Disminuter la puissance matérielle des VS-NfD : ce que les autorités doivent prendre en compte

Pour les autorités, les administrations municipales et les entreprises ayant des contrats avec l’État, la désusuration des TI est bien plus qu’une question de protection des données. Dès lors que des données sensibles étaient stockées sur les appareils, des règles supplémentaires s’appliquent. La classification la plus courante est VS-NfD. Ce billet explique ce que signifie VS-NfD, quelles exigences sont généralement applicables lors de la désusuration de matériel informatique et comment reconnaître un prestataire de services approprié.

Qu'est-ce que VS-NfD ?

Les informations classifiées sont des informations dont la divulgation pourrait nuire aux intérêts du Bundes oder eines Landes. La loi sur la protection des secrets d'État prévoit quatre niveaux de confidentialité :

Régime de confidentialité	Signification (simplifiée)
VS – UNIVERSELLEMENT UTILISABLE (VS-NfD)	La divulgation par des personnes non autorisées peut nuire aux intérêts de l’État.
VS – CONFIDENTIEL	La connaissance peut être nuisible aux intérêts de l’État.
SECRET	La divulgation peut mettre en danger la sécurité ou les intérêts de l'État ou leur causer de graves dommages.
STRICTEMENT SECRET	La connaissance peut mettre en danger l’existence ou les intérêts vitaux de l’État.

VS-NfD est donc le niveau le plus bas – et le plus fréquent. Dans de nombreuses administrations, des profils de situation, des concepts internes, des documents de sécurité ou des éléments de documents de passation de marchés portent cette désignation. De ce fait, les données VS-NfD se trouvent également sur les serveurs de bureau, les serveurs de fichiers et les appareils mobiles.

Quelles règles s’appliquent ?

Pour les autorités fédérales, la directive relative aux documents confidentiels (VSA) réglemente l’utilisation des documents confidentiels. Les Länder ont leurs propres règles qui s’y réfèrent. Les entreprises qui travaillent dans le cadre d’un contrat public avec VS-NfD reçoivent généralement un document VS-NfD qui fait partie intégrante du contrat.

Pour l’informatique, les principes fondamentaux suivants se dégagent typiquement de cela :

• Accès uniquement pour les personnes autorisées : Quiconque manipule ou transporte des matières dangereuses doit être habilité et formé à cette activité.
• IT appropriée : Des exigences de sécurité doivent être respectées pour la manipulation et la transmission, par exemple en matière de cryptage.
• Conservation sûre : Les supports de données contenant des VS-NF doivent être protégés contre tout accès non autorisé.
• Suppression et destruction sécurisées : Lors de l’extraction, il faut exclure toute possibilité que des personnes non autorisées puissent reconstruire les contenus.

Les spécificités varient d'une autorité, d'un État et d'un contrat à l'autre. Les règles internes et la décision de votre délégué à la protection des secrets constituent la base. Ce document ne remplace pas l'analyse individuelle.

Limite : Dans le cas du VS-NfD, „ supprimé définitivement “ n’est pas suffisant. Il faut pouvoir prouver qui a manipulé quel appareil quand.

Les points critiques lors de l’exclusion

Recueil

Quels appareils ont été traités par VS-NfD ? Il est souvent difficile de les distinguer clairement. De nombreux organismes traitent donc de manière préventive tous les supports de données d’un domaine comme des supports VS-NfD. La base de données est constituée d’une liste de numéros de série de tous les appareils et supports de données.

Transport

Le trajet entre le lieu d’affectation et le lieu d’élimination est particulièrement sensible. Les transports sans déchargement et entreposage intermédiaire, avec chargement embarqué, sont sûrs d’être localisés et de pouvoir être remis en évidence.

Suppression ou destruction

Les supports de données fonctionnels peuvent être effacés selon des procédures vérifiées, à condition que vos spécifications le permettent. Les supports défectueux ou ceux pour lesquels vos règles requièrent une destruction physique sont éliminés. La destruction est mesurée conformément à la norme DIN 66399 avec ses classes de protection et niveaux de sécurité.

Preuve

Pour chaque support de données, il doit y avoir une preuve : numéro de série, procédure, date, résultat. Ces preuves font partie de vos documents concernant le maintien des documents scellés.

Exigences envers un prestataire de services

Si vous ne souhaitez pas procéder vous-même à l’exlusion, un prestataire doit respecter au minimum ces points :

Exigence	Ce que vous devez vérifier
Traitement conforme aux directives VS-NfD	Engagement explicite et procédures documentées
Terrains aménagés	Contrôle d'accès, vidéosurveillance, zones sécurisées
Personnel engagé	Obligation de confidentialité des données, accords de confidentialité, formations
Logistique interne	Direction directe, détection, localisation, protocole de remise
Destruction dans son propre domicile	Conforme à la norme DIN 66399, sans divulgation à des tiers
Sécurité de l'information	Certifié selon la norme ISO/IEC 27001
Documents à l'appui	Certificat d'effacement ou de destruction par numéro de série

Voici comment Second IT travaille avec des supports de données VS-NFD

Second IT travaille pour les entreprises et pour le secteur public. Pour les dossiers confidentiels de niveau VS-NfD, notre politique est la suivante :

• Traitement selon les directives VS-NfD : Nous traitons et détruisons les supports de données à un niveau de confidentialité „ uniquement à des fins de service “, conformément aux directives applicables.
• Destruction dans sa propre maison : Conforme à la norme DIN 66399, certifié pour la sécurité niveau H-5, sans transport vers des sites externes, surveillé vidéo 24h/24.
• Site protégé : Contrôle d’accès biométrique, vidéosurveillance, zones sécurisées avec accès contrôlé et entrepôts hautement sécurisés avant la destruction.
• Équipe engagée : Tous les employés sont tenus au secret des données et suivent régulièrement une formation. Sur demande, nous pouvons conclure des accords de confidentialité spécifiques.
• Logistique de sécurité : Circulations directes sans entrepôts, surveillance par GPS, sécurisation manuelle des engins, transport assuré.
• Suppression certifiée : Avec Blancco, dont le logiciel a été certifié ou recommandé par le BSI et la OTAN, selon les informations du fabricant.
• Documents : Certificat d’annulation ou de destruction numérisé, par série de numéros, accompagné de rapports d’audit.
• Sécurité informatique certifiée : ISO/IEC 27001.

Plus d'informations sur les pages suivantes. Secret des données, Destruction de supports de données et Certificats.

Pour les adjudicateurs publics, le droit des marchés s’applique en outre. Règlez donc les exigences de sécurité dès lors que vous rédigez la description des prestations : transport, lieu de destruction, niveau de sécurité, pièces justificatives et obligation du personnel.

Processus d’exemption de la VS-NfD

Réutilisation malgré des emballages scellés ?

De nombreuses autorités détruisent toutes les données par précaution. C’est sûr, mais ce n’est pas toujours nécessaire. Si vos exigences permettent une suppression vérifiée, les appareils fonctionnels peuvent être réutilisés après la suppression. Cela permet de faire des économies et de préserver les ressources. Une solution pragmatique : détruire les disques, valoriser les appareils dépourvus de données. La variante admissible est déterminée par votre délégué à la protection des données ou votre délégué à la protection des données.

Quels appareils peuvent être concernés

Dans les administrations publiques et auprès des prestataires publics, les données VS-NfD sont traitées sur des matériels très variés. Lors d’une externalisation, vous devriez vérifier ces catégories d’appareils :

• Ordinateurs de bureau et ordinateurs portables avec des copies locales, des relevés de situation et des archives de courrier électronique.
• Serveurs de fichiers, systèmes de stockage et disques de sauvegarde avec de grandes quantités de données.
• Tablets et téléphones portables professionnels avec des e-mails, des calendriers et des flux de messagerie.
• Imprimante multifonction avec des sauvegardes internes pour les documents numérisés.
• Disques externes comme les clés USB, les disques durs externes et les cartes mémoire.

Surtout pour les appareils mobiles et les imprimantes, l'attribution à VS-NfD est souvent incertaine. Dans le doute, la norme plus stricte s'applique – c'est-à-dire le traitement comme un support de données VS-NfD avec une preuve complète.

Questions fréquentes sur VS-NfD

Qu'est-ce que VS-NfD ?

VS-NfD est l’abréviation de „ dossier confidentiel – uniquement à usage professionnel “. C’est le niveau le plus bas des quatre niveaux de confidentialité en Allemagne. Les informations de ce niveau ne peuvent être accessibles qu’aux personnes ayant besoin de ces informations en raison de leurs fonctions. Les règles relatives à l’utilisation des documents confidentiels sont fixées par l’ordre du gouvernement fédéral et les règles correspondantes des Länder.

Quelles dispositions s’appliquent à l’utilisation des VS-NfD ?

Les autorités fédérales sont soumises à l’ordonnance relative à la confidentialité des documents ; les États ont leurs propres règles. Dans le cadre des marchés publics, les entreprises reçoivent généralement un document VS-NfD comme élément contractuel. Ces règles concernent la signalisation, la conservation, la divulgation, le traitement informatique et la destruction. Les responsables de la protection des secrets sont les responsables de la protection des secrets de l’organisation.

Les supports de données VS-NfD peuvent-ils être supprimés ou doivent-ils être détruits ?

Cela dépend de vos spécifications. Généralement, il faut exclure toute possibilité que des personnes non autorisées puissent reconstituer les contenus. Selon le règlement en vigueur, une suppression vérifiée ou une destruction physique sont prévues à cette fin. De nombreuses autorités optent pour la destruction selon la norme DIN 66399 pour les supports de données défectueux ou particulièrement sensibles.

Un prestataire de services externe peut-il détruire des disques durs VS-NFD ?

Oui, si il répond aux exigences de vos spécifications et que vous le chargez en conséquence. Veillez à disposer d’un site sécurisé, d’un personnel dûment formé, d’une chaîne de transport sans faille et à la destruction dans votre propre établissement. Il est également important de disposer de certificats par numéro de série. Vérifiez la mission au préalable avec vos responsables de la protection des secrets.

Que se passe-t-il avec les smartphones des autorités lors de l’expulsion ?

Les appareils mobiles sont traités de la même manière que les autres supports de données : ils sont enregistrés, supprimés ou détruits et documentés. Avant cela, ils doivent être retirés de la gestion des appareils et les cartes SIM et mémoire doivent être retirées. La question de savoir si une suppression vérifiée suffit ou si une destruction est nécessaire dépend de vos spécifications. Second IT utilise une solution de suppression certifiée de Blancco pour les appareils mobiles.