BSI-Richtlinie TL-03420

Dans les appels d’offres des administrations, on trouve souvent l’exigence d’effacer ou de détruire les supports de données « selon la BSI TL-03420 ». Il s’agit d’une ligne directrice technique de l’Office fédéral allemand de la sécurité des technologies de l’information (BSI). Vous découvrirez ici ce que régit cette ligne directrice, à qui elle s’applique et en quoi elle se distingue des autres normes d’effacement.

Que régit la TL-03420 ?

Le BSI publie des lignes directrices techniques (TL) pour la protection du secret. Elles précisent comment les exigences de la Instruction sur les informations classifiées (VSA) sont mises en œuvre sur le plan technique. La TL-03420 s’intitule « Richtlinien für das Löschen und Vernichten von schutzbedürftigen Informationen auf analogen und digitalen Datenträgern » (Directives pour l’effacement et la destruction d’informations à protéger sur des supports de données analogiques et numériques). Elle couvre le papier et le microfilm aussi bien que les supports de données électroniques, magnétiques et optiques.

La ligne directrice distingue deux niveaux de sécurité :

Niveau de sécurité	Informations typiques
Sécurité moyenne	Informations classifiées jusqu’au niveau VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) inclus et classifications comparables, données personnelles
Sécurité élevée	Informations classifiées à partir du niveau VS-VERTRAULICH et classifications comparables, catégories particulières de données personnelles

Selon le niveau, la ligne directrice impose des exigences différentes aux procédés d’effacement, aux appareils de destruction et au déroulement organisationnel. Pour les classifications supérieures, seuls des produits agréés par le BSI entrent en général en ligne de compte. Le BSI met la version actuelle à disposition dans un espace interne auquel les organismes habilités obtiennent l’accès sur demande.

Pour qui la ligne directrice est-elle pertinente ?

• Les autorités fédérales et des Länder, qui mettent au rebut du matériel informatique avec des informations classifiées .
• Les entreprises relevant de la protection du secret, qui travaillent avec des informations classifiées (VS) pour le compte de l’État, par exemple dans le secteur de l’armement ou de la sécurité.
• Les organisations ayant un besoin de protection élevé, qui s’orientent volontairement sur une référence officielle.

Pour la plupart des entreprises sans informations classifiées, d’autres textes de référence sont déterminants, par exemple DIN 66399 pour la destruction et le module CON.6 « Löschen und Vernichten » (effacement et destruction) dans l’IT-Grundschutz du BSI.

Distinction avec d’autres normes

La TL-03420 n’est pas un certificat pour les prestataires, mais une exigence portant sur les procédés et les produits. La directive américaine NIST SP 800-88 poursuit un objectif similaire, mais est rédigée pour les agences fédérales américaines et est accessible au public. La norme DIN 66399 décrit des classes de protection et des tailles de particules pour la destruction physique et constitue la référence courante pour les entreprises. Les appels d’offres exigent souvent une combinaison : effacement selon une méthode reconnue, destruction selon DIN 66399 et, pour les VS, procédure conforme aux exigences du BSI.

Notre guide montre comment les administrations mettent concrètement au rebut du matériel VS-NfD Mettre au rebut du matériel VS-NfD. Quelles méthodes d’effacement conviennent aux HDD et aux SSD est expliqué dans le guide Effacer en toute sécurité disques durs et SSD.

Lien avec Second IT

Second IT traite les supports de données de manière conforme VS-NfD et efface les HDD, SSD et appareils mobiles avec Blancco, y compris un certificat d’effacement signé numériquement pour chaque appareil. Les supports qui ne peuvent pas être effacés sont détruits sur place selon la norme DIN 66399, certifiée pour le niveau de sécurité H-5. En savoir plus sur suppression des données certifiée.

Questions fréquentes sur la BSI TL-03420

La TL-03420 est-elle accessible au public ?

Le BSI met la version actuelle à la disposition des organismes habilités dans un espace interne. L’accès est en général accordé sur demande aux administrations et aux entreprises relevant de la protection du secret.

La TL-03420 s’applique-t-elle aussi aux entreprises ?

Elle est contraignante avant tout pour les organismes qui travaillent avec des informations classifiées et pour les entreprises qui traitent des VS pour le compte de l’État. Les autres entreprises peuvent s’y référer volontairement. Pour elles, le RGPD, DIN 66399 et l’IT-Grundschutz sont généralement déterminants.

Quelle est la différence entre la TL-03420 et DIN 66399 ?

La norme DIN 66399 est une norme générale pour la destruction physique de supports de données, avec des classes de protection et des niveaux de sécurité. La TL-03420 est une exigence du BSI pour l’effacement et la destruction d’informations à protéger, avant tout des informations classifiées, et comprend aussi des procédés d’effacement.

La TL-03420 est-elle un certificat pour les prestataires ?

Non. La TL-03420 n’est pas un certificat pour les prestataires, mais une exigence portant sur les procédés et les produits. Les appels d’offres exigent souvent une combinaison : effacement selon une méthode reconnue, destruction selon DIN 66399 et, pour les informations classifiées, procédure conforme aux exigences du BSI.

Quels niveaux de sécurité la TL-03420 distingue-t-elle ?

La ligne directrice connaît la sécurité moyenne et la sécurité élevée. La sécurité moyenne s’applique par exemple aux informations classifiées jusqu’à VS-NfD et aux données personnelles. La sécurité élevée s’applique à partir de VS-VERTRAULICH et aux catégories particulières de données personnelles. Selon le niveau, les procédés d’effacement, les appareils et les processus changent.