Décret 346/2021, du 20-10-2021, portant création de l'Agence nationale de cybersécurité et de l'Équipe de réponse de référence de la Principauté d'Andorre pour le traitement des incidents de sécurité des réseaux et des systèmes d'information

Article 1. Définitions aux fins du présent Décret

1. Aux fins du présent Décret, on entend par : a. APDA : Agence andorrane de protection des données. b. Cybersécurité : toutes les activités nécessaires pour protéger les réseaux et les systèmes d'information, leurs utilisateurs et les autres personnes affectées par les cybermenaces. c. Cybermenace : toute situation, tout fait ou toute action potentielle susceptible d'endommager, de perturber ou d'affecter défavorablement les réseaux et les systèmes d'information, leurs utilisateurs et d'autres personnes. d. CSIRT : équipe ayant pour objectif de servir de soutien préventif et réactif en matière d'incidents de sécurité des réseaux et des systèmes d'information. e. Entité : toute personne physique ou morale constituée et reconnue comme telle en vertu du droit national de son lieu d'établissement et qui, agissant en son nom propre, peut exercer des droits et être soumise à des obligations. f. Stratégie nationale de cybersécurité : cadre légal qui établit les objectifs stratégiques et les priorités pour la sécurité des réseaux et des systèmes d'information et la cybersécurité au niveau national. g. Incidents : tout fait qui compromet la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou traitées de toute autre manière, ou des services correspondants offerts par des réseaux et systèmes d'information ou accessibles par leur intermédiaire. h. Risque : toute circonstance ou tout événement raisonnablement identifiable ayant un impact négatif potentiel sur la sécurité des réseaux et des systèmes d'information. i. Sécurité des réseaux et des systèmes d'information : capacité de résistance des réseaux et des systèmes d'information face à toute action qui compromet la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou traitées, ou des services correspondants offerts par ces réseaux et systèmes d'information ou accessibles par leur intermédiaire. j. Services essentiels et importants : services qui sont nécessaires au maintien des fonctions sociales de base, de la santé, de la sécurité, du bien-être social et économique des citoyens, ou au fonctionnement efficace des entités de l'Administration publique, qui sont fournis au moyen de réseaux et de systèmes d'information, et qui peuvent être gravement affectés en cas de cyberincidents et, en conséquence, occasionner un grave préjudice social et économique à la Principauté d'Andorre. k. Vulnérabilité : déficience, susceptibilité ou erreur d'un actif, d'un système, d'une procédure ou d'un contrôle qui peut être exploitée par une cybermenace. l. Réseaux et systèmes d'information : i. Réseau de communications électroniques consistant en des systèmes de transmission et, le cas échéant, des équipements de commutation ou de routage et d'autres ressources, y compris les éléments de réseau qui ne sont pas actifs, qui permettent l'acheminement de signaux par câble, par voie hertzienne, par moyen optique ou par d'autres moyens électromagnétiques, y compris les réseaux satellitaires, les réseaux terrestres fixes (à commutation de circuits et de paquets, y compris Internet) et mobiles, les systèmes utilisant le réseau électrique, pour autant qu'ils servent à la transmission de signaux, les réseaux utilisés pour la radiodiffusion sonore et télévisuelle et les réseaux câblés de télévision, quel que soit le type d'information acheminée. ii.

Tout dispositif ou groupe de dispositifs interconnectés ou apparentés, dont un ou plusieurs éléments assurent, en exécution d'un programme, un traitement automatisé de données numériques. iii.

Données numériques stockées, traitées, récupérées ou transmises au moyen des éléments prévus aux alinéas précédents en vue de leur fonctionnement, de leur utilisation, de leur protection et de leur maintenance.

Article 2. Création et rattachement de l'ANC-AD et du CSIRT-AD

Sont créés l'Agence nationale de cybersécurité (ci-après « l'ANC-AD ») et l'Équipe de de réponse de référence de la Principauté d'Andorre pour le traitement des incidents de sécurité des réseaux et des systèmes d'information (ci-après « le CSIRT-AD »), qui sont rattachés au Secrétariat d'État à la Transition numérique et aux Projets stratégiques ou, à défaut, au secrétariat d'État ou au ministère auquel sont attribuées les compétences en matière de numérisation.

Article 3. Organisation interne de l'ANC-AD

1. L'ANC-AD est structurée hiérarchiquement en fonction des besoins organisationnels actuels et de ceux résultant de l'évolution de l'exercice ou du déploiement de ses fonctions.

2. Le secrétaire d'État à la Transition numérique et aux Projets stratégiques est le responsable de l'ANC-AD.

Article 4. Mission et domaines d'action de l'ANC-AD

1. L'ANC-AD est chargée de planifier, coordonner, gérer et contrôler la cybersécurité des réseaux et des systèmes d'information, en tant que pôle technologique de référence et de confiance, à l'avant-garde de la stratégie de cybersécurité du pays dans un sens national et global.

2. Sans préjudice des dispositions de toute autre réglementation qui lui est applicable, l'ANC-AD a pour mission :

a) Garantir la cybersécurité sur le territoire de la Principauté d'Andorre.

b) Protéger la sécurité publique dans le cyberespace, en anticipant et en combattant les infractions en matière de sécurité des réseaux et des systèmes d'information.

c) Être le point de référence générateur de confiance numérique pour les entités des administrations publiques et les entités privées, en particulier pour les secteurs stratégiques représentés par les entités fournisseuses de services essentiels et de services importants.

d) Coopérer au niveau national et au niveau international en tout ce qui est nécessaire à la sécurité des réseaux et des systèmes d'information de la Principauté d'Andorre.

3. Les objectifs que l'ANC-AD doit atteindre comprennent, à titre indicatif et non limitatif :

a) Favoriser le développement de la cybersécurité dans la Principauté d'Andorre en tant que pilier fondamental de la transformation numérique de la société.

b) Renforcer les capacités de la Principauté d'Andorre en matière de prévention et de gestion des problèmes liés à la sécurité des réseaux et des systèmes d'information et de réaction lorsque ces problèmes surviennent.

c) Promouvoir la prise en compte du critère de cybersécurité dans les processus de sélection et de mise en œuvre des technologies de l'information et de la communication.

d) Promouvoir l'atteinte et le maintien d'un niveau de sécurité suffisant des réseaux et des systèmes d'information ; en particulier, dans les entités fournisseuses de services essentiels et de services importants.

e) Établir le cadre stratégique général relatif à la sécurité numérique de la Principauté d'Andorre.

f) Définir un cadre normatif qui identifie les normes techniques et les standards de sécurité de l'information, tant nationaux qu'internationaux, qui s'appliquent spécifiquement à chaque entité fournissant des services essentiels ou importants.

g) Contribuer à la sensibilisation et à la prise de conscience proactive en matière de sécurité des réseaux et des systèmes d'information.

h) Atteindre un niveau élevé de confiance, en ce qui concerne la cybersécurité, dans les services essentiels et importants pour le pays.

i) Être le lien d'interlocution du Gouvernement avec d'autres instances représentatives de cybersécurité nationales et internationales.

j) Positionner le pays comme une référence en matière de sécurité dans le but d'attirer des entreprises et des investisseurs pour lesquels la disponibilité, la confidentialité et l'intégrité des données sont des nécessités pour le bon développement de leur activité.

Article 5. Fonctions de l'ANC-AD

Afin d'accomplir sa mission et ses objectifs, l'ANC-AD exerce, à titre indicatif et non limitatif, les fonctions suivantes au niveau national :

1. Identifier les services essentiels et importants, conjointement avec le CSIRT-AD et avec l'aval de la Commission de suivi.

2. Servir de point de contact unique avec les autorités compétentes en matière de cybersécurité d'autres pays, et entre ces autorités et le CSIRT-AD.

3. Promouvoir la formation professionnelle spécialisée en sécurité de l'information au sein des institutions publiques et privées, et favoriser l'attraction et la rétention des talents dans le domaine de la cybersécurité et la qualité de la gestion de la sécurité de l'information.

4. Offrir et apporter un soutien ou des conseils aux institutions publiques et privées qui le demandent pour développer leurs propres capacités de gestion des incidents, avec la collaboration du CSIRT-AD.

5. Promouvoir et approuver un cadre de lignes directrices et de normes techniques de sécurité pour les entités qui fournissent des services essentiels ou des services importants, afin d'offrir des lignes directrices permettant d'assurer une protection efficace face aux cybermenaces.

6. Établir les canaux qui favorisent la communication avec les entités qui fournissent des services essentiels et importants.

7. Créer les conditions nécessaires de confiance dans l'utilisation des canaux télématiques développés au sein des entités de l'Administration publique de la Principauté d'Andorre.

8. Coordonner la gestion des crises avec le Comité spécialisé de cybersécurité, la Police andorrane (Corps de police), l'Agence de protection des données (APDA) et le CSIRT-AD.

9. Renforcer les relations entre les entités qui ont des compétences en matière de cybersécurité, qu'il s'agisse d'entités privées ou de l'Administration publique.

10. Promouvoir l'application du cadre normatif.

11. Exercer la représentation de la Principauté d'Andorre auprès des organismes internationaux dans le domaine de la cybersécurité.

12. Notifier, sans retard injustifié, aux points de contact existants dans d'autres pays tout incident en matière de cybersécurité ayant un impact transfrontalier susceptible de leur porter préjudice ou de les affecter.

13. Communiquer aux autorités de police les incidents de sécurité susceptibles de constituer une éventuelle infraction.

14. Communiquer à l'APDA les incidents de sécurité liés aux données personnelles.

15. Assurer le suivi et l'analyse des tendances et des incidents de sécurité, et en tenir informé le Gouvernement d'Andorre.

16. Exercer les pouvoirs d'inspection et de sanction que, le cas échéant, les lois lui attribuent.

17. Émettre des avis sur des questions liées à la cybersécurité.

18. Promouvoir et partager des supports de sensibilisation et d'éducation à la sécurité de l'information adaptés au contexte du pays et partager des connaissances et des recherches avec l'Université d'Andorre et d'autres universités nationales ou d'autres pays.

19. Documenter ses politiques internes relatives à la sécurité de l'information et à la protection des données personnelles.

20. Émettre des rapports annuels sur l'état de l'application de la Stratégie nationale de cybersécurité et sur la situation de la cybersécurité dans la Principauté d'Andorre. Le rapport sur l'état de la situation doit inclure, entre autres aspects :

a) L'évolution des capacités de cybersécurité dans la Principauté d'Andorre.

b) Les ressources techniques, financières et humaines disponibles pour l'ANC-AD, d'autres autorités compétentes éventuelles et le CSIRT-AD.

c) Les politiques de cybersécurité et l'applicabilité des mesures de supervision et d'exécution en fonction des résultats issus du rapport précédent.

d) Un indice de cybersécurité qui fournit une évaluation du niveau de maturité des capacités de cybersécurité. Pour accomplir ces fonctions, l'ANC-AD peut déléguer au CSIRT-AD, au moyen de protocoles d'action, les fonctions qu'elle estime appropriées, ou se coordonner avec celui-ci.

Article 6. Commission de suivi

La Commission de suivi (ci-après, « la Commission ») est un organe qui supervise le fonctionnement de l'ANC-AD.

Article 7.

Composition de la Commission

1. La Commission se compose de cinq membres désignés en qualité de représentants des ministères chargés de l'économie, de l'intérieur, des affaires étrangères et du cabinet juridique du Gouvernement et de responsable de l'ANC-AD.

2. Occasionnellement, il peut être demandé à des représentants d'autres départements ou domaines de l'Administration publique ou du secteur privé, liés à l'objectif et aux fonctions de la Commission, d'assister à la Commission. Ces participants occasionnels apportent des informations à la Commission mais ne disposent pas du droit de décision sur les accords que l'organe peut adopter.

Article 8. Désignation des membres de la Commission

1. Les membres de la Commission sont désignés par les ministres responsables des ministères concernés.

2. La nomination est valable jusqu'à la nomination d'un nouveau représentant.

3. En cas d'empêchement ou de vacance prolongée d'un membre titulaire ou suppléant, il doit y être pourvu de la même manière que celle selon laquelle le membre dont le poste est vacant a été désigné.

Article 9. Fonctionnement de la Commission

1. La Commission est présidée par le responsable de l'ANC-AD ou par la personne à qui il délègue cette fonction.

2. La Commission se réunit au moins semestriellement. En outre, des réunions extraordinaires peuvent être convoquées chaque fois que cela est nécessaire, à la demande d'un ou de plusieurs membres de la Commission.

3. Tout membre de la Commission peut formaliser la demande de convocation d'une réunion extraordinaire. Cette demande doit être communiquée par écrit au responsable de l'ANC-AD avec la proposition d'ordre du jour. Une fois la demande reçue, le responsable de l'ANC-AD décide de convoquer la réunion en temps opportun.

4. La Commission est réputée valablement constituée lorsqu'au moins trois des membres qui la composent sont présents, sur première convocation. À défaut de quorum, elle se réunit sur seconde convocation dans le délai déterminé par les membres présents. Sur cette seconde convocation, elle peut délibérer sans condition de quorum. Les accords sont adoptés à la majorité simple des membres présents ayant droit de vote.

Article 10. Comité spécialisé de cybersécurité

1. Le Comité spécialisé de cybersécurité (ci-après, « le Comité ») est un organe collégial qui relève directement de l'ANC-AD, laquelle l'institue dans le but de renforcer les relations de coordination, de collaboration et de coopération entre les administrations publiques et entités de l'Administration publique ayant des compétences en matière de cybersécurité et les secteurs privés, et de faciliter la prise de décisions du Gouvernement lui-même au moyen de l'analyse, de l'étude et de la proposition d'initiatives tant au niveau national qu'au niveau international. De même, le Comité a pour objectif d'apporter son soutien à l'ANC-AD pour tout ce que l'ANC-AD elle-même requiert, ainsi que de proposer, sous la coordination de l'ANC-AD, les orientations stratégiques en matière de sécurité des réseaux et des systèmes d'information, et de les mettre en œuvre dans la pratique. Le Comité comprend :

a) Des experts du Gouvernement, y compris la Police andorrane (Corps de police), et d'autres administrations publiques telles que les comuns.

b) Des représentants du secteur privé.

c) Des représentants des entités de services essentiels et de services importants.

d) D'autres représentants dont l'intervention est jugée nécessaire par l'ANC-AD ou le ministère chargé de la présidence, en fonction des circonstances.

2. Les principales fonctions du Comité, à titre indicatif et non limitatif, sont les suivantes :

a) Apporter son soutien à la prise de décisions de l'ANC-AD en matière de cybersécurité au moyen de l'analyse, de l'étude et de la proposition d'initiatives tant au niveau national qu'au niveau international.

b) Renforcer les relations de coordination, de collaboration et de coopération entre les administrations publiques et entités de l'Administration publique ayant des compétences liées au domaine de la cybersécurité et les secteurs privés.

c) Contribuer à l'élaboration de propositions normatives en matière de cybersécurité afin qu'elles soient examinées par l'ANC-AD et, le cas échéant, par le Gouvernement.

d) Apporter son soutien à l'ANC-AD dans sa fonction de vérification du degré de respect de la Stratégie de sécurité nationale pour ce qui concerne la cybersécurité, et en promouvoir et impulser les révisions.

e) Vérifier le degré de respect de la Stratégie nationale de cybersécurité et en informer l'ANC-AD.

f) Procéder à l'évaluation des risques et des menaces, analyser les scénarios de crise possibles, étudier leur évolution possible, élaborer et tenir à jour les plans de réponse et formuler des directives pour mener des exercices de gestion de crise dans le domaine de la cybersécurité, ainsi qu'évaluer les résultats de leur exécution, le tout sous la coordination de l'ANC-AD et en étroite collaboration avec les organes et les autorités directement compétents.

g) Contribuer à la disponibilité des ressources existantes et réaliser des études et des analyses sur les moyens et les capacités des administrations publiques et entités de l'Administration publique et des organes et autorités compétents concernés afin de répertorier les mesures de réponse les plus efficaces en fonction des moyens disponibles et des missions à entreprendre, le tout sous la coordination de l'ANC-AD et avec la collaboration des organes et des autorités directement compétents dans le domaine de la cybersécurité.

h) Faciliter la coordination opérationnelle de l'ANC-AD avec les organes et les autorités compétents lorsque surviennent des situations susceptibles d'affecter la cybersécurité.

3. Pour accomplir ses fonctions, le Comité bénéficie du soutien, outre de l'ANC-AD, du CSIRT-AD et de tous les autres éventuels acteurs pertinents, de caractère public ou privé, ayant des compétences en matière de cybersécurité, ou lorsque leurs contributions sont essentielles pour élever les niveaux de sécurité de la Principauté d'Andorre.

4. Le Comité se réunit à l'initiative de son président au moins tous les deux mois ou aussi souvent que le président le juge nécessaire compte tenu des circonstances qui affectent la cybersécurité de la Principauté d'Andorre.

5. Le détail du régime de fonctionnement du Comité est établi par un règlement intérieur.

Article 11. Rattachement du CSIRT-AD

1. Le CISRT-AD relève directement du responsable de l'ANC-AD.

2. Le CSIRT-AD reçoit des instructions et des orientations de l'ANC-AD, et il est supervisé par l'ANC-AD elle-même.

Article 12. Mission et objectifs du CSIRT-AD

1. Le CSIRT-AD est le principal organe compétent pour coordonner la réponse et répondre aux incidents de sécurité dans les réseaux et les systèmes d'information qui affectent l'Administration publique, les organismes publics et privés de toute nature établis ou disposant d'un établissement stable dans la Principauté d'Andorre, ainsi que les personnes physiques qui se trouvent dans la Principauté. Ce qui est principalement visé par la création du CSIRT-AD est de disposer des moyens et des ressources nécessaires pour pouvoir :

a) Coordonner de manière centralisée les questions relatives aux incidents de sécurité de l'information.

b) Prévenir les incidents de sécurité de l'information et réagir lorsqu'ils surviennent.

c) Apporter un soutien aux personnes affectées qui ont besoin de se remettre d'incidents de sécurité de l'information et les assister.

2. Sans préjudice de ce que prévoit toute autre réglementation qui lui est applicable, la mission du CSIRT-AD consiste principalement à :

a) Être un mécanisme permettant de répondre systématiquement aux incidents de sécurité dans les réseaux et les systèmes d'information et d'adopter les actions les plus appropriées pour en atténuer les effets.

b) Promouvoir la sécurité des réseaux et des systèmes d'information, en fournissant un service de surveillance, de détection, d'alerte et de réponse aux incidents de sécurité dans les réseaux et les systèmes d'information.

c) Coopérer au niveau national et au niveau international dans l'identification et la résolution des incidents de sécurité dans les réseaux et les systèmes d'information et dans tout ce qui est nécessaire à la sécurité des réseaux et des systèmes d'information dans la Principauté d'Andorre en général.

3. En ce qui concerne les objectifs, le principal objectif du CSIRT-AD est de minimiser et de contrôler les dommages causés par les incidents de sécurité dans les réseaux et les systèmes d'information, de fournir des réponses et des rétablissements efficaces face à ces incidents, et d'œuvrer pour éviter que de futurs incidents ne se produisent.

4. De même, parmi les autres objectifs du CSIRT-AD à atteindre figurent, à titre indicatif et non limitatif :

a) Centraliser la coordination proactive de la prévention et de l'atténuation des menaces de sécurité dans les réseaux et les systèmes d'information qui représentent un risque plus élevé pour la Principauté d'Andorre.

b) Faire fonctionner une équipe d'intervention hautement spécialisée et capable de prendre en charge la prévention de tout type d'incidents de sécurité dans les réseaux et les systèmes d'information, et de déterminer l'impact, la portée et la nature des incidents.

c) Diffuser des informations sur les risques, les menaces, les vulnérabilités et les attaques, ainsi qu'établir les stratégies d'atténuation correspondantes au moyen d'alertes, d'avis, de pages web ou d'autres publications techniques.

d) Servir les parties intéressées en tant que centre national d'excellence et d'expertise en matière de réponse aux incidents de sécurité dans les réseaux et les systèmes d'information.

e) Conseiller en matière de sécurité des réseaux et des systèmes d'information afin d'améliorer les capacités de réponse face aux incidents dans ce domaine.

f) Se coordonner avec des tiers et apporter un soutien dans la mise en œuvre des stratégies de réponse aux incidents de sécurité dans les réseaux et les systèmes d'information.

g) Tenir un référentiel de données et d'activités relatives aux incidents de sécurité dans les réseaux et les systèmes d'information connexes aux fins de la corrélation, des tendances et du développement des enseignements tirés de l'expérience à l'intérieur et à l'extérieur de notre pays, afin d'améliorer ainsi la position de la sécurité des réseaux et des systèmes d'information et les processus de gestion des incidents dans ce domaine qui se produisent dans la Principauté d'Andorre.

Article 13. Fonctions du

CSIRT-AD Afin d'accomplir sa mission et ses objectifs, le CSIRT-AD exerce, à titre indicatif et non limitatif, les fonctions suivantes à l'échelle nationale :

1. Répondre aux incidents de sécurité dans les réseaux et les systèmes d'information.

2. Superviser la résolution des incidents de sécurité dans les réseaux et les systèmes d'information.

3. Diffuser des alertes imminentes, des avis et des informations sur les incidents de sécurité dans les réseaux et les systèmes d'information, y compris les attaques et les failles de sécurité qui ont été découvertes dans les systèmes et les applications les plus utilisés dans la Principauté d'Andorre lorsque ces systèmes et applications présentent un niveau élevé de criticité, ainsi que d'éventuelles recommandations relatives à des virus extrêmement répandus.

4. Notifier à l'ANC-AD les incidents de sécurité notoires dans les réseaux et les systèmes d'information qui surviennent dans les réseaux et les systèmes d'information et qui affectent ou sont susceptibles d'affecter des services essentiels de la Principauté ou d'autres pays.

5. Effectuer des analyses dynamiques de connaissance de la situation en matière d'incidents de sécurité dans les réseaux et les systèmes d'information.

6. Procéder, à la demande d'entités, à des explorations proactives des réseaux et des systèmes d'information utilisés dans la fourniture des services essentiels ou susceptibles d'affecter des services essentiels pour la Principauté ou d'autres pays.

7. Fournir des informations sur les incidents de sécurité dans les réseaux et les systèmes d'information et les associer aux recommandations respectives pour y répondre.

8. Former des ressources et partager des connaissances et des recherches en matière de sécurité des réseaux et des systèmes d'information avec l'Université d'Andorre et d'autres universités de la Principauté ou d'autres pays.

9. Collaborer activement avec l'ANC-AD et lui servir de soutien, y compris la coopération pour établir une stratégie nationale de cybersécurité.

10. Les autres fonctions que lui attribue toute autre réglementation en vigueur à tout moment ou que lui délègue l'ANC-AD.

Article 14. Organisation interne du CSIRT-AD

Le CSIRT-AD est structuré hiérarchiquement selon les besoins organisationnels actuels et ceux résultant de l'évolution dans l'exercice ou le déploiement de ses fonctions conformément aux directives de l'ANC-AD.

Article 15. Collaboration externe

1. L'ANC-AD et le CSIRT-AD peuvent conclure des accords de collaboration avec toute personne morale, publique ou privée, dont les objectifs et les activités présentent un intérêt pour les politiques de cybersécurité et pour le développement des fonctions de l'ANC-AD et du CSIRT-AD en général.

2. De même, l'ANC-AD et le CSIRT-AD peuvent conclure des accords de collaboration avec d'autres agences ou organismes similaires d'autres États ou d'organisations internationales, ainsi qu'avec toute entité publique étrangère dont les objectifs et les activités présentent un intérêt pour les politiques de cybersécurité.

3. La formalisation des accords de collaboration mentionnés au présent article requiert l'autorisation préalable du Gouvernement.

Disposition additionnelle Le.

ministère des Finances est habilité à procéder aux adaptations budgétaires nécessaires pour exécuter ce qui est prévu par le présent Décret.

Disposition finale Le.

présent Décret entre en vigueur le jour suivant sa publication au Bulletin officiel de la Principauté d'Andorre.