i)la loi modifiée du 27 février 2011 sur les réseaux et les services de communications électroniques, (
4. ii)la loi modifiée du 8 avril 2018 sur les marchés publics, (iii) la loi modifiée du 9 décembre 2005 sur la nomination de certains fonctionnaires occupants des fonctions dirigeantes2 et (
5. iv)la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État. Considérations générales Le Projet tend à ancrer dans la Loi, l'exercice par le HCPN des fonctions d'ANSSI3, de CERT Gouvernemental' et de SCC5. L'article ler, paragraphe 4 du Projet prévoit que : dans sa fonction d'ANSSI, le HCPN assure, notamment, des missions' de prévention dans le cadre de la sécurité de l'information non-classifiée7 ; dans sa fonction de CERT Gouvernemental, le HCPN assure, entre autres, des missions opérationnelles de réponse aux incidents de sécurité et effectue un travail de détection des cyberattaques' ; et dans sa fonction de SCC, le HCPN assure et coordonne la communication de crise. L'article le, paragraphe 1 du Projet entend limiter le champ d'application de la définition d'« infrastructure critique »10 figurant à l'article 2 de la Loi, afin selon les auteurs du Projet, de ne pas soumettre à une charge administrative excessive « des infrastructures qui en temps normaux ne seraient pas considérées critiques, mais qui, au vu de circonstances particulières limitées dans le temps, pourraient faire l'objet d'une menace particulière. »11 Le Projet' procède, en outre, à des adaptations relatives au personnel du HCPN consistant, entre autres, en la reprise du personnel de l'ANSSI, du CERT Gouvernemental et du SCC dans le cadre du personnel du HCPN. Est également légalement consacré le poste de Haut-Commissaire à la Protection nationale adjoint, à qui le Haut-Commissaire à la Protection Nationale pourra notamment déléguer certaines de ses attributions. Le Projet prévoit de modifier en conséquence (
6. i)la loi modifiée du 9 décembre 2005 sur la nomination de certains fonctionnaires occupants des fonctions dirigeantes' et (
7. ii)la loi la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État. 2 loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État 3 Le HCPN assure déjà la fonction d'ANSSI sur la base de l'Arrêté grand-ducal du 9 mai 2018 portant fixation de la gouvernance en matière de gestion de la sécurité de l'information. 4 Le CERT Gouvernemental est actuellement soumis à l'autorité du HCPN en vertu de l'Arrêté grand-ducal du 9 mai 2018 déterminant l'organisation et les attributions du Centre de traitement des urgences informatiques, dénommé « CERT Gouvernemental ». 5 Le SCC existe actuellement au sein du Ministère d'État, sous l'autorité du Haut-Commissaire à la Protection nationale en vertu de l'Arrêté grand-ducal du 30 mai 2016 instituant un Service de la communication de crise., 0 6 L'ensemble des missions de du HCPN dans sa fonction d'ANSSI sont définies à l'article 9ter que l'article ler, paragraphe 4 du Projet entend introduire dans la Loi. 7 La sécurité de l'information classifiée revient à Autorité nationale de Sécurité (ANS), ayant vocation aux termes du projet de loi n°6961 portant 1. création de l'Autorité nationale de sécurité et 2. Modification 1) de la loi modifiée du 15 juin 2004 relative à la classification des pièces et aux habilitations de sécurité; 2) du Code pénal, à devenir une administration indépendante. 8 L'ensemble des missions du HCPN dans sa fonction de CERT Gouvernemental sont définies à l'article 9quater que l'article ler, paragraphe 40 du Projet entend introduire dans la Loi. 0 g L'ensemble des missions du HCPN dans sa fonction de SCC sont définies à l'article 9quinquies que l'article ler, paragraphe 4 du Projet entend introduire dans la Loi. 10 Une infrastructure critique est actuellement définie à l'article 2, paragraphe 4 de la Loi comme : « tout point, système ou partie de celuici qui est indispensable à la sauvegarde des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population ou qui est susceptible de faire l'objet d'une menace particulière. ». L'article ler, paragraphe 10 , du Projet entend supprimer la partie de phrase « ou qui est susceptible de faire l'objet d'une menace particulière ». 11 cf. exposé des motifs page 11 12 article II et article IV du Projet 13 loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État CHAMBER OF COMMERCE LUXEMBOURG POWERING BUSINESS 3 L'article Ill du Projet prévoit quant à lui de modifier la loi du 27 février 2011 sur les réseaux et les services de communications électroniques, afin d'inclure la notion de « crise » au sens de l'article 2 de la Loi, dans les évènements permettant au Gouvernement de réquisitionner tous les réseaux de communications électroniques établis sur le territoire du Grand-Duché, ou d'interdire en tout ou en partie la fourniture d'un service de communications électroniques'. Par ailleurs, l'article V, paragraphe 1 du Projet tend à adapter la loi modifiée du 8 avril 2018 sur les marchés publics, afin d'introduire les marchés de travaux de réfection de dommages résultant d'une crise telle que définie par la Loi15, dans le champ d'application du recours à la procédure restreinte sans publication d'avis ou à la procédure négociée16. Le second paragraphe de l'article V du Projet entend dispenser le HCPN de l'obligation de solliciter l'avis de la Commission des soumissions préalablement à la passation de marchés urgents limitativement énumérés, cela, afin de ne pas retarder la passation desdits marchés. La Chambre de Commerce accueille favorablement le Projet qui ancre notamment dans la loi, l'exercice par le HCPN des missions de l'ANSSI, du CERT Gouvernemental et du SCC. Elle considère cependant qu'il y aurait lieu de clarifier en partie la formulation des articles relatifs à l'élargissement des missions de l'ANSSI et du CERT. Elle se demande également pourquoi les auteurs du Projet n'ont pas saisi l'occasion de la modification de la Loi, afin de mettre à jour son article 14 donnant une base légale au traitement de données personnelles nécessaires à l'exécution de la mission du HCPN. Cet article précise en effet que : « Le Haut-Commissariat à la Protection nationale peut traiter les données personnelles nécessaires à l'exécution de la mission définie à l'article 3. Ces traitements sont soumis à la procédure d'autorisation préalable de la Commission nationale pour la protection des données telle que prévue à l'article 14 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel. » Afin d'englober les missions du HCPN dans ses fonctions d'ANSSI, de CERT Gouvernemental et de SCC et d'adapter la formulation de l'article 14 de la Loi au cadre législatif actuel en matière de protection des données personnelles, la Chambre de Commerce propose de modifier l'énoncé de cet article comme suit « Le Haut-Commissariat à la Protection nationale, agissant le cas échéant dans ses fonctions d'ANSSI, de CERT Gouvernemental ou de Service de la communication de crise peut traiter les données personnelles nécessaires à l'exécution de la mission définie à l'article 3. Ces traitements sont soumis au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) et à la loi du l er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données à-la-gerecédure-cliauterisatien-geréalable-cie-la modifiée-du-2-août-4002-relative-à-la-proteetion-des-perseenes-à-llégarcl-du-traitement-des deennées-à-caractère-pefsennel, ». 14 Tel que prévu à l'article 5 de la loi du 27 février 2011 sur les réseaux et les services de communications électroniques. L'article V, paragraphe 1° précise encore que le recours à la procédure restreinte sans publication d'avis ou à la procédure négociée n'est possible que « pour autant que la réparation soit urgente ». 16 prévue à l'article 20 de la loi modifiée du 8 avril 2018 sur les marchés publics 15 CHAMBER OF COMMERCE LUXEMBOURG POWERING BUSINESS 4 Commentaire des articles Article ler, paragraphe 4 Concernant l'article 9ter, paragraphe 2 de la Loi modifiée par le Projet Le Projet prévoit d'introduire un article 9ter dans la Loi concernant les missions du HCPN dans sa fonction d'ANSSI. Le texte17 dispose que : « Les missions de l'ANSSI peuvent être élargies, à leur demande, à d'autres autorités publiques, aux établissements publics, ainsi qu'aux infrastructures critiques. » Dans la mesure où le périmètre des missions de l'ANSSI est constant, que ce soit auprès de l'Etat ou d'autres autorités publiques, établissements publics ou infrastructures critiques qui en feraient la demande, l'ANSSI ne peut élargir de sa propre initiative le périmètre des missions fixées par la loi. Dès lors, la Chambre de Commerce recommande de modifier la rédaction de ce paragraphe afin de clarifier le fait que les missions de l'ANSSI ne peuvent être exercées auprès des autres autorités publiques, établissements publics ou infrastructures critiques qu'à la demande de ces derniers. Elle propose en conséquence, de rernplacer le texte de l'article 9ter, paragraphe 2 par la formulation suivante : « Les missions du Haut-Commissariat à la Protection Nationale décrites à l'article 9ter