Article 5. Sous-classes de sécurité

Article 5. Sous-classes de sécurité

1. Sont établies trois sous-classes de sécurité associées aux trois dimensions de la sécurité de l'information que comprend l'ENS-AD : la disponibilité, l'intégrité et la confidentialité.

2. Sont établis quatre niveaux de sécurité pour chaque sous-classe, selon le niveau d'impact sur l'information ou le service que pourrait causer un cyberincident (équivalent, en vertu du principe de proportionnalité, au niveau de protection qui doit être atteint dans la dimension de la sécurité correspondante) :

a) Niveau 0 (critique) : impact qui empêche la prestation du service.

b) Niveau 1 (important) : impact qui dégrade la prestation du service au point qu'elle ne peut pas être garantie.

c) Niveau 2 (moyen) : impact qui permet de garantir la prestation du service, mais avec une qualité inférieure à celle requise.

d) Niveau 3 (faible) : impact très réduit sur le service, presque imperceptible. Le niveau de sécurité d'une sous-classe est décrit par une lettre, qui correspond à la dimension de la sécurité qui donne son nom à la sous-classe (D pour disponibilité, I pour intégrité et C pour confidentialité), suivie du niveau de protection qu'il est nécessaire d'atteindre, en format numérique.

3. La sous-classe Disponibilité est attribuée conformément à l'échelle suivante, avec la valeur la plus élevée sans excéder les conditions requises de l'actif d'information ou du service :

• D3 : lorsque la disponibilité peut être inférieure à 90% et que les interruptions peuvent durer plus de 24 heures.
• D2 : lorsqu'une disponibilité inférieure à 90% n'est pas acceptable, ni une interruption d'une durée supérieure à 24 heures.
• D1 : lorsqu'une disponibilité inférieure à 99% du temps annuel n'est pas acceptable, ni une interruption d'une durée supérieure à 4 heures.
• D0 : lorsqu'une disponibilité inférieure à 99,9% du temps annuel n'est pas acceptable, ni une interruption d'une durée supérieure à 1 heure.

4. La sous-classe Intégrité est attribuée conformément à l'échelle suivante, avec la valeur la plus élevée sans excéder les conditions requises de l'actif d'information ou du service :

• I3 : lorsque la source d'information et le fait que l'information soit altérée ou détruite ne sont pas importants,
• I2 : lorsque la source de l'information, ou le fait de l'altérer ou de la détruire, doit être identifiable, et qu'il n'est pas nécessaire de vérifier périodiquement l'exactitude, l'intégrité et l'actualité de l'information.
• I1 : lorsque la source de l'information, ou le fait de l'altérer ou de la détruire, doit être identifiable et qu'il est nécessaire d'effectuer des vérifications périodiques de l'exactitude, de l'intégrité et de l'actualité de l'information.
• I0 : lorsque la source de l'information, ou le fait de l'altérer ou de la détruire, doit avoir valeur probante, ou lorsqu'une vérification en temps réel de l'exactitude, de l'intégrité et de l'actualité de l'information est requise.

5. La sous-classe Confidentialité est attribuée conformément à l'échelle suivante :

• C3 ou information publique : lorsque l'accès à l'information n'est pas limité (c'est-à-dire que toutes les personnes intéressées ont un accès en lecture, le congé de modifier étant déterminé en fonction de la condition requise d'intégrité).
• C2 ou information à usage interne : lorsque l'accès à l'information doit être accordé si la personne qui sollicite l'accès a un intérêt légitime.
• C1 ou information classifiée : lorsque l'information ne peut être utilisée que par certains groupes d'utilisateurs ; l'accès à l'information doit être accordé si la personne qui sollicite l'accès a un intérêt légitime.
• C0 ou information hautement classifiée : lorsque l'information ne peut être utilisée que par certains utilisateurs ; l'accès à l'information doit être accordé si la personne qui sollicite l'accès a un intérêt légitime.

6. Les autorités compétentes désignées à l'article 6 de la Loi NIS-AD sont autorisées à adapter ces niveaux pour certaines ou pour l'ensemble des entités placées sous leur supervision.