Article 12. Obligations de cybersécurité des entités essentielles et importantes

Article 12. Obligations de cybersécurité des entités essentielles et importantes

1. Les entités essentielles et importantes soumises au champ d'application de la présente Loi doivent adopter des mesures techniques et organisationnelles résultant de la gestion des risques qui se posent en relation avec la sécurité des infrastructures critiques, ainsi que des réseaux et des systèmes d'information utilisés dans la prestation des services essentiels et importants, qu'il s'agisse d'infrastructures critiques, de réseaux et de systèmes propres ou de fournisseurs externes.

De même, elles doivent tenir compte, en particulier, de la dépendance des infrastructures critiques, des réseaux et des systèmes d'information à l'égard de la continuité des services ou des fournitures contractés par l'entité, ainsi que des interactions qu'elles réalisent avec des infrastructures, des réseaux et des systèmes d'information de tiers, et des risques découlant du traitement des données à caractère personnel, conformément aux dispositions de la réglementation andorrane en vigueur à tout moment en matière de protection des données à caractère personnel et, le cas échéant, de la réglementation de l'Union européenne en vigueur à tout moment en matière de protection des données à caractère personnel.

Sans préjudice de leur devoir de notifier les incidents conformément aux dispositions de l'article 15, les entités essentielles et importantes doivent prendre les mesures adéquates et proportionnées qui leur sont applicables conformément aux prévisions du Schéma national de sécurité auquel se réfère la présente Loi, sans préjudice de la possibilité de les compléter par des mesures issues d'autres normes reconnues au niveau international.

2. En outre, les entités critiques doivent prendre des mesures techniques et organisationnelles adéquates et proportionnées pour garantir la résilience de leurs infrastructures critiques, y compris les mesures nécessaires pour :

a) Éviter que des incidents ne se produisent, y compris au moyen de mesures de réduction du risque de catastrophes et d'adaptation climatique ;

b) Garantir une protection physique adéquate des zones, des installations et des autres infrastructures sensibles, y compris les clôtures, les barrières, les outils et les procédures de contrôle périmétrique, ainsi que les équipements de détection et les contrôles d'accès ;

c) Résister aux conséquences des incidents et les atténuer, y compris par la mise en œuvre de procédures et de protocoles de gestion des risques et des crises et de procédures d'alerte ;

d) Se rétablir à la suite des incidents, y compris par des mesures de continuité des activités et l'identification de chaînes d'approvisionnement alternatives ;

e) Garantir une gestion adéquate de la sécurité des employés, y compris l'établissement de catégories de personnel exerçant des fonctions critiques en raison de leurs droits d'accès à des zones, des installations et d'autres infrastructures sensibles et à des informations sensibles, au sujet desquelles il convient de présenter à l'autorité nationale compétente un rapport comprenant : i. L'identité de la personne, établie sur la base de preuves documentaires ; ii. Tout antécédent pénal portant au moins sur les cinq années précédentes, et pendant un maximum de dix ans, relatif à des infractions pertinentes pour le recrutement à un poste spécifique, dans la Principauté d'Andorre ou dans des pays tiers de résidence au cours de cette période ; iii. Les emplois antérieurs, la formation et toute absence de formation ou d'emploi dans le curriculum vitae de la personne pendant, au minimum, les cinq années précédentes et pendant un maximum de dix ans ; et iv. Toute autre information objective disponible pouvant être nécessaire pour déterminer l'aptitude de la personne intéressée à travailler au poste pour lequel l'entité critique a sollicité des informations.

f) Sensibiliser le personnel concerné aux mesures mentionnées aux lettres

a) à e).

3. Les mesures adoptées doivent être énumérées et formalisées dans une déclaration d'applicabilité des mesures de sécurité que les entités doivent transmettre à l'autorité nationale compétente dans un délai de six mois à compter de l'identification de l'entité en tant qu'entité essentielle ou importante, conformément à l'article 10, ou à compter de l'entrée en vigueur du Schéma national de sécurité, la date la plus tardive étant retenue, laquelle fera l'objet d'une révision au moins tous les trois ans.

4. Les entités essentielles et importantes doivent adopter des politiques de sécurité des infrastructures critiques, des réseaux et des systèmes d'information nécessaires pour fournir leurs services essentiels et importants, compte tenu des principes de sécurité intégrale, de gestion des risques, de prévention, de réponse et de rétablissement, de lignes de défense, de réévaluation périodique et de séparation des tâches. Les politiques de sécurité des infrastructures critiques, des réseaux et des systèmes d'information doivent contenir, au minimum, les éléments suivants :

a) Analyse et gestion des risques.

b) Gestion des risques liés aux tiers ou aux fournisseurs.

c) Catalogue de mesures de sécurité, organisationnelles, technologiques et physiques.

d) Gestion du personnel et professionnalisme.

e) Acquisition de produits ou de services de sécurité.

f) Détection et gestion des incidents.

g) Plans de rétablissement et de garantie de la continuité des opérations.

h) Amélioration continue.

i) Interconnexion des systèmes.

j) Enregistrement de l'activité des utilisateurs.

5. Les autorités nationales compétentes peuvent établir des obligations spécifiques pour garantir la sécurité des infrastructures critiques, des réseaux et des systèmes d'information utilisés par les entités qui fournissent des services essentiels ou importants. De même, elles peuvent édicter des instructions techniques et des guides d'orientation pour détailler le contenu de ces instructions et guides.

6. Pour l'élaboration de dispositions réglementaires, d'instructions et de guides, l'autorité nationale compétente tient compte de toutes les obligations sectorielles et conditions requises en matière de sécurité de l'information auxquelles sont soumis les opérateurs auxquels s'appliquent les dispositions de la présente Loi.