Loi du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale

Il est créé une administration dénommée Haut-Commissariat à la Protection nationale, dont les compétences et les mécanismes selon lesquels elle intervient sont déterminés par la présente loi qui règle également l'organisation de la protection des infrastructures critiques.

Le Haut-Commissariat à la Protection nationale est placé sous l'autorité du membre du Gouvernement ayant dans ses attributions la Protection nationale.

Pour l'application de la présente loi, on entend par

1. «concept de protection nationale»: un concept qui consiste à prévenir les crises, respectivement à protéger le pays et la population contre les effets d'une crise. En cas de survenance d'une crise, il comprend la gestion des mesures et activités destinées à faire face à la crise et à ses effets et à favoriser le retour à l'état normal;
2. «crise»: tout évènement qui, par sa nature ou ses effets, porte préjudice aux intérêts vitaux ou aux besoins essentiels de tout ou partie du pays ou de la population, qui requiert des décisions urgentes et qui exige une coordination au niveau national des actions du Gouvernement, des administrations, des services et organismes relevant des pouvoirs publics, et, si besoin en est, également au niveau international;
3. «gestion de crises»: l'ensemble des mesures et activités que le Gouvernement initie, le cas échéant avec le concours des autorités communales concernées, pour faire face à la crise et à ses effets et pour favoriser le retour à l'état normal;
4. « infrastructure critique » : tout point, système ou partie de celui-ci qui est indispensable à la sauvegarde des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population;
5. 4*bis*.
6. « stratégie nationale en matière de sécurité des réseaux et des systèmes d’information » : un cadre prévoyant des objectifs et priorités stratégiques en matière de sécurité des réseaux et des systèmes d’information au niveau national.

**(1)** Le Haut-Commissariat à la Protection nationale a pour mission de mettre en oeuvre le concept de protection nationale tel que défini à l'article 2. Dans le cadre de cette mission, le Haut-Commissariat à la Protection nationale a pour attributions

1. 1. de coordonner les contributions des ministères, administrations et services de l'État;
2. de coordonner les politiques, les projets et les programmes de recherche;
3. de procéder à l'analyse des risques et à l'organisation d'une veille;
4. de coordonner l'organisation des cours de formation et des exercices;
2. 1. de développer et de coordonner une stratégie nationale de gestion de crises;
2. de définir la typologie, la structure, le corps et le format des plans déclinant les mesures et activités de prévention et de gestion de crises et de coordonner la planification;
3. d'initier, de coordonner et de veiller à l'exécution des activités et mesures relatives au recensement, à la désignation et à la protection des infrastructures critiques, qu'elles soient publiques ou privées;
4. de coordonner et d’élaborer une stratégie nationale en matière de sécurité des réseaux et des systèmes d’information ;
3. 1. d'initier, de conduire et de coordonner les tâches de gestion de crises;
2. de veiller à l'exécution de toutes les décisions prises;
3. de favoriser le plus rapidement possible le retour à l'état normal;
4. de préparer un budget commun pour la gestion de crises et de veiller à son exécution;
5. de veiller à la mise en place et au fonctionnement du Centre national de crise.

Dans le cadre de ses attributions, le Haut-Commissariat à la Protection nationale est le point de contact du Luxembourg auprès des institutions et organisations européennes et internationales et veille à une coopération efficace avec ces entités.

**(1*bis*)** Le Haut-Commissariat à la Protection nationale est encore chargé des missions suivantes :

1. attributions dans sa fonction d’Agence nationale de la sécurité des systèmes d’information, ci-après « ANSSI » ;
2. attributions dans sa fonction de Centre de traitement des urgences informatiques, ci-après « CERT Gouvernemental » ;
3. attributions dans sa fonction de Service de la communication de crise, ci-après « SCC ».

**(1*ter*)** Dans sa fonction d’ANSSI, le Haut-Commissariat à la Protection nationale a pour missions :

1. de contribuer à la mise en œuvre de la politique générale de sécurité de l’information de l’État ;
2. de contribuer à la mise en œuvre, en concertation avec les administrations et services de l’État, des politiques et lignes directrices de sécurité de l’information portant sur les domaines de la politique générale de sécurité de l’information de l’État et des nouvelles technologies de l’information et de la communication ;
3. d’émettre des recommandations d’implémentation des politiques et lignes directrices de sécurité de l’information et d’assister les administrations et services de l’État au niveau de l’implémentation des mesures proposées ;
4. de définir, en concertation avec les administrations et services de l’État, une approche de gestion des risques, en vue de constituer un plan d’évaluation et d’identification des risques concernant la sécurité de l’information et d’accompagner, à leur demande, les administrations et services de l’État dans l’analyse et la gestion des risques ;
5. de conseiller l’Institut national d’administration publique, respectivement, à leur demande, les administrations et services de l’État dans la définition d’un programme de formation dans le domaine de la sécurité de l’information ;
6. de promouvoir la sécurité de l’information par le biais de mesures de sensibilisation ;
7. de conseiller, à leur demande, les établissements publics et les infrastructures critiques en matière de sécurité des réseaux et systèmes d’information et des risques y liés ;
8. d’assurer la fonction d’autorité TEMPEST en veillant à la conformité des réseaux et systèmes d’information classifiés aux stratégies et lignes directrices TEMPEST et en approuvant les contre-mesures TEMPEST pour les installations et les produits destinés à protéger des pièces classifiées jusqu’à un certain niveau de classification dans leur environnement opérationnel.

**(1*quater*)** Dans sa fonction de CERT Gouvernemental, le Haut-Commissariat à la Protection nationale a pour missions :

1. de constituer le point de contact unique dédié au traitement des incidents de sécurité d’envergure affectant les réseaux et les systèmes d’information des administrations et services de l’État et, à leur demande, des établissements publics et des infrastructures critiques ;
2. d’assurer un service de veille, de détection, d’alerte et de réaction aux attaques informatiques et aux incidents de sécurité d’envergure affectant les réseaux et systèmes d’information des administrations et services de l’État et, à leur demande, des établissements publics et des infrastructures critiques ;
3. 1. opérant comme le point de contact officiel national pour les CERTs nationaux et gouvernementaux étrangers ;
2. opérant comme le point de contact officiel national pour la collecte et la distribution d’informations relatives aux incidents de sécurité qui concernent les réseaux et systèmes d’information implantés au Luxembourg ;
3. relayant les informations collectées aux CERTs sectoriels en charge de la cible d’une attaque ou à défaut de CERT sectoriel, directement à la cible.
4. 1. opérant comme le point de contact officiel national pour les CERTs militaires étrangers ;
2. assurant un service de veille, de détection, d’alerte et de réaction aux attaques informatiques et aux incidents de sécurité d’envergure affectant les réseaux et les systèmes d’information de l’armée à partir du territoire du Grand-Duché ;
3. opérant, à partir du territoire du Grand-Duché, une équipe d’intervention spécialisée capable de prendre en charge la réponse aux incidents de sécurité d’envergure liés à ces réseaux et systèmes d’information.

Le Haut-Commissaire à la Protection nationale peut, dans l’intérêt de l’exécution des missions du CERT Gouvernemental, demander leur concours aux agents des administrations et services de l’État.

**(1*quinquies*)** Dans sa fonction de Service de la communication de crise, le Haut-Commissariat à la Protection nationale a pour missions :

1. de coordonner la communication de crise avant, pendant et après des situations de crise pouvant frapper le territoire national, par l’intermédiaire des médias, l’internet et les réseaux sociaux ;
2. d’effectuer une communication préventive et pédagogique en sensibilisant les médias et le public sur les questions relevant de la protection du pays, de ses sites sensibles et de sa population ;
3. de créer et de maintenir des contacts étroits et réguliers avec les services de communication de crise étrangers.

**(2)** Les autorités administratives et judiciaires, la Police grand-ducale et le Haut-Commissariat à la Protection nationale veillent à assurer une coopération efficace en matière de communication des informations susceptibles d'avoir un rapport avec leurs missions.

**(3)** Le Haut-Commissaire à la Protection nationale ou son délégué peuvent, par demande écrite, demander à tout détenteur d'un secret professionnel ou d'un secret protégé par une clause contractuelle la communication des informations couvertes par ce secret si la révélation dudit secret est nécessaire à l'exercice de sa mission de gestion de crises ou de protection des infrastructures critiques. Une divulgation d'informations en réponse à une telle demande n'entraîne pour l'organisme ou la personne détenteur des informations secrètes aucune responsabilité.

**(4)** Les informations qui sont couvertes par le secret de l'instruction relative à une enquête judiciaire concomitante ne peuvent être transmises qu'avec l'accord de la juridiction ou du magistrat saisi du dossier.

La protection de l'infrastructure critique comprend l'ensemble des activités visant à prévenir, à atténuer ou à neutraliser le risque d'une réduction ou d'une discontinuité de la disponibilité de fournitures ou de services indispensables à la sauvegarde des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population offerts par l'intermédiaire de l'infrastructure ainsi que le risque externe dont l'infrastructure est susceptible de faire l'objet.

Un point, système ou partie de celui-ci ne répondant pas à la définition donnée à l'article 2, peut être recensé et classifié comme infrastructure critique lorsque le fonctionnement d'une infrastructure critique en dépend.

De même peut être recensé et désigné comme infrastructure critique un secteur ou une partie de secteur dont tous les éléments ne répondent pas nécessairement à la définition donnée à l'article 2, mais dont l'ensemble est considéré comme tel.

Les modalités du recensement et de la désignation des infrastructures critiques sont fixées par règlement grand-ducal.

Le propriétaire ou opérateur d'une infrastructure critique est tenu de mettre à la disposition du Haut-Commissariat à la Protection nationale toutes les données sollicitées aux fins du recensement, de la désignation et de la protection des infrastructures critiques. Ces données comprennent toutes les informations qui sont nécessaires dans le contexte de la prévention ou de la gestion d'une crise.

Les données relatives à l'infrastructure critique faisant l'objet d'un enregistrement, d'une communication, d'une déclaration, d'un recensement, d'un classement, d'une autorisation ou d'une notification imposés par la loi ou par la réglementation afférente sont communiquées au Haut-Commissariat à la Protection nationale, sur sa demande, par les départements ministériels, les administrations et services de l'État qui détiennent ces données.

La désignation d'une infrastructure critique fait l'objet d'un arrêté grand-ducal.

**(1)** Le propriétaire ou opérateur d'une infrastructure critique est tenu d'élaborer un plan de sécurité et de continuité de l'activité qui comporte les mesures de sécurité pour la protection de l'infrastructure. Le Haut-

Commissariat à la Protection nationale adresse au propriétaire ou à l'opérateur d'une infrastructure critique des recommandations concernant ces mesures de sécurité qui permettent d'en assurer la protection au sens de l’article 4, d'en améliorer la résilience et de faciliter la gestion d'une crise.

**(2)** Le propriétaire ou opérateur d'une infrastructure critique est tenu de désigner un correspondant pour la sécurité qui exerce la fonction de contact pour les questions liées à la sécurité de l'infrastructure avec le Haut-Commissariat à la Protection nationale.

**(3)** Le propriétaire ou opérateur d'une infrastructure critique doit notifier au Haut-Commissariat à la Protection nationale tout incident ayant eu un impact significatif sur la sécurité et la pérennité du fonctionnement de l'infrastructure.

**(4)** La structure des plans de sécurité et de continuité de l'activité des infrastructures critiques est fixée par règlement grand-ducal.

En cas d'imminence ou de survenance d'une crise, le propriétaire ou opérateur d'une infrastructure critique, qui doit être, sauf en cas d'extrême urgence, dûment averti, est tenu de donner libre accès aux agents du Haut-Commissariat à la Protection nationale aux installations, locaux, terrains, aménagements faisant partie de l'infrastructure visée par la présente loi et les règlements à prendre en vue de son application.

Les actions de visite ou de contrôle entreprises sur place respectent le principe de proportionnalité.

Les dispositions reprises aux alinéas qui précèdent ne sont pas applicables aux locaux qui servent à l'habitation.

Le Haut-Commissariat à la Protection nationale élabore une stratégie nationale en matière de sécurité des réseaux et des systèmes d’information, qui porte, en particulier, sur les points suivants :

1. les objectifs et les priorités de la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information ;
2. un cadre de gouvernance permettant d’atteindre les objectifs et les priorités de la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information, prévoyant notamment les rôles et les responsabilités des organismes publics et des autres acteurs pertinents ;
3. l’inventaire des mesures en matière de préparation, d’intervention et de récupération, y compris la coopération entre les secteurs public et privé ;
4. un aperçu des programmes d’éducation, de sensibilisation et de formation en rapport avec la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information ;
5. un aperçu des plans de recherche et de développement en rapport avec la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information ;
6. un plan d’évaluation des risques permettant d’identifier les risques ;
7. une liste des différents acteurs concernés par la mise en œuvre de la stratégie nationale en matière de sécurité des réseaux et des systèmes d’information.

La nomination aux fonctions de Haut-Commissaire à la Protection nationale et de Haut-Commissaire à la Protection nationale adjoint se fait par arrêté grand-ducal sur proposition du membre du Gouvernement ayant dans ses attributions la Protection nationale.

Le Haut-Commissaire à la Protection nationale est responsable de la gestion de l'administration. Il en est le chef hiérarchique. Il est assisté d’un Haut-Commissaire à la Protection nationale adjoint auquel il peut déléguer certaines de ses attributions et qui le remplace en cas d’absence.

**(1)** Le cadre du personnel comprend un Haut-Commissaire à la Protection nationale, un Haut-Commissaire à la Protection nationale adjoint et des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État.

**(2)** Le cadre du personnel peut être complété par des employés et salariés de l'État dans la limite des crédits budgétaires.

Le détachement des agents appelés au Haut-Commissariat à la Protection nationale se fait par arrêté du membre du Gouvernement ayant dans ses attributions la Protection nationale avec l'accord du ministre du ressort duquel relève l'agent en cause.

Un règlement grand-ducal détermine les modalités d'organisation des stages, des examens de fin de stage et des examens de promotion pour le personnel du Haut-Commissariat à la Protection nationale.

En cas d'imminence ou de survenance d'une crise, le Conseil de Gouvernement assure la coordination des mesures de réquisition prévues par la loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise internationale grave ou de catastrophe, par le titre V de la loi modifiée du 31 mai 1999 portant création d'un corps de police grand-ducale et d'une inspection générale de la police, ainsi que par le chapitre 4 de la loi communale modifiée du 13 décembre 1988.

Le Haut-Commissariat à la Protection nationale peut traiter les données personnelles nécessaires à l'exécution de la mission définie à l'article 3. Ces traitements sont soumis à la procédure d'autorisation préalable de la Commission nationale pour la protection des données telle que prévue à l'article 14 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel.

**(1)** Les fonctionnaires et employés visés à l'article 11 et relevant de la rubrique «Administration générale» telle qu'énoncée à l'article 12 de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État, en service auprès du Haut-Commissariat à la Protection nationale au moment de l'entrée en vigueur de la présente loi, sont intégrés dans le cadre du personnel du Haut-Commissariat à la Protection nationale aux grade et échelon atteints au moment de l'entrée en vigueur de la présente loi.

**(2)** Les fonctionnaires détachés au Haut-Commissariat à la Protection nationale au moment de la mise en vigueur de la présente loi, intégrés dans le cadre du personnel du Haut-Commissariat à la Protection nationale, et qui d'après la législation en vigueur dans leur service d'origine au moment de leur détachement avaient une perspective de carrière plus favorable pour l'accès aux différentes fonctions de leur carrière, conservent leurs anciennes possibilités d'avancement.

**(1)** Le personnel de l’ANSSI, du CERT Gouvernemental et du SCC est repris dans le cadre du personnel du Haut-Commissariat à la Protection nationale.

**(2)** Les fonctionnaires disposant d’un grade de substitution ou d’une majoration d’échelon pour postes à responsabilités particulières avant la reprise continuent à en bénéficier par dépassement du nombre limite fixé en vertu des dispositions de l’article 16 de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d’avancement des fonctionnaires de l’État aussi longtemps qu’ils restent titulaires d’un poste à responsabilités particulières. Il en est de même des employés qui bénéficient d’une telle majoration sur la base de l’article 29 de la loi modifiée du 25 mars 2015 déterminant le régime et les indemnités des employés de l’État.

À l'article 16 de la loi du 23 juillet 1952 concernant l'organisation militaire, telle qu'elle a été modifiée dans la suite, il est inséré un nouveau point libellé comme suit: «2) les officiers, les sous-officiers et les caporaux de carrière employés par ordre du Gouvernement auprès du Haut-Commissariat à la Protection nationale.»

L'actuel point 2) devient le point 3).

La loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État est modifiée comme suit:

1. er
2. dans l'annexe A «Classification des fonctions», Catégorie de traitement A, Groupe de traitement A1, Sousgroupe à attributions particulières, il est ajouté la mention «Haut-Commissaire à la Protection nationale» au grade 17;
3. au paragraphe b) de l'article 17, il est inséré, à la suite des termes «inspecteur général de la sécurité dans la Fonction publique», la mention «Haut-Commissaire à la Protection nationale».

La loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise internationale grave ou de catastrophe, est modifiée comme suit:

1. er loi modifiée du 23 juillet 1952 loi du 8 décembre 1981 loi modifiée du 2 août 2002 loi modifiée du 25 juin 2009 loi modifiée du 9 décembre 2005 loi modifiée du 25 mars 2015
2. au chapitre IV, article 8 b) in fine, il est ajouté: «5) Les agents du Haut-Commissariat à la Protection nationale».

Au chapitre III, article 14 (1) de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, il est ajouté in fine un point (h):.

À l'article 1er de la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État, telle qu'elle a été modifiée dans la suite, il est inséré un tiret supplémentaire libellé comme suit: «- de Haut-Commissaire à la Protection nationale.»

Au livre Ier, titre III, chapitre III, article 8 (1) de la loi modifiée du 25 juin 2009 sur les marchés publics, il est ajouté in fine un point I):

La référence à la présente loi pourra se faire sous une forme abrégée en utilisant les termes «loi du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale».

La présente loi entre en vigueur le premier jour du deuxième mois qui suit sa publication au Mémorial.