2.2.1. Le responsable d'organisme
Le responsable d'organisme (13) est :
- pour les services de l'Etat (cabinets ministériels, bureau des cabinets, administration centrale, services déconcentrés, services à compétence nationale, organismes extérieurs comme les établissements sous tutelle) : le directeur ou le chef du service ;
- pour les personnes morales autres que l'Etat : le représentant légal de la personne morale.
En tant que responsable de la gestion et de la protection du secret et des informations « Diffusion Restreinte » il est chargé :
- d'approuver formellement la politique de protection du secret élaborée par l'officier de sécurité de l'organisme, avec l'appui le cas échéant de l'officier de sécurité des systèmes d'information (14) ;
- d'organiser les chaînes fonctionnelles de protection du secret et de sécurité des systèmes d'information au sein de son organisme. Il désigne pour cela un officier de sécurité (15) et, le cas échéant, un officier de sécurité des systèmes d'information (16) ;
- de définir le besoin d'en connaître au sein de son organisme, d'établir le(s) catalogue(s) des emplois et engager les procédures d'habilitation de son personnel en conséquence ;
- de faire assurer la protection des informations et supports classifiés et des informations « Diffusion Restreinte » conformément à la réglementation (17). Il est tenu pour cela de donner à son personnel les moyens matériels adéquats et de faire appliquer les directives de classification aux informations et supports produits par son organisme.
A noter :
- le responsable d'organisme peut être reconnu pénalement responsable en cas de manquement aux règles relatives à la protection du secret de la défense nationale au sein de son organisme et par son personnel ;
- dans le contexte de dématérialisation croissante des informations, le responsable d'organisme veille tout particulièrement à la collaboration entre les chaînes fonctionnelles de la protection du secret et de sécurité des systèmes d'information.
(13) Cf. IGI 1300 §2.2.1.
(14) Cette politique locale peut être plus restrictive que la réglementation sous réserve qu'elle ne s'y oppose pas. Elle est révisée annuellement et en particulier lorsqu'un incident de sécurité survenant dans l'organisme la met en cause.
(15) Cf. IM §2.2.2.
(16) Cf. IM §2.3.2.
(17) La détention d'informations et supports classifiés impose, en plus de l'habilitation de la structure morale et des personnes physiques concernées, la mise en place des mesures de sécurité physiques et logiques dont les principes sont décrits dans l'IGI 1300 §3.5, §5 et §6.