Article 13. Gestion des risques de cybersécurité

Article 13. Gestion des risques de cybersécurité

1. Les entités essentielles et importantes, et tout particulièrement celles qui, en plus d'être essentielles, sont critiques, doivent adopter les mesures techniques et organisationnelles adéquates et proportionnées pour établir un processus de gestion des risques qui se présentent, afin d'atteindre un niveau élevé de résilience des infrastructures critiques et de protection des réseaux et des systèmes d'information qu'elles utilisent pour la prestation de leurs services essentiels et importants au regard des risques qui se présentent. Parmi les mesures de gestion du risque doivent figurer celles dont la finalité est de déterminer tout risque d'incidents, de prévenir, de détecter et de gérer les incidents et d'en réduire les répercussions. Ce processus de gestion des risques doit comprendre la sécurité des données stockées, transmises et traitées et, dans le cas des entités essentielles, doit tenir compte de tous les risques pertinents relevés par les autorités nationales compétentes conformément à l'évaluation des risques visée à l'article 6.4.b), ainsi que de toutes les dépendances avec d'autres secteurs et avec des entités critiques ou équivalentes à des entités critiques.

2. L'effort consacré par les entités à la gestion des risques de cybersécurité doit être proportionné aux risques que présentent le réseau et les systèmes d'information qui participent à l'offre de leurs services essentiels et importants, et tenir compte de l'état de la technique. Parmi les critères permettant d'apprécier la proportionnalité des efforts en matière de gestion des risques doivent être pris en considération, au minimum, les suivants :

a) La mesure dans laquelle les entités essentielles et importantes utilisent des services, systèmes ou produits TIC critiques et en dépendent ;

b) L'importance de services, systèmes ou produits TIC critiques spécifiques pour l'exercice de fonctions critiques ou sensibles, en particulier le traitement de données à caractère personnel ;

c) La disponibilité de services, systèmes ou produits TIC de substitution ;

d) La résilience de la chaîne d'approvisionnement globale de services, systèmes ou produits TIC face aux perturbations ; et

e) Dans le cas des services, systèmes ou produits TIC émergents, le poids qu'ils peuvent avoir à l'avenir pour les activités des entités.

3. Parmi les mesures de gestion des risques qui se présentent doivent figurer, au moins, les éléments suivants :

a) La politique de sécurité des infrastructures critiques, des réseaux et des systèmes d'information nécessaires à la prestation de services essentiels ou importants ;

b) La politique de gestion des risques ;

c) La gestion des incidents (prévention, détection et réponse aux incidents) ;

d) La continuité des activités et la gestion de crises ;

e) La sécurité de la chaîne d'approvisionnement, y compris les aspects de sécurité relatifs aux relations entre chaque entité et ses fournisseurs ou prestataires de services tels que, par exemple, les fournisseurs de services de stockage et de transformation ou d'analyse de données ou de services de sécurité gérés ;

f) La sécurité de l'acquisition, du développement et de la maintenance des infrastructures critiques, des réseaux et des systèmes d'information, y compris la gestion et la divulgation des vulnérabilités ;

g) Les politiques et les procédures (essais et audits) permettant d'évaluer l'efficacité des mesures de gestion des risques de cybersécurité ; et

h) L'utilisation de la cryptographie et du chiffrement.

4. Les entités doivent tenir compte des vulnérabilités propres à chaque fournisseur et prestataire de services ainsi que de la qualité globale des produits et des pratiques en matière de cybersécurité de leurs fournisseurs et prestataires de services, y compris leurs procédures de développement sécurisé.

5. Lorsqu'une entité constate que ses services ou missions ne sont pas conformes aux conditions requises établies aux paragraphes 1, 2 et 3, elle doit, dans les meilleurs délais, adopter toutes les mesures correctrices nécessaires pour que le service ou la mission en question, satisfasse à ces conditions requises.