L'opérateur intègre le management des informations qui font l'objet de l'article 92 au système de management prévu à l'article 26 en définissant notamment les procédures relatives :
- à la détermination de ces informations notamment en précisant les modalités et les règles suivis pour cette détermination ;
- à la gestion de ces informations, de leur élaboration à leur destruction, y compris, quel que soit leur support, pour leur diffusion, leur transmission, leur sauvegarde, leur conservation et pour leur reproduction. Ces procédures prennent notamment en compte :
- le respect du besoin d'en connaitre ;
- les dispositions de protection de ces informations lors de leur échange avec un tiers notamment par l'utilisation de protocole d'échange particulier ;
- des exigences, notamment contractuelles, visant à garantir le respect des dispositions de protection définies dans le présent chapitre par des intervenants extérieurs, des entités nucléaires hébergées et des autres entités relevant de l'article 39 ;
- aux contrôles internes permettant de garantir, par des périodicités de contrôle définies, l'application des dispositions de protection de ces informations mises en œuvre en application du présent arrêté. Ces contrôles permettent notamment de vérifier l'efficacité de la sauvegarde et la conservation de ces informations, quel que soit leur support ;
- aux audits permettant d'évaluer, par des périodicités d'audit définies, l'application des dispositions de protection de ces informations.
En complément, il élabore et met en œuvre une politique de protection des informations qui prend en compte les informations qui font l'objet de l'article 92. En particulier, cette politique :
- précise les objectifs et les orientations stratégiques en matière de protection de ces informations ;
- décrit les rôles et les responsabilités de son personnel, des intervenants extérieurs, des entités nucléaires hébergées et des entités relevant de l'article 39 ;
- décrit l'ensemble des dispositions et moyens organisationnels, techniques et humains mis en œuvre par l'opérateur afin d'assurer la protection de ces informations notamment contre toute menace interne ou externe ;
- identifie les procédures nécessaires à l'application du présent chapitre.
Pour ces informations faisant l'objet d'une mesure de classification au titre du secret de la défense nationale ou portant la mention de protection DR, cette politique prend en compte les dispositions définies par l'instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale complétées, le cas échéant, des directives techniques particulières ministérielles applicables précisant les modalités de classification et de protection.
Cette politique et ses documents d'application sont approuvés formellement par la direction de l'opérateur et mis à jour régulièrement et autant que de besoin.
L'opérateur s'assure de l'application de cette politique et de ses documents d'application, ainsi que des dispositions qu'ils définissent.
Lorsque l'opérateur transmet des informations aux pouvoirs publics, il signale le cas échéant celles qui sont concernées par l'article 92 et le niveau de protection qu'il considère approprié.