Article 3. Procédure d'homologation et de suivi des prestataires de services de numérisation qualifiée

Article 3. Procédure d'homologation et de suivi des prestataires de services de numérisation qualifiée

1. Les entités publiques ou privées, pour devenir prestataires de services de numérisation qualifiée, doivent être homologuées par l'une des entités publiques ou privées de certification accréditées par le Gouvernement ou, à défaut, par la Commission nationale d'accréditation des services de confiance (CNAC), moyennant le respect des conditions requises suivantes : a. Justification de la sécurité de la gestion de l'information au sein de leur organisation au moyen d'un certificat de conformité à la norme ISO 27001 ou à une autre norme internationale de sécurité équivalente et en vigueur au moment de produire la certification, pour autant qu'elle inclue également dans son champ les processus relatifs à la numérisation de documents. b. Justification de la mise en place d'un système de gestion opérationnelle de la numérisation qualifiée par la présentation d'un rapport d'audit élaboré par un tiers indépendant conformément aux dispositions du présent Décret, afin de garantir l'authenticité des copies ainsi que leur lisibilité, leur confidentialité et leur intégrité, ainsi que, en ce qui concerne la conservation électronique du document, de garantir l'intégrité, la confidentialité et la disponibilité des documents résultant du processus et des originaux.

2. Pour délivrer l'homologation, les entités de certification et la CNAC doivent tenir compte des éléments suivants : a. L'actualité et la portée de l'accréditation de l'organisme de certification du système de sécurité de l'information spécifique aux processus de numérisation. b. L'opportunité, la portée et la validité de la certification obtenue par le demandeur de l'homologation. c. Que le rapport d'audit attestant la mise en place du système visé au paragraphe 1. b du présent article indique que l'audit est réalisé selon le présent Décret. d. La couverture de l'audit de certification fondée sur le rapport d'audit et, le cas échéant, la correction des exceptions soulevées au cours de l'audit.

3. Les prestataires de services de numérisation qualifiée ont le droit d'utiliser dans leur dénomination, raison sociale ou nom commercial le sigle PSDQ.

4. La CNAC peut procéder à des vérifications complémentaires à tout moment dans le cadre de l'octroi ou du maintien de la qualité de prestataire de services de numérisation qualifiée. À cet effet, la Commission peut faire appel à l'entité de certification ou d'audit pour effectuer ces vérifications.

5. Les entités homologuées sont inscrites sur les listes de confiance électronique tenues par le Gouvernement, qui sont publiées par un canal sécurisé en y apposant un cachet électronique approprié pour le traitement automatique.

6. Dans le cadre d'un dossier de sanction, la CNAC peut suspendre à titre conservatoire l'homologation et retirer l'entité de la liste de confiance électronique tenue par le Gouvernement si elle constate toute circonstance, tout événement ou tout incident susceptible de provoquer ou d'avoir provoqué une infraction prévue par le régime de sanctions de la Loi 35/2014, du 27 novembre, de certification et de confiance électronique entraînant la suspension de l'exercice de l'activité de prestation de services de confiance électronique en Andorre, sans préjudice de la responsabilité civile ou pénale éventuelle qui peut en découler.

7. Conformément aux dispositions du paragraphe précédent, le prestataire de services de numérisation qualifiée est tenu de communiquer sans délai à la CNAC la découverte de tout événement, de toute circonstance ou de tout incident susceptible d'enfreindre ou d'avoir enfreint la Loi 35/2014, du 27 novembre, de certification et de confiance électronique, le présent Décret ou la réglementation en vigueur applicable.

8. Le prestataire de services de numérisation qualifiée doit communiquer sa suspension ou son retrait de la liste des prestataires de services de confiance électronique aux personnes titulaires des documents auxquels a été appliquée la procédure de numérisation qualifiée.