Parmi les informations qu'il détient ou dont il a confié l'élaboration, le suivi, le traitement ou la destruction à un tiers, l'opérateur détermine les informations, quelle qu'en soit la forme, la nature ou le mode de transmission, logiciel inclus, dont la divulgation, la modification, la transformation, la destruction ou l'usage non autorisé pourraient nuire à la sécurité nucléaire ou aux enjeux de sécurité nucléaire.
Pour cela il prend en compte notamment les catégories d'informations listées dans l'annexe 5 et, le cas échéant, les modalités de classification au titre du secret de la défense nationale ou les modalités d'apposition de la mention de protection DR précisées par les ministres.
L'opérateur définit et met en œuvre, dès leur conception et durant toutes les phases ultérieures de l'existence des informations qui font l'objet de l'article 75, un ensemble de dispositions techniques, organisationnelles et humaines cohérentes et proportionnées aux enjeux de sécurité nucléaire permettant d'assurer la disponibilité, l'intégrité, la confidentialité et la traçabilité de ces informations. Les mesures concernant la protection physique de ces informations sont définies en tenant compte des dispositions de protection physique définies au chapitre 4.
Pour les informations faisant, le cas échéant, l'objet d'une mesure de classification au titre du secret de la défense nationale ou portant la mention de protection DR, l'application de l'instruction générale interministérielle n° 1300, et le cas échéant, des modalités de classification et de protection précisées par les ministres, vaut respect du présent article.
L'opérateur intègre le management des informations qui font l'objet de l'article 75 au système de management prévu à l'article 19 en définissant notamment les procédures relatives :
- à la détermination de ces informations notamment en précisant les modalités et les règles suivis pour cette détermination ;
- à la gestion de ces informations, de leur élaboration à leur destruction, y compris, quel que soit leur support, pour leur diffusion, leur transmission, leur sauvegarde, leur conservation et pour leur reproduction. Ces procédures prennent notamment en compte :
- le respect du besoin d'en connaitre ;
- les dispositions de protection de ces informations lors de leur échange avec un tiers notamment par l'utilisation de protocole d'échange particulier ;
- des exigences, notamment contractuelles, visant à garantir le respect des dispositions de protection définies dans le présent chapitre par des intervenants extérieurs, des entités nucléaires hébergées et des entités relevant de l'article 31 ;
- aux contrôles internes permettant de garantir, par des périodicités de contrôle définies, l'application des dispositions de protection de ces informations mises en œuvre en application du présent arrêté. Ces contrôles permettent notamment de vérifier l'efficacité de la sauvegarde et la conservation de ces informations, quel que soit leur support ;
- aux audits permettant d'évaluer, par des périodicités d'audit définies, l'application des dispositions de protection de ces informations.
En complément, il élabore et met en œuvre une politique de protection des informations qui prend en compte les informations qui font l'objet de l'article 75. En particulier, cette politique :
- précise les objectifs et les orientations stratégiques en matière de protection de ces informations ;
- décrit les rôles et les responsabilités de son personnel, des intervenants extérieurs, des entités nucléaires hébergées et des autres entités relevant de l'article 31 ;
- décrit l'ensemble des dispositions et moyens organisationnels, techniques et humains mis en œuvre par l'opérateur afin d'assurer la protection de ces informations notamment contre toute menace interne ou externe ;
- identifie les procédures nécessaires à l'application du présent chapitre.
Pour ces informations qui sont classifiées ou DR, cette politique prend en compte les dispositions définies par l'instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale complétées, le cas échéant, des modalités de classification et de protection précisées par les ministres.
Cette politique et ses documents d'application sont approuvés formellement par la direction de l'opérateur et mis à jour régulièrement et autant que de besoin.
L'opérateur s'assure de l'application de cette politique et de ses documents d'application, ainsi que des dispositions qu'ils définissent.
