Article 14. Obligation de résoudre les incidents, d'information et de collaboration mutuelle

Article 14. Obligation de résoudre les incidents, d'information et de collaboration mutuelle

1. En matière de gestion des incidents de sécurité, de détection de vulnérabilités ou de cybermenaces, les entités essentielles et importantes doivent :

a) Gérer et résoudre les incidents de sécurité qui affectent les infrastructures critiques, les réseaux ou les systèmes d'information utilisés pour fournir leurs services essentiels ou importants. S'il s'agit d'infrastructures, de réseaux ou de systèmes externes, il doit être garanti que les fournisseurs externes respectent l'application des mesures nécessaires pour garantir la sécurité.

b) Solliciter l'avis ou le soutien spécialisé du CSIRT-AD pour faire face aux incidents, vulnérabilités ou cybermenaces survenus et, en tout état de cause, se conformer aux indications reçues de la part du CSIRT-AD pour résoudre les risques, en atténuer les effets et rétablir les systèmes affectés. Dans ce cas, les indications émises par le CSIRT-AD pour atténuer les effets et rétablir les systèmes affectés sont d'application contraignante.

c) Appliquer leur politique de gestion de la sécurité des infrastructures critiques, des réseaux et des systèmes d'information face à la survenance de tout incident affectant la prestation de leurs services essentiels et importants, ainsi que l'ensemble des obligations et recommandations émises par l'autorité nationale compétente ou le CSIRT-AD.

2. Les entités essentielles et importats doivent fournir au CSIRT-AD et à l'autorité nationale compétente concernée toutes les informations qui leur sont demandées pour l'accomplissement des fonctions que leur confie la présente Loi. En particulier, des informations complémentaires peuvent être demandées aux entités essentielles ou importantes pour analyser la nature, les causes et les effets des incidents notifiés, ainsi que pour élaborer des statistiques et réunir les données nécessaires à l'élaboration des rapports annuels prévus à l'article 25.4.e). Lorsque les circonstances le permettent, l'autorité nationale compétente ou le CSIRT-AD fournit aux entités essentielles ou importantes affectées par des incidents les informations découlant de son suivi qui peuvent leur être utiles, en particulier, pour résoudre l'incident.