Article 6. Classe et niveau de sécurité

Article 6. Classe et niveau de sécurité

1. La classe de sécurité d'un actif d'information ou d'un service est la concaténation des niveaux de protection dont cet actif ou ce service a besoin dans chaque sous-classe : le niveau attribué à la sous-classe Disponibilité, le niveau attribué à la sous-classe Intégrité et le niveau attribué à la sous-classe Confidentialité (par exemple, D2I3C1).

2. Le niveau de sécurité d'un actif d'information ou d'un service peut être faible (B), moyen (M) ou élevé (A) et est déterminé, en fonction du niveau de protection de chacune de ses sous-classes de sécurité, en consultant le tableau suivant : D3 D2 D1 D0 I3 C3 B B M A C2 B B M A C1 M M M A C0 A A A A I2 C3 B B M A C2 B B M A C1 M M M A C0 A A A A I1 C3 M M M A C2 M M M A C1 M M M A C0 A A A A I0 C3 A A A A C2 A A A A C1 A A A A C0 A A A A Conformément au principe de stratification des mesures, les mesures de sécurité de chaque niveau de sécurité incluent celles du niveau précédent et ajoutent à ces dernières une couche de sécurité supplémentaire. Ainsi, si un actif d'information a un niveau de sécurité M, doivent lui être appliquées les mesures de sécurité du niveau B puis celles qui correspondent au niveau M. De même, si un actif d'information a un niveau de sécurité A, doivent lui être appliquées celles qui correspondraient au niveau M ainsi que les mesures supplémentaires spécifiées pour le niveau A.

3. Les autorités compétentes désignées à l'article 6 de la Loi NIS-AD sont autorisées à adapter ce tableau pour certaines ou pour l'ensemble des entités relevant de leur champ de supervision.

4. La classe de sécurité doit être réévaluée chaque fois que se produisent des modifications significatives des critères utilisés pour la déterminer, et au minimum annuellement. Cet indicateur constitue la base pour établir les mesures de référence obligatoires pour cet indicateur, qui sont sélectionnées sur la base des mesures de référence que l'ANC-AD a spécifiées pour la même classe dans l'actif d'information standard pouvant modéliser celui qui fait l'objet de l'analyse.