L’autorité qualifiée de la sécurité des systèmes d’information (AQSSI)

L’AQSSI est responsable de la sécurité des systèmes d’information et de communication qui contribuent à l’exécution des missions. Il s’agit de la Rectrice de région académique Occitanie, rectrice de l’académie de Montpellier et du Recteur de Toulouse dans leur périmètre respectif. L’AQSSI ne peut déléguer cette responsabilité. A ce titre, elle est responsable, en particulier, de:

• l’élaboration et le maintien à jour d’une cartographie des risques numériques principaux et des SI associés pour son périmètre ;
• le maintien en condition opérationnelle et de sécurité de ces systèmes;
• la planification des audits de sécurité de ces systèmes.

L'AQSSI alloue les ressources nécessaires pour les projets de transformation numérique et assure la gestion des risques numériques, en veillant à ce que les orientations en matière de sécurité s’intègrent et la stratégie ministérielle du numérique. Elle contrôle l'application des exigences de sécurité numérique. Enfin, l'AQSSI assure l'élaboration et la mise en œuvre des plans de continuité et de reprise d'activité, ainsi que la gestion des incidents de sécurité en collaboration avec les instances ministérielles et sectorielles.

Le conseiller à la sécurité du numérique (CSN)

Le conseiller à la sécurité numérique est désigné par chaque AQSSI qu’il conseille et accompagne dans l’exercice de ses responsabilités. Le CSN de l’académie de Montpellier est le directeur de cabinet de Mme la rectrice. Le CSN de l’académie de Toulouse est la directrice adjointe de région académique au numérique éducatif.

Le CSN dispose d’une connaissance globale des enjeux des métiers du périmètre et d’une culture générale du numérique. Il s’appuie sur les compétences à disposition en matière de sécurité numérique, notamment le RSSI. Il échange également avec le délégué à la protection des données.

Le directeur des systèmes d’information (DSI)

Le DSI définit la stratégie du numérique, en tenant compte des réglementations des SI de l’Etat et des directives ministérielles et régionales sur le numérique. Il s’assure de la bonne prise en compte de la sécurité numérique dans les projets et du maintien en condition opérationnelle de sécurité. Il définit le plan de transformation numérique de la région académique et le schéma directeur des systèmes d’information et de communication. Il veille d’une part à ce que chaque département de la DSI² assure la mise en œuvre et l’exploitation sécurisée de systèmes d’information et de communication, et d’autre part à l’élaboration d’une analyse d’impact relative à la protection des données.

Le responsable de la sécurité des systèmes d’information (RSSI) assure un rôle d’animation et de pilotage de la politique de sécurité des systèmes d’information, intervient dans l’organisation de la chaîne de sécurité, et participe à une mission de contrôle.

Le RSSI informe les Recteurs sur les risques numériques. Il propose des mesures pour renforcer la sécurité des données et services numériques. 

Il supervise, en lien avec le directeur du numérique ou des systèmes d’information du périmètre, le déploiement des actions de sécurisation et de renforcement de la sécurité du numérique.

Il coordonne la gestion des incidents et crises cyber, et pilote des projets spécifiques de sécurité tout en réalisant des missions de contrôle du système d’information.

Le délégué à la protection des données (DPD)

Le délégué à la protection des données (DPD) est chargé de mettre en œuvre la conformité au règlement européen sur la protection des données au sein de l’organisme qui l’a désigné s’agissant de l’ensemble des traitements mis en œuvre par cet organisme. Chaque académie dispose d’un DPD.

Le chef d’établissement

Chaque chef d’établissement, sans être AQSSI, constitue le point de contact de la sécurité numérique pour les académies, notamment en cas d’incident de sécurité du numérique qui impacte fortement les activités de son établissement.

Textes de référence :

• Arrêté du 19 juillet 2024 portant approbation de l’instruction ministérielle relative à la politique de gouvernance de la sécurité numérique (PGSN) de l’éducation nationale, de la jeunesse, des sports, de l’enseignement supérieur et de la recherche
• Arrêté du 26 octobre 2022 portant approbation de l’instruction générale interministérielle no 1337/SGDSN/ANSSI sur l’organisation de la sécurité numérique du système d’information et de communication de l’Etat et de ses établissements publics