Loi du 25 juillet 2015 relative à l’archivage électronique et portant modification: 1. de l’article 1334 du Code civil; 2. de l’article 16 du Code de commerce; 3. de la loi

3057 1623 MEMORIAL MEMORIAL Journal Officiel du Grand-Duché de Luxembourg Amtsblatt des Großherzogtums Luxemburg RECUEIL DE LEGISLATION A –– 110 A –– N° N° 150 22 mai 2009 4 août 2015 Sommaire ARCHIVAGE éLECTRONIQUE Loi du 25 juillet 2015 relative à l’archivage électronique et portant modification:

Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau, Notre Conseil d’État entendu;

De l’assentiment de la Chambre des députés;

Vu la décision de la Chambre des députés du 2 juillet 2015 et celle du Conseil d’État du 17 juillet 2015 portant qu’il n’y a pas lieu à un second vote;

Avons ordonné et ordonnons:

Chapitre 1er. - Dispositions générales relatives à la dématérialisation et à la conservation.

Art. 1erChamp d’application

Art. 2Définitions

Aux termes de la présente loi, on entend par:

Art. 3Dématérialisation et conservation électronique

La dématérialisation de tout original et la conservation électronique doivent répondre aux exigences arrêtées par règlement grand-ducal.

Chapitre 2. - Prestataires de services de dématérialisation ou de conservation.

Section 1. Statut de prestataire de services de dématérialisation ou de conservation.

Art. 4Procédure de demande d’inscription et surveillance des prestataires de services de dématérialisation

ou de conservation.

Mémorial A – N° 150 du 4 août 2015 3059 Le certificateur vérifie, au moyen d’audits, que les règles visées à l’alinéa 1 permettent d’assurer que des garanties fiables existent:

Les règles visées au présent paragraphe sont déterminées par règlement grand-ducal.

L’ILNAS peut procéder à tout moment à des vérifications supplémentaires dans le contexte de l’attribution ou du maintien du statut de prestataire de services de dématérialisation ou de conservation. L’ILNAS peut avoir recours au certificateur pour effectuer ces vérifications.

Les prestataires de services de dématérialisation ou de conservation inscrits sur la liste prévue à l’alinéa 1 ont le droit d’utiliser dans leur dénomination sociale, leur nom commercial ou toute communication commerciale la dénomination de prestataire de services de dématérialisation ou de conservation ou l’acronyme PSDC.

Art. 5Suspension de l’inscription ou retrait de la liste des prestataires de services de dématérialisation ou

de conservation.

Dans ce cas, l’ILNAS peut, si une telle mesure de publicité est nécessaire à l’intérêt public, publier un communiqué soit au Mémorial, soit dans un ou plusieurs journaux luxembourgeois ou étrangers.

Section 2. Obligations générales des prestataires de services de dématérialisation ou de conservation.

Art. 6Obligation d’information préalable

Mémorial A – N° 150 du 4 août 2015 3060

Art. 7Obligation au secret professionnel

Art. 8Propriété, sûretés et garanties sur les matériels et supports de conservation électronique

Le prestataire de services de dématérialisation ou de conservation qui fournit des services de conservation électronique doit garantir qu’à tout moment au moins un exemplaire de toutes les copies à valeur probante et des originaux numériques qu’il conserve pour compte des détenteurs soit placé sur des matériels ou supports dont il a la pleine propriété. Il ne peut donner en garantie ou constituer de sûreté sur ces matériels ou supports. Les sûretés et garanties constituées en violation du présent alinéa sont nulles de plein droit. Ces matériels ou supports sont insaisissables tant que les copies probantes ou les originaux numériques n’ont pas été restitués aux détenteurs.

Ne sont pas visés par les dispositions du présent article les matériels ou supports sur lesquels le prestataire de services de dématérialisation ou de conservation conserve d’éventuels autres exemplaires de copies probantes ou originaux numériques pour compte des détenteurs.

Art. 9Transfert et cessation des activités

Il doit par ailleurs restituer toute information relative à la dématérialisation et à la conservation des copies à valeur probante ou des originaux numériques.

Chapitre 3. – Sanctions.

Art. 10Sanctions pénales

Sont punis d’une amende de 251 à 125.000 euros les personnes qui ont utilisé dans leur dénomination sociale, leur nom commercial ou toute communication commerciale la dénomination de prestataire de services de dématérialisation ou de conservation ou l’acronyme PSDC sans être inscrites sur la liste visée au paragraphe 3 de l’article 4 de la présente loi.

Chapitre 4. – Dispositions modificatives.

Art. 11Modifications du Code civil

Une copie ne peut être rejetée par le juge au seul motif qu’elle se présente sous forme électronique ou qu’elle n’a pas été réalisée par un prestataire de services de dématérialisation.».

Art. 12Modifications du Code de commerce

L’article 16 du Code de commerce est complété comme suit: «Les copies sous forme numérique qui sont effectuées par un prestataire de services de dématérialisation ou de conservation ont, sauf preuve contraire, la même valeur probante que l’original ou l’acte faisant foi d’original.

Une copie ne peut être rejetée par le juge au seul motif qu’elle se présente sous forme électronique ou qu’elle n’a pas été réalisée par un prestataire de services de dématérialisation.».

Art. 13Modifications de la loi modifiée du 5 avril 1993 relative au secteur financier

La loi modifiée du 5 avril 1993 relative au secteur financier est modifiée comme suit:

Art. 29-6Les prestataires de services de conservation du secteur financier

Mémorial A – N° 150 du 4 août 2015 3062

Chapitre 5. – Dispositions transitoires et finales.

Art. 14L’ILNAS est autorisé à procéder au cours de l’année 2015 par dérogation aux paragraphes 1er et 2 de

l’article 24 de la loi du 19 décembre 2014 concernant le budget des recettes et des dépenses de l’Etat pour l’exercice 2015 et par dépassement des plafonds prévus dans cette loi, aux engagements supplémentaires de trois employés de la carrière supérieure.

Art. 15Les copies et originaux numériques créés et conservés par un organisme dont c’est une des missions en

vertu de dispositions légales existantes, sous le contrôle d’une autorité publique distincte et préalablement à l’entrée en vigueur de la présente loi, sont des copies à valeur probante et originaux numériques au sens de la présente loi, créés et conservés conformément aux dispositions du règlement grand-ducal du 25 juillet 2015 relatif à la dématérialisation et à la conservation des documents à condition de signer électroniquement au sens de l’article 1322-1 du Code civil ces copies et originaux numériques endéans les 24 mois qui suivent l’entrée en vigueur de la présente loi.

Art. 16Dans toute disposition légale ou réglementaire future, la référence à la présente loi pourra se faire sous

une forme abrégée en utilisant les termes de «loi du 25 juillet 2015 relative à l’archivage électronique».

Mandons et ordonnons que la présente loi soit insérée au Mémorial pour être exécutée et observée par tous ceux que la chose concerne.

Cabasson, le 25 juillet 2015.

Henri Le Ministre de l’Économie, Étienne Schneider Doc. parl. 6543; sess. ord. 2012-2013; sess. extraord. 2013 et sess. ord. 2014-2015.

Règlement grand-ducal du 25 juillet 2015 portant exécution de l’article 4, paragraphe 1er de la loi du 25 juillet 2015 relative à l’archivage électronique.

Nous Henri, Grand-Duc de Luxembourg, Duc de Nassau, Vu la loi du 25 juillet 2015 relative à l’archivage électronique et notamment son article 4, paragraphe 1er;

Vu les avis de la Chambre de commerce et de la Chambre des métiers;

Notre Conseil d’État entendu;

Sur le rapport de Notre Ministre de l’Économie et après délibération du Gouvernement en conseil:

Arrêtons:

Art. 1er

La certification des prestataires de services de dématérialisation ou de conservation prévue à l’article 4, paragraphe 1er de la loi du 25 juillet 2015 relative à l’archivage électronique intervient selon les conditions et modalités de l’annexe.

Art. 2Le présent règlement grand-ducal entre en vigueur le premier jour du troisième mois qui suit sa publication

au Mémorial.

Art. 3Notre Ministre de l’Économie est chargé de l’exécution du présent règlement qui sera publié au Mémorial

Cabasson, le 25 juillet 2015.

Henri Le Ministre de l’Économie, Étienne Schneider Mémorial A – N° 150 du 4 août 2015 3063 ANNEXE Règle technique d’exigences et de mesures pour la certification des Prestataires de Services de Dématérialisation ou de Conservation (PSDC) Historique du document Version # Date de publication Règle technique PSDC 1.0 05.06.2012 Le référentiel PSDC est validé comme règle technique PSDC.

Version initiale de la règle technique.

1.1 12.06.2012 Correction de fautes.

1.2 19.12.2012 Adaptation au nouveau cadre légal national de la règle technique d’exigences et de mesures pour la certification des PSDC.

1.3 04.02.2013 Changement d’adresse.

2.0 16.06.2014 Mise à jour, suite à la mise à jour des normes internationales ISO/IEC 27001:2013 et ISO/IEC 27002:2013.

2.1 11.12.2014 Mise à jour suite à l’avis du Conseil d’Etat 0 Détails des changements effectués Table des matières 0 Table des matières . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3063 1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3064 2 Domaine d’application . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3064 3 Références normatives . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3065 4 Termes, définitions, abréviations et structure de la règle technique . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3065 4.1 Termes et définitions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3065 4.2 Abréviations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3067 4.3 Structure de la règle technique . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3068 5 Concepts généraux . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3068 5.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3068 5.2 Approche processus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3069 5.3 Concepts clés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3069 5.3.1 Processus de dématérialisation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3069 5.3.2 Processus de conservation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3070 5.3.3 Principes de sécurité de l’information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3071 6 Système de Management de la Sécurité de l’Information (SMSI) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3072

6.1 Exigences générales . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3072 6.2 Contexte de l’organisation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3072 6.3 Leadership . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3072 6.4 Planification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3073 6.5 Evaluation de la performance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3074 6.6 Amélioration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3074 7 Objectifs et mesures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3074 Annexe A . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3103 Annexe B . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3104 Annexe C . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3104 Annexe D . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3112 Bibliographie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3113 Mémorial A – N° 150 du 4 août 2015 3064 1 Introduction La loi relative à l’archivage électronique du 25 juillet 2015 [en préparation] dispose qu’une personne peut, si elle détient une certification selon les exigences et les mesures définies dans la règle technique d’exigences et de mesures pour la certification des Prestataires de Services de Dématérialisation ou de Conservation (PSDC), en regard de l’exécution de ses processus de dématérialisation ou de conservation, procéder à une notification auprès de l’Institut

Luxembourgeois de la Normalisation, de l’Accréditation, de la Sécurité et Qualité des Produits et Services (ci-après «ILNAS»), en vue d’obtenir le statut de «PSDC».

Si les critères de vérification établis par la loi relative à l’archivage électronique et par le système qualité ad hoc de l’ILNAS (Département de la confiance numérique) sont validés, l’ILNAS procèdera à l’inscription de la personne concernée dans la liste des PSDC (précisant les processus relatifs à la certification) établissant ainsi le statut de «PSDC».

Tout événement ou incident significatif détecté et tout changement majeur relatif à la portée de la certification, doit obligatoirement être notifié à l’ILNAS. Tout retrait, suspension ou non renouvellement de la certification entraîne de facto le retrait du statut de «PSDC».

Ce statut de «PSDC» demeure volontaire, sauf disposition réglementaire ou sectorielle l’imposant.

NOTE 1: Par le terme «dématérialisation», il faut comprendre la numérisation des documents analogiques (non numériques) et le contrôle des résultats de la numérisation aussi longtemps que nécessaire. Un processus de dématérialisation doit donc être compris comme un processus composé de processus sous-jacents consistant à numériser des documents analogiques et à contrôler les résultats de la numérisation aussi longtemps que nécessaire.

NOTE 2: Par le terme «conservation», il faut comprendre la création et la préservation d’archives numériques dans le temps. Un processus de conservation doit donc être compris comme un processus composé de processus sousjacents consistant à créer et à préserver des archives numériques dans le temps.

La certification effective selon la règle technique d’exigences et de mesures pour la certification des PSDC de toute personne permet la demande du statut de Prestataire de Services de Dématérialisation ou de Conservation (ci-après «PSDC») délivré par le Département de la confiance numérique de l’ILNAS et qui se décline de la manière suivante: · PSDC-DC: prestataire de services de dématérialisation et de conservation · PSDC-D: prestataire de services de dématérialisation PSDC-C: prestataire de services de conservation.

L’ILNAS reconnaît formellement, via ce statut, la personne concernée en tant que «PSDC».

La personne certifiée doit être en mesure de garantir les résultats de l’exécution des processus de dématérialisation ou de conservation pour lesquels elle a obtenu la certification. Cela signifie que les documents numériques résultants de la numérisation des documents analogiques et les archives numériques seront reconnus comme conformes à la règle technique d’exigences et de mesures pour la certification des Prestataires de Services de Dématérialisation ou de Conservation (PSDC).

Ainsi une copie sera présumée être conforme à l’original lorsqu’elle sera certifiée comme telle par un Prestataire de Services de Dématérialisation ou de Conservation.

La règle technique d’exigences et de mesures des PSDC est applicable à toute organisation publique ou privée, indépendamment de son type, de sa taille, de ses processus ou de ses activités, pour ses besoins internes ou dans le cadre de services proposés à ses clients.

La présente règle technique a été définie à partir de normes internationales publiées et maintenues par l’Organisation Internationale de Normalisation (ci-après «ISO»).

La présente règle technique doit donc être considérée comme un supplément à ces normes en amendant et complétant leur contenu spécifiquement aux processus de dématérialisation et de conservation. · 2 Domaine d’application La présente règle technique définit des exigences et des mesures permettant à une organisation d’établir une gestion de la sécurité de l’information et une gestion opérationnelle spécifiques aux processus de dématérialisation et de conservation.

Du point de vue de la gestion de la sécurité de l’information, la présente règle technique se base sur les Normes internationales ISO/IEC 27001:2013 et ISO/IEC 27002:2013 de manière à ce qu’une organisation puisse être en mesure de définir, d’implémenter, de maintenir et d’améliorer:

Du point de vue de la gestion opérationnelle, la présente règle technique intègre les grands principes de la Norme internationale ISO 30301:2011 [1].

La présente règle technique est utilisée pour les audits d’évaluation de conformité d’une organisation exécutant des processus de dématérialisation ou de conservation.

Mémorial A – N° 150 du 4 août 2015 3065 Ces audits doivent être effectués par des organismes d’évaluation de conformité indépendants, tandis que l’ILNAS est la seule autorité nationale luxembourgeoise habilitée à conférer à une organisation un statut de «PSDC-DC», «PSDC-D» ou «PSDC-C».

NOTE:

Comme indiqué précédemment, les grands principes de la Norme internationale ISO 30301:2011 ont été intégrés dans la présente règle technique. Il est à noter que cette norme adresse essentiellement la problématique de la conservation et non de la dématérialisation.

Afin d’assurer une consistance générale dans la définition des exigences et des mesures de la présente règle technique, ces grands principes ont été également adaptés autant que possible à la problématique de la dématérialisation afin d’adresser ce domaine selon l’approche adoptée pour la conservation.

La Norme internationale ISO 30301:2011 n’est pas indispensable à l’organisation dans l’application de la présente règle technique.

3 Références normatives Les documents de référence suivants sont indispensables pour l’application de la présente règle technique.

Pour les références datées, seule l’édition citée s’applique. Pour les références non datées, la dernière édition du document de référence s’applique (y compris les éventuels amendements).

ISO/IEC 27001:2013, Technologies de l’information -- Techniques de sécurité -- Systèmes de gestion de la sécurité de l’information -- Exigences ISO/IEC 27002:2013, Technologies de l’information -- Techniques de sécurité -- Code de bonne pratique pour la gestion de la sécurité de l’information 4 Termes, définitions, abréviations et structure de la règle technique 4.1 Termes et définitions Pour les besoins de la présente règle technique, les termes et définitions suivants s’appliquent:

4.1.1 actif tout élément représentant de la valeur pour l’organisation NOTE 1: Il existe plusieurs sortes d’actifs, dont:

4.1.2 analogique non numérique NOTE: Un support de stockage analogique est un support de stockage non numérique, comme par exemple le papier, le film argentique ou le disque vinyle.

4.1.3 archivage électronique conservation d’archives numériques sur support électronique en vue de leur utilisation pérenne 4.1.4 archive document conservé en l’état en vue d’une utilisation pérenne NOTE: Définition adaptée de l’ISO/IEC 30300:2011, définition 3.1.1.

4.1.5 certification pouvant ouvrir au statut de «PSDC» procédure par laquelle un organisme de certification (accrédité par l’organisme national d’accréditation ou tout autre organisme d’accréditation reconnu en tant que tel par l’OLAS) évalue la conformité d’une personne comme Mémorial A – N° 150 du 4 août 2015 3066 étant conforme pour exercer une activité de dématérialisation ou de conservation, aux exigences de la règle technique d’exigences et de mesures pour la certification des Prestataires de Services de Dématérialisation ou de Conservation.

4.1.6 conservation la création et la préservation d’archives numériques dans le temps NOTE 1: Un processus de conservation est composé de processus sous-jacents consistant à créer et à préserver des archives numériques dans le temps.

NOTE 2: Définition adaptée de l’ISO 15489-1:2001, définition 3.14.

4.1.7 dématérialisation la numérisation des documents analogiques et le contrôle des résultats de la numérisation aussi longtemps que nécessaire NOTE: Un processus de dématérialisation est composé de processus sous-jacents consistant à numériser des documents analogiques et à contrôler les résultats de la numérisation aussi longtemps que nécessaire.

4.1.8 document information ou objet documentaire enregistré qui peut être traité comme une unité [ISO 15489-1:2001] 4.1.9 établissement définition, mise en œuvre ou en exploitation, maintenance et amélioration NOTE: L’établissement d’un processus de dématérialisation correspond à sa définition, mise en œuvre, maintenance et amélioration.

4.1.10 indexation définition de points d’accès pour faciliter la recherche des documents NOTE 1: La génération de métadonnées liées aux documents numériques et aux archives numériques est généralement utilisée pour faciliter leur recherche.

NOTE 2: Définition adaptée de l’ISO 15489-1:2001, définition 3.11.

4.1.11 information savoir ou données représentant de la valeur pour l’organisation NOTE: Définition adaptée de l’ISO/IEC 27000:2009, définition 2.18.

4.1.12 intégrité propriété de protection de l’exactitude et de la complétude des actifs [ISO 27000:2009] 4.1.13 métadonnées données décrivant le contexte, le contenu et la structure des documents ainsi que leur gestion dans le temps NOTE: Définition adaptée de l’ISO/IEC 30300:2011, définition 3.1.6.

4.1.14 prestataire de services de dématérialisation ou de conservation (PSDC) statut attribué par l’ILNAS à une organisation exerçant à titre principal ou secondaire, pour ses propres besoins ou dans le cadre de services proposés à ses clients, des processus de dématérialisation ou de conservation formellement reconnus par l’ILNAS comme conformes aux exigences et aux mesures définies dans la présente règle technique Mémorial A – N° 150 du 4 août 2015 3067 NOTE:

4.1.15 preuve document démontrant l’effectivité d’une opération NOTE 1: La preuve d’une opération signifie qu’il peut être démontré qu’elle a été créée dans le cadre normal de la conduite de l’activité de l’organisation et qu’elle est intacte et complète. Ne se limite pas au sens légal du terme.

NOTE 2: Définition adaptée de l’ISO/IEC 30300:2011, définition 3.1.5.

4.1.16 processus ensemble d’activités corrélées ou interactives qui transforme des éléments d’entrée en éléments de sortie [ISO 9000:2005] 4.1.17 système ensemble d’actifs techniques corrélés ou interactifs NOTE 1:

DdA Déclaration d’Applicabilité (terme anglais: Statement of Applicability (SoA)), Déclaration relative à l’applicabilité des objectifs et mesures de sécurité DPI Dots Per Inch (terme anglais) L2TP Layer 2 Tunneling Protocol (terme anglais) IPSec Internet Protocol Security (terme anglais) OID Object Identifier (terme anglais) PPP Point to Point Protocol (terme anglais) PSDC Prestataire de Services de Dématérialisation ou de Conservation PSDC-DC Prestataire de Services de Dématérialisation et de Conservation PSDC-C Prestataire de Services de Conservation PSDC-D Prestataire de Services de Dématérialisation RT Règle technique d’exigences et de mesures pour la certification des PSDC SDC Système de Dématérialisation ou de Conservation SDC-DC Système de Dématérialisation et de Conservation Mémorial A – N° 150 du 4 août 2015 3068 SDC-C Système de Conservation SDC-D Système de Dématérialisation SFTP SSH File Transfer Protocol (terme anglais) SMSI Système de Management de la Sécurité de l’Information SSH Secure SHell (terme anglais) STD Norme internationale ISO/IEC 27002:2013 TLS Transport Layer Security (terme anglais) UTC Temps Universel Coordonné 4.3 Structure de la règle technique La clause 5 décrit les processus de la dématérialisation et de conservation, ainsi que les principes de sécurité de l’information à appliquer dans le cadre de l’établissement de ces processus.

La clause 6 définit les exigences relatives à l’établissement d’un Système de Management de la Sécurité de l’Information (SMSI) basé sur la Norme internationale ISO/IEC 27001:2013 et spécifiques aux processus de dématérialisation ou de conservation.

La clause 7 définit les objectifs et les mesures requises pour la gestion de la sécurité de l’information et de gestion opérationnelle spécifiques aux processus de dématérialisation ou de conservation.

L’Annexe A indique les clauses de la Norme internationale ISO/IEC 27001:2013 pour lesquelles des exigences complémentaires ont été définies dans la présente règle technique.

L’Annexe B énumère des exemples de risques liés à l’établissement des processus de dématérialisation ou de conservation.

L’Annexe C décrit un tableau montrant les liens entre la Norme internationale ISO/IEC 27002:2013 et la présente règle technique. Ce tableau énumère également les clauses, les objectifs de sécurité et les mesures de sécurité à considérer par l’organisation dans le cadre de l’appréciation des risques liés à l’établissement des processus de dématérialisation ou de conservation.

L’Annexe D décrit des exemples de niveaux de service liés à l’exécution des processus de dématérialisation ou de conservation.

5 Concepts généraux 5.1 Introduction La règle technique d’exigences et de mesures des PSDC est applicable à une organisation ou un groupement d’organisations:

La présente règle technique s’adresse à toute organisation qui:

NOTE: La destruction s’applique aux documents analogiques et implique l’utilisation de moyens physiques comme une déchiqueteuse. La suppression s’applique aux documents et archives numériques et implique l’utilisation de moyens applicatifs.

La présente règle technique doit être utilisée par toute organisation qui souhaite:

Mémorial A – N° 150 du 4 août 2015 3069

5.2 Approche processus La gestion de la dématérialisation et de la conservation doit être organisée selon une approche «processus», permettant ainsi:

5.3 Concepts clés Les processus de dématérialisation et de conservation peuvent être définis respectivement de la manière suivante:

5.3.1 Processus de dématérialisation Le processus de dématérialisation est composé de processus sous-jacents tels que présentés dans le diagramme suivant:

Stockage temporaire des documents analogiques Documents analogiques Système de dématérialisation SDC (D) Documents numériques Collecte des documents analogiques Création et stockage temporaire des documents numériques Restitution, transfert, destruction éventuelle des documents analogiques et suppression des documents numériques Processus sous-jacents au processus de dématérialisation Figure 1: Processus de dématérialisation et processus sous-jacents Processus sous-jacents au processus de dématérialisation

NOTE: Le mot temporaire doit être compris comme une période inférieure à la durée légale de rétention des documents.

NOTE: Le mot temporaire doit être compris comme une période inférieure à la durée légale de rétention des documents.

Système de dématérialisation SDC-D Système composé d’un ensemble d’actifs techniques permettant la création des documents numériques à partir des documents analogiques, le stockage temporaire des documents analogiques et numériques, leur restitution, leur transfert, la destruction éventuelle des documents analogiques et la suppression des documents numériques.

5.3.2 Processus de conservation Le processus de conservation est composé de processus sous-jacents tels que présentés dans le diagramme suivant:

Documents numériques Système de conservation SDC (C) Archives numériques Collecte des documents numériques Création et conservation des archives numériques Restitution, transfert et suppression des archives numériques Processus sous-jacents au processus de conservation Figure 2: Processus de conservation et processus sous-jacents Processus sous-jacents au processus de conservation

NOTE 2: Les Normes internationales ISO 14721:2012 [2], ISO/IEC 15489-1:2001 [3] ISO 23081-1:2006 et ISO230812:2009 [4] décrivent des lignes directrices en matière de gestion des métadonnées associées à des documents numériques ou des archives numériques.

NOTE: Le mot partiel doit être compris comme des informations liées à l’archive numérique et non l’archive numérique en tant que telle.

La restitution partielle d’une archive numérique peut par exemple correspondre à la transmission par le SDC-C d’informations liées à l’existence de cette archive en réponse à une requête soumise par un client souhaitant disposer d’une confirmation de son archivage effectif.

Système de conservation SDC-C Système composé d’un ensemble d’actifs techniques permettant le stockage temporaire des documents numériques en vue de leur archivage, leur conversion en archives numériques, leur suppression et la conservation des archives numériques aussi longtemps que nécessaire, leur exploitation, leur restitution partielle ou totale, leur transfert et leur suppression.

5.3.3 Principes de sécurité de l’information L’établissement des processus de dématérialisation ou de conservation au sein d’une organisation nécessite la conformité aux principes suivants de la sécurité de l’information afin de garantir une confidentialité, une intégrité et une disponibilité des documents analogiques et numériques et des archives numériques aussi longtemps que nécessaire:

Authenticité L’organisation doit pouvoir démontrer que toutes les activités effectuées dans le cadre de l’établissement des processus de dématérialisation ou de conservation sont authentiques, à savoir que l’organisation peut prouver que:

Fiabilité L’organisation doit pouvoir démontrer que:

Exploitation L’exploitation des processus de dématérialisation ou de conservation doit pouvoir permettre de créer un document numérique ou une archive numérique qui soit à tout moment localisable, lisible, intelligible, utilisable avec les informations nécessaires à la compréhension de son origine et disponible aussi longtemps que nécessaire.

L’organisation doit par conséquent définir et mettre en œuvre des politiques et des procédures pour contrôler la collecte, la création, le stockage, la conservation, l’exploitation, la restitution partielle ou totale, le transfert, la destruction éventuelle de documents analogiques et la suppression de documents numériques ou d’archives numériques de manière à s’assurer de leur origine, de leur protection contre les accès, modifications, altérations, destructions et suppressions non autorisées, de leur utilisation et de leur disponibilité aussi longtemps que nécessaire.

Mémorial A – N° 150 du 4 août 2015 3072 6 Système de Management de la Sécurité de l’Information (SMSI) Pour pouvoir prétendre à l’obtention par l’ILNAS du statut de «PSDC-DC», «PSDC-D» ou «PSDC-C», l’organisation doit se conformer à l’ensemble des exigences de la présente clause 6, relative à l’établissement, l’implémentation, la maintenance et l’amélioration continue d’un SMSI basé sur la Norme internationale ISO/IEC 27001:2013 et spécifiques aux processus de dématérialisation ou de conservation.

6.1 Exigences générales L’organisation doit établir, définir, implémenter, maintenir et améliorer un SMSI afin de gérer les risques liés aux processus de dématérialisation ou de conservation.

L’établissement de ce SMSI doit respecter l’ensemble des exigences de la sécurité de l’information spécifiées dans:

NOTE: L’Annexe A de la présente règle technique indique les clauses de la Norme internationale ISO/IEC 27001:2013 pour lesquelles des exigences complémentaires ont été définies dans la présente règle technique.

L’organisation est libre d’intégrer les processus de dématérialisation ou de conservation dans un SMSI existant ou de définir, d’implémenter, de maintenir et d’améliorer un SMSI spécifique à ces processus.

La clause 7 de la présente règle technique fournit des objectifs et des mesures de gestion de la sécurité de l’information et de gestion opérationnelle qui doivent être appliqués dans le traitement de risques liés aux processus de dématérialisation ou de conservation, en supplément des objectifs de sécurité et des mesures associées définis dans la Norme internationale ISO/IEC 27002:2013.

6.2 Contexte de l’organisation En complément des exigences définies à la clause 4 «Contexte de l’organisation» de la Norme internationale ISO/ IEC 27001:2013, l’organisation doit s’assurer:

6.3 Leadership En complément des exigences définies à la clause 5.1 Implication de la direction de la Norme internationale ISO/IEC 27001:2013, la direction de l’organisation doit fournir:

NOTE: Une organisation de droit privé pourra par exemple fournir les informations suivantes:

Mémorial A – N° 150 du 4 août 2015 3073

Cette garantie de continuité doit être gérée par l’organisation et couvrir le risque économique de cessation d’activités.

NOTE: Un moyen pour l’organisation de garantir cette continuité d’exécution pendant une période de transition minimum est par exemple de contracter une assurance spécifique ou d’obtenir un engagement formel d’un actionnaire institutionnel ou privé majoritaire se portant garant.

6.4 Planification En complément des exigences définies à la clause 6. «Planification» de la Norme internationale ISO/IEC 27001:2013, la direction de l’organisation doit s’assurer que:

NOTE 1: L’Annexe B de la présente règle technique énumère des exemples de ces risques.

Des objectifs et des mesures additionnels à ceux définis dans la Norme internationale ISO/IEC 27002:2013 et ceux de la présente clause 7 peuvent être également définis et sélectionnés;

NOTE:

Pour rappel, l’Annexe A de la Norme internationale ISO/IEC 27001:2013 énumère des objectifs de sécurité et les mesures associées qui dérivent directement et exclusivement de la Norme internationale ISO/IEC 27002:2013. Contrairement à ISO/ IEC 27002:2013 cette Annexe ne contient pas les préconisations de mise en œuvre et autres informations liées à ces objectifs de sécurité et les mesures associées.

Il convient donc dans le cadre du processus d’appréciation et de traitement des risques liés à l’établissement des processus de dématérialisation ou de conservation de sélectionner les objectifs de sécurité et les mesures associées définis dans la Norme internationale ISO/IEC 27002:2013 ainsi que les objectifs et les mesures associées définis à la clause 7 de la présente règle technique et qui relatent de la gestion de la sécurité de l’information et de la gestion opérationnelle de ces processus.

Des mesures de sécurité peuvent être exclues pourvu qu’il n’y ait pas de risque associé ou si le niveau de risque est en dessous du seuil d’acceptation, à condition qu’il n’y ait aucune exigence légale, réglementaire ou contractuelle requérant leur mise en œuvre pour réduire le risque à un niveau en dessous du seuil d’acceptation.

Toute exclusion doit être documentée dans la DdA.

NOTE: L’indication dans la DdA des objectifs et des mesures associés définis à la clause 7 de la présente règle technique peut être effectuée de la manière suivante:

Mémorial A – N° 150 du 4 août 2015 3074 6.5 Evaluation de la performance En complément des exigences définies à la clause 9.3 «Revue de direction» de la Norme internationale ISO/IEC 27001:2013, l’organisation doit réexaminer les résultats de l’analyse de risques pouvant impacter la stabilité financière de l’organisation et sa capacité de couverture de responsabilités contractuelles, légales et réglementaires liées aux processus de dématérialisation ou de conservation de manière régulière (au moins une fois par an) et suite à des changements significatifs:

NOTE: Ce réexamen pourra également conduire à l’identification, à l’évaluation et au traitement de nouveaux risques liés à la stabilité financière de l’organisation et à sa capacité de couverture de responsabilités contractuelles, légales et réglementaires liées aux processus de dématérialisation ou de conservation.

Suite à la clause 9.3 «Revue de direction» de la Norme internationale ISO/IEC 27001:2013, la direction de l’organisation peut identifier la nécessité d’apporter des changements au SMSI, ces changements peuvent inclure:

6.6 Amélioration En complément de la ligne directrice définie à la clause 10 «Amélioration» de la Norme internationale ISO/IEC 27001:2013, l’organisation doit améliorer de manière permanente l’efficacité de son SMSI via la mise à jour constante de la politique de dématérialisation ou la politique de conservation.

7 Objectifs et mesures La présente clause 7 définit des objectifs et des mesures de gestion de la sécurité de l’information et de gestion opérationnelle spécifiques aux processus de dématérialisation ou de conservation et sur base de la Norme internationale ISO/IEC 27002:2013.

Plus concrètement, le contenu de la présente clause 7 a été défini de manière à refléter la structure de la Norme ISO/IEC 27002:2013 (clauses 5 à 18).

Le contenu de la présente clause 7 doit être compris comme:

Des mesures qui ne sont pas alignées avec les mesures préconisées par la Norme ISO27002:2013 doivent être justifiées dans le DdA. Le même principe reste d’application quand les objectifs de contrôle du standard ISO27002:2013 sont atteints en mettant en œuvre des mesures qui sont différents des mesures décrites dans le standard ISO27002:2013.

Le contenu de la présente clause 7 ne fournit pas d’exigences supplémentaires pour toutes les mesures et informations complémentaires du standard ISO27002:2013. Dans le cas où aucune exigence complémentaire n’est formulée dans la présente clause 7, uniquement les exigences du standard ISO27002:2013 s’appliqueront.

NOTE: L’Annexe C décrit un tableau montrant les liens entre la Norme internationale ISO/IEC 27002:2005 et la présente règle technique. Ce tableau énumère également les clauses, les objectifs de sécurité et les mesures de sécurité à considérer par l’organisation dans le cadre de l’appréciation des risques liés à l’établissement des processus de dématérialisation ou de conservation.

5 Politiques de sécurité de l’information (clause existante de la Norme internationale ISO/IEC 27002:2013) La clause 5 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

5.1 Orientations de la direction en matière de sécurité de l’information (objectif de sécurité existant à la Norme internationale ISO/IEC 27002:2013) 5.1.1 Politiques de sécurité de l’information (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 5.1.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Mémorial A – N° 150 du 4 août 2015 3075 Exigences de mise en œuvre Une organisation établissant des processus de dématérialisation ou de conservation doit intègrer suivant dans sa politique de sécurité de l’information:

5.2 Politique de dématérialisation (objectif de sécurité additionnel à la Norme internationale ISO/IEC 27002:2013) Objectif: La direction doit définir des dispositions générales claires relatives à la gestion de la sécurité de l’information et à la gestion opérationnelle appliquées au processus de dématérialisation exécuté par l’organisation.

5.2.1 Document de politique de dématérialisation (mesure de sécurité additionnelle à la Norme internationale ISO/IEC 27002:2013) Mesure L’organisation doit définir une politique de dématérialisation conforme aux lois et aux règlements qui lui sont applicables. Ce document doit être approuvé par la direction, communiqué auprès de l’ensemble du personnel concerné (de l’organisation et des tiers), et mis en œuvre.

Exigences mise en œuvre La politique de dématérialisation doit définir le domaine d’application du processus de dématérialisation, la gestion de la sécurité de l’information et la gestion opérationnelle appliquées à ce processus.

Ce document doit contenir les éléments suivants:

NOTE: La gestion de cet identifiant unique doit être documentée. Il est recommandé que cet identifiant unique soit généré à partir d’un identifiant racine propre à l’organisation et attribué par un tiers reconnu.

Exemple:

Object Identifier (OID) repository http://www.oid-info.com Informations supplémentaires Une politique commune aux processus de dématérialisation et de conservation peut être établie par l’organisation sous réserve que les exigences définies spécifiquement pour la politique de dématérialisation et pour la politique de conservation soient adressées dans la politique commune.

5.2.2 Revue de la politique de dématérialisation (mesure de sécurité additionnelle à la Norme ISO/IEC 27002:2013) Mesure Une revue de la politique de dématérialisation doit régulièrement être effectuée afin de permettre son alignement aux changements impactant l’organisation.

Exigences de mise en œuvre La direction de l’organisation doit s’assurer de la révision régulière (au moins une fois par an) de la politique de dématérialisation afin de s’assurer de la cohérence de cette politique avec le processus de dématérialisation exécuté par l’organisation et de son amélioration continue.

La direction de l’organisation doit également s’assurer de la révision effective de la politique de dématérialisation et de sa cohérence suite à des changements significatifs:

5.3 Politique de conservation (objectif de sécurité additionnel à la Norme internationale ISO/IEC 27002:2013) Objectif: La direction doit définir des dispositions générales claires relatives à la gestion de la sécurité de l’information et à la gestion opérationnelle appliquées au processus de conservation exécuté par l’organisation.

5.3.1 Document de politique de conservation (mesure de sécurité additionnelle à la Norme internationale ISO/IEC 27002:2013) Mesure L’organisation doit définir une politique de conservation conforme aux lois et aux règlements qui lui sont applicables.

Ce document doit être approuvé par la direction, communiqué auprès de l’ensemble du personnel concerné (de l’organisation et des tiers), et mis en œuvre.

Exigences de mise en œuvre La politique de conservation doit définir le domaine d’application du processus de conservation, la gestion de la sécurité de l’information et la gestion opérationnelle appliquées à ce processus.

Ce document doit contenir les éléments suivants:

Mémorial A – N° 150 du 4 août 2015 3077

NOTE: La gestion de cet identifiant unique doit être documentée. Il est recommandé que cet identifiant unique soit généré à partir d’un identifiant racine propre à l’organisation et attribué par un tiers reconnu.

Exemple:

Object Identifier (OID) repository http://www.oid-info.com Informations supplémentaires Une politique commune aux processus de dématérialisation et de conservation peut être établie par l’organisation sous réserve que les exigences définies spécifiquement pour la politique de dématérialisation et pour la politique de conservation soient adressées dans la politique commune.

5.3.2 Revue de la politique de conservation (mesure de sécurité additionnelle à la Norme ISO/IEC 27002:2013) Mesure Il convient qu’une revue de la politique de conservation soit régulièrement effectuée afin de permettre son alignement aux changements qui impactent l’organisation.

Exigences de mise en œuvre La direction de l’organisation doit s’assurer de la révision régulière (par exemple tous les ans) de la politique de conservation afin de s’assurer de la cohérence de cette politique avec le processus de conservation exécuté par l’organisation et de son amélioration continue.

La direction de l’organisation doit également s’assurer de la révision effective de la politique de conservation et de sa cohérence suite à des changements significatifs:

6 Organisation de la sécurité de l’information (clause existante de la Norme internationale ISO/IEC 27002:2013) La clause 6 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

6.1 Organisation interne (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) L’objectif de sécurité 6.1 de la Norme internationale ISO/IEC 27002:2013 est complété de la manière suivante:

Objectif:

La direction de l’organisation doit également approuver les politiques de dématérialisation ou de conservation, définir et assigner les rôles et les responsabilités liés à la gestion de la sécurité de l’information et à la gestion opérationnelle des processus de dématérialisation ou de conservation, et réexaminer régulièrement la mise en œuvre de ces gestions.

Mémorial A – N° 150 du 4 août 2015 3078 6.1.1 Fonctions et responsabilités liées à la sécurité de l’information (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 6.1.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Mesure La direction doit soutenir les politiques de dématérialisation ou de conservation par la définition de dispositions générales claires relatives à la gestion de la sécurité de l’information et à la gestion opérationnelle liées aux processus de dématérialisation ou de conservation, et par l’attribution explicite de rôles et de responsabilités associés à ces gestions.

La coordination de la sécurité de l’information doit s’assurer que les activités de la sécurité de l’information ainsi que les activités liées à la dématérialisation et à la conservation soient conformes aux politiques de dématérialisation et de conservation.

Exigences de mise en œuvre La direction doit:

La direction de l’organisation doit nommer un responsable des processus de dématérialisation et de conservation, incluant dans le périmètre de ses rôles et de ses responsabilités les éléments suivants:

Les personnes assumant une partie ou l’entièreté de ces rôles et ces responsabilités peuvent déléguer des activités associées. Néanmoins, elles demeurent responsables de la bonne exécution de ces activités.

Informations supplémentaires L’organisation doit définir et attribuer clairement les rôles et les responsabilités en matière de gestion des risques pouvant impacter la stabilité financière de l’organisation et la capacité de couverture des responsabilités contractuelles, légales et réglementaires liées à la dématérialisation ou à la conservation.

Cette coordination doit:

6.1.3 Relations avec les autorités (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 6.1.3 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Mesure L’organisation doit s’assurer que:

Mémorial A – N° 150 du 4 août 2015 3080 Informations supplémentaires L’organisation doit définir également des procédures de notification des autorités compétentes afin de les informer:

7 La sécurité des ressources humaines (clause existante de la Norme internationale ISO/IEC 27002:2013) La clause 7 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

7.2 Pendant la durée du contrat (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 7.2.1 Responsabilités de la direction (mesure de sécurité existante de la Norme internationale ISO/ IEC 27002:2013) La mesure de sécurité 7.2.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre Il relève de la direction de l’organisation que son personnel et celui des fournisseurs impliqués dans la gestion opérationnelle des processus de dématérialisation ou de conservation exécutés par l’organisation:

7.2.2 Sensibilisation, apprentissage et formation à la sécurité de l’information (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 7.2.2 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre L’organisation doit dispenser les formations suivantes à son personnel et à celui des fournisseurs impliqués dans la gestion opérationnelle des processus de dématérialisation ou de conservation exécutés par l’organisation:

8.2 Classification de l’information (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 8.2.1 Classification des informations (mesure de sécurité existante de la Norme internationale ISO/ IEC 27002:2013) La mesure de sécurité 8.2.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre Des lignes directrices et des niveaux de classification doivent être définis et mis en œuvre par l’organisation spécifiquement pour les documents et les archives numériques des clients gérés par l’organisation dans le cadre des processus de dématérialisation ou de conservation.

Mémorial A – N° 150 du 4 août 2015 3081 L’organisation doit:

8.2.2 Marquage des informations (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 8.2.2 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre L’organisation doit définir et mette en œuvre des procédures de marquage de l’information spécifiques aux lignes directrices et niveaux de classification pour les documents et les archives numériques des clients gérés par l’organisation dans le cadre des processus de dématérialisation et de conservation.

8.3 Manipulation des supports (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 8.3.2 Mise au rebut des supports (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 8.3.2 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre L’organisation doit envisager les directives suivantes:

NOTE: L’incinération et le déchiquetage sont considérés comme des mécanismes sécurisés de destruction pour les éléments précédemment mentionnés.

NOTE: Une réécriture multiple sur des données ne permettant plus de les retrouver en l’état est considérée comme un mécanisme sécurisé de suppression d’informations.

Mémorial A – N° 150 du 4 août 2015 3082 9 Contrôle d’accès (clause existante de la Norme internationale ISO/IEC 27002:2013) La clause 9 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

9.1 Exigences métier en matière de contrôle d’accès (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 9.1.1 Politique de contrôle d’accès (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 9.1.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre La politique de contrôle d’accès de l’organisation doit tenir compte de l’exigence de la séparation effective des activités d’administration, d’opérations et de sécurité du système de dématérialisation et de conservation SDC-DC, SDC-D ou SDC-C.

9.2 Gestion de l’accès utilisateur (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 9.2.3 Gestion des privilèges d’accès (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 9.2.3 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre Les mots de passe des comptes des utilisateurs du système de dématérialisation ou de conservation SDC-DC, SDC-D ou SDC-C et des comptes techniques des actifs techniques du ne doivent en aucune circonstance être stockés dans un support de stockage de l’organisation sous une forme non protégée.

11 Sécurité physique et environnementale (clause existante de la Norme internationale ISO/IEC 27002:2013) 11.1 Zones sécurisées (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 11.1.1 Périmètre de sécurité physique (mesure de sécurité existante de la Norme internationale ISO/ IEC 27002:2013) La mesure de sécurité 11.1.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre L’organisation doit s’assurer que les systèmes de détection d’intrus adaptés soient activés en permanence pour les portes et les fenêtres accessibles dans leur zone de surveillance afin de détecter une ouverture prolongée de ces éléments. Cette mesure est à considérer particulièrement pour le site de l’organisation hébergeant les actifs techniques liés aux processus de dématérialisation ou de conservation ainsi que les documents analogiques collectés des clients.

En cas de désactivation de ces systèmes de détection, notamment pour pouvoir déplacer du matériel, d’autres mécanismes de surveillance doivent être mis en place afin de réduire le risque d’accès non autorisé à ces actifs et aux documents analogiques des clients.

11.1.2 Contrôles physiques des accès (mesure de sécurité existante de la Norme internationale ISO/ IEC 27002:2013) La mesure de sécurité 11.1.2 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre L’organisation doit prendre en compte les directives suivantes:

Mémorial A – N° 150 du 4 août 2015 3083

11.2 Matériels (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 11.2.1 Emplacement et protection du matériel (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 11.2.1 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre Les documents analogiques des clients doivent être considérés comme des actifs nécessitant une protection spéciale (au sens de 11.2.1 d) de la Norme ISO/IEC 27002:2013) au niveau des conditions ambiantes et des autres menaces liées.

11.2.5 Sortie des actifs (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 11.2.5 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre Les documents analogiques des clients doivent être considérés comme étant des actifs et ne doivent pas sortir de l’organisation sans autorisation préalable de ces derniers, excepté pour prévenir la destruction de ces biens en cas de catastrophe.

12 Sécurité liée à l’exploitation (clause existante de la Norme internationale ISO/IEC 27002:2013) 12.4 Journalisation et surveillance (objectif de sécurité existant de la Norme internationale ISO/IEC 27002:2013) 12.4.4 Synchronisation des horloges (mesure de sécurité existante de la Norme internationale ISO/IEC 27002:2013) La mesure de sécurité 12.4.4 de la Norme internationale ISO/IEC 27002:2013 est complétée de la manière suivante:

Exigences de mise en œuvre L’organisation doit s’assurer que:

12.8 Dématérialisation (objectif de sécurité additionnel à la Norme internationale ISO/IEC 27002:2013) Objectif: assurer la gestion correcte et sécurisée des documents analogiques et numériques dans le cadre du processus de dématérialisation.

L’organisation doit intégrer les principes d’authenticité, de fiabilité et d’exploitation dans la définition, la mise en exploitation et l’utilisation de son système de dématérialisation SDC-D.

Mémorial A – N° 150 du 4 août 2015 3084 12.8.1 Système de dématérialisation SDC-D (mesure de sécurité additionnelle à la Norme internationale ISO/IEC 27002:2013) 12.8.1.1 Mesure L’organisation doit pouvoir démontrer que le système de dématérialisation SDC-D est composé d’actifs techniques et de mécanismes de sécurité:

NOTE: Un système de dématérialisation SDC-D est un système composé d’un ensemble d’actifs techniques permettant la création de documents numériques à partir de documents analogiques, le stockage temporaire des documents analogiques et numériques, leur restitution, leur transfert, la destruction éventuelle des documents analogiques et la suppression des documents numériques.

Exigences de mise en œuvre 12.8.1.2 Description détaillée du système de dématérialisation SDC-D L’organisation doit définir et maintenir une description détaillée du système de dématérialisation SDC-D en:

NOTE: L’identification et l’évaluation des possibilités techniques du SDC-D sont indispensables pour assurer sa conformité avec les besoins des clients (internes ou externes à l’organisation).

Le responsable du processus de dématérialisation doit revoir les capacités techniques du SDC-D de manière régulière (au moins une fois par an), et suite à une modification significative du SDC-D et suite à un changement:

NOTE: La connaissance des capacités techniques du SDC-D est indispensable à l’organisation pour assurer la disponibilité du SDC-D, la définition adéquate des projets de dématérialisation, la planification appropriée des ressources de l’organisation en matière de dématérialisation et la projection des futurs dimensionnements du SDC-D.

12.8.1.3 Mécanismes de sécurité du système de dématérialisation SDC-D L’organisation doit établir et documenter les mécanismes de sécurité du système de dématérialisation SDC-D permettant d’assurer l’authenticité, la fiabilité et l’exploitation des documents analogiques et numériques gérés par ce système.

L’organisation doit établir les mécanismes de sécurité suivants:

En particulier l’organisation doit s’assurer d’une séparation effective des activités d’administration, d’opérations et de sécurité du SDC-D en établissant des profils de privilèges pour les comptes des utilisateurs autorisés à accéder au SDC-D de manière à réduire les risques de conflits d’intérêts et d’accès non autorisés au SDC-D et aux documents gérés par ce système.

Il convient d’attribuer à un utilisateur du SDC-D un seul des profils de privilèges suivants. Pour des raisons liées au fonctionnement de l’organisation, il est toutefois acceptable qu’un utilisateur du SDC-D dispose à la fois du profil de privilèges d’administration et du profil de privilèges d’opérations.

Il convient que cet utilisateur ne puisse pas accéder aux éléments suivants: a. paramètres de sécurité du SDC-D, comme par exemple les conditions d’authentification des utilisateurs et des actifs techniques du SDC-D b. paramètres de surveillance et de journalisation des évènements du SDC-D c. journaux d’événements du SDC-D d. documents numériques gérés par le SDC-D 2. profil de privilèges d’opérations Il convient qu’un utilisateur disposant de ce profil puisse uniquement: a. exécuter les activités d’opérations du SDC-D b. accéder aux documents numériques gérés par le SDC-D et les exploiter dans le cadre du processus de dématérialisation c. assigner à un profil de privilèges de lecture les documents numériques auxquels un utilisateur disposant de ce profil aura accès 3. profil de privilèges de sécurité Il convient qu’un utilisateur disposant de ce profil puisse uniquement: a. définir, modifier ou supprimer les paramètres de sécurité du SDC-D, comme par exemple les conditions d’authentification des utilisateurs du SDC-D b. définir, modifier ou supprimer les paramètres de surveillance du SDC-D et de génération de journaux d’événements du SDC-D c. accéder aux journaux d’événements du SDC-D en vue de leur exploitation 4. profils de privilèges de lecture Il convient de définir un profil de privilèges de lecture pour le personnel d’un client autorisé à accéder à distance aux documents numériques du client par le biais de l’utilisation de comptes du SDC-D.

Il convient que ce profil limite l’accès exclusivement à ces documents, qui auront été au préalable assignés à ce profil avec un droit de lecture par un utilisateur du SDC-D disposant d’un profil de privilèges d’opérations.

Il convient de s’assurer que toute modification ou suppression des documents numériques créés qui n’était pas programmée lors de la définition du projet de dématérialisation nécessite l’approbation de deux utilisateurs disposant du profil de privilèges d’opérations.

L’organisation doit pouvoir démontrer que les profils de privilèges établis pour l’ensemble des comptes des utilisateurs du SDC-D et des comptes techniques des actifs techniques du SDC-D respectent le principe de séparation effective des activités d’administration, d’opérations et de sécurité du SDC-D

Les journaux d’événements générés doivent être exploitables, conservés et protégés contre toute manipulation et suppression non autorisées pour assurer une traçabilité aussi longtemps que nécessaire de tous les événements enregistrés par ces mécanismes de surveillance;

Il convient d’utiliser un dispositif de filtrage d’adresses IP associé à un moyen cryptographique, comme par exemple un certificat SSL, pour s’assurer de l’authentification sécurisée d’un actif technique du SDC-D aux autres actifs du SDC-D et documents gérés par le SDC-D.

Un certificat qualifié doit être utilisé, pour permettre: a. à un utilisateur du SDC-D de signer électroniquement des rapports d’activités d’administration, d’opérations et de sécurité du SDC-D de manière à s’assurer de l’authenticité des activités effectuées b. à une personne de l’organisation de signer électroniquement les transmissions d’informations et de documents numériques à destination des clients (internes ou externes à l’organisation) et des autorités compétentes de manière à s’assurer de l’authenticité des envois.

Le dispositif sécurisé de création de signature électronique et le certificat électronique qualifié utilisés doivent répondre aux exigences définies par l’Union européenne en la matière.

Il convient également d’utiliser des formats de signatures électroniques comme par exemple CAdES [5], XAdES [6] et PAdES [7] pour maintenir une pérennité de la signature électronique, des informations et des documents numériques attachés à cette signature.