Sont désignés autorités qualifiées pour la sécurité des systèmes d'information (AQSSI), pour les directions et services placés sous l'autorité des ministres,
- pour le secrétariat général, les directions d'administration centrale sans moyens informatiques propres et les services assimilés (délégations, conseil général, inspection, médiations…), ainsi que les applications et systèmes mutualisés au niveau ministériel : le secrétaire général ;
- pour les directions générales placées sous l'autorité directe des ministres : le directeur général ;
- pour les directions placées sous l'autorité directe des ministres : le directeur ;
- pour les services à compétence nationale rattachés directement au ministre ou à caractère interministériel : le directeur ou le chef de service.
Sont désignés autorités qualifiées pour la sécurité des systèmes d'information (AQSSI) pour les établissements publics placés sous la tutelle des ministres et les autorités relevant du périmètre des ministères économiques et financiers :
- les responsables, quel que soit leur titre, des fonctions de direction générale des établissements publics ;
- les responsables, quel que soit leur titre, des fonctions de direction générale des autorités administratives indépendantes et des autorités publiques indépendantes.
L'autorité qualifiée est responsable de la sécurité des systèmes d'information au sein de sa direction, du service, de l'établissement ou de l'autorité.
En liaison avec le haut fonctionnaire de défense et de sécurité (HFDS) et le fonctionnaire de sécurité des systèmes d'information (FSSI) qui lui est rattaché, l'autorité qualifiée est notamment chargée :
- de désigner les autorités d'homologation des systèmes relevant de sa responsabilité ;
- de s'assurer que les dispositions réglementaires et, le cas échéant, contractuelles sur la sécurité des systèmes d'information sont appliquées, notamment celles relatives à la sécurité des systèmes traitant d'informations classifiées ;
- de faire appliquer les consignes et les directives internes ;
- de s'assurer que des contrôles internes de sécurité sont régulièrement effectués ;
- d'organiser la sensibilisation et la formation du personnel aux questions de sécurité, en particulier en matière de systèmes d'information ;
- de s'assurer de la mise en œuvre des procédures réglementaires prescrites pour l'homologation des systèmes, pour l'agrément des dispositifs de sécurité et pour la gestion des articles contrôlés de la sécurité des systèmes d'information (ACSSI).
Le présent arrêté sera publié au Journal officiel de la République française.
Source : Légifrance (DILA), Licence Ouverte / Open Licence 2.0.
