Article 15. Obligation de notification

Article 15. Obligation de notification

1. Les entités qui fournissent des services essentiels ou importants doivent notifier au CSIRT-AD, qui à son tour le fera auprès de l'autorité nationale compétente dont il relève et en tout état de cause auprès de l'ANC-AD, les incidents qui ont ou peuvent avoir des effets significatifs sur ces services conformément à ce qui est établi par voie réglementaire, ainsi que toute information permettant à l'autorité nationale compétente ou au CSIRT-AD de déterminer les répercussions transfrontières que l'incident peut avoir.

Cette notification doit être effectuée sans retard et en tout état de cause dans un délai de soixante-douze heures à compter de sa détection.

Si, au moment de notifier l'incident ou l'incident possible, elles ne disposent pas encore d'informations relatives à sa répercussion sur des services essentiels ou importants, elles peuvent omettre ces informations, avec l'engagement de les transmettre dans les meilleurs délais, et à l'issue d'un délai de soixante-douze heures à compter de la notification de l'incident, l'entité essentielle ou importante qui n'a pas réuni les informations pertinentes doit adresser au CSIRT-AD un rapport justificatif des actions qu'elle a menées pour obtenir ces informations et des motifs pour lesquels il n'a pas été possible de les obtenir.

Le cas échéant, ces entités doivent notifier, sans retard injustifié, aux destinataires de leurs services susceptibles d'être affectés par l'incident, les mesures ou solutions que ces destinataires peuvent appliquer en réponse à celui-ci.

2. Les entités de services essentiels ou importants doivent notifier à l'autorité nationale compétente, par l'intermédiaire du CSIRT-AD et sans retard, toute cybermenace significative pour les services essentiels ou importants qui, à leur avis, peut aboutir à un incident significatif conformément à ce qui est établi par voie réglementaire. Le cas échéant, ces entités doivent notifier, sans retard injustifié, aux destinataires de leurs services susceptibles d'être affectés par une cybermenace significative, les mesures ou solutions que ces destinataires peuvent appliquer en réponse à la menace. Le cas échéant, les entités notifient aux destinataires la menace elle-même.

3. Une menace significative est celle qui peut donner lieu à un incident significatif, et un incident est considéré comme significatif si :

a) L'incident a causé ou peut causer des perturbations opérationnelles ou des préjudices économiques substantiels pour l'entité concernée ; ou

b) L'incident a affecté ou peut affecter d'autres personnes physiques ou morales en causant des préjudices matériels ou moraux considérables en ce qui concerne : i. Le nombre d'utilisateurs affectés par la perturbation du service essentiel et sa part de marché. ii. La durée de l'incident. iii. L'absence d'alternatives pour maintenir un niveau suffisant de fourniture du service. iv. L'étendue ou les zones géographiques affectées ou susceptibles d'être affectées par l'incident. v. Le degré de perturbation du fonctionnement du service. vi. La portée de l'impact sur des activités économiques et sociales cruciales. vii. L'importance des systèmes affectés ou des informations affectées par l'incident pour la fourniture du service essentiel. viii. La dépendance d'autres secteurs stratégiques à l'égard du service et la répercussion, en termes de degré et de durée, de l'incident sur les activités sociales et économiques ou sur la sécurité publique. ix. L'atteinte à la réputation. Des facteurs spécifiques au secteur peuvent être ajoutés par voie réglementaire pour déterminer si un incident peut avoir des effets perturbateurs significatifs.

4. En ce qui concerne les notifications visées aux paragraphes 1 et 2, les entités concernées doivent présenter au CSIRT-AD :

a) Une notification initiale sans retard injustifié et en tout état de cause dans un délai de vingt-quatre heures à compter de la prise de connaissance de l'incident, dans laquelle il est indiqué, le cas échéant, s'il y a lieu de supposer que l'incident résulte d'une action illicite ou malveillante ; b)Toutes les notifications intermédiaires qui s'avèrent nécessaires ou que le CSIRT-AD demande afin de mettre à jour ou de compléter les informations figurant dans la notification initiale et d'informer sur l'évolution de l'incident tant que celui-ci n'est pas résolu ; et

c) Un rapport final, au plus tard un mois après la présentation de la notification initiale prévue à la lettre a), dans laquelle figurent au moins les éléments suivants : i. une description détaillée de l'incident, de sa gravité et de son impact ; ii. le type de menace ou la cause principale qui a probablement déclenché l'incident ; et iii. les mesures d'atténuation appliquées et en cours.

5. Dans des cas dûment justifiés, tels que des cas de force majeure, l'entité peut ne pas respecter les délais établis aux paragraphes 1 et 2.

6. Les notifications effectuées en vertu du présent article doivent inclure les informations permettant de déterminer tout effet transfrontière de l'incident.

7. Le CSIRT-AD fournit, dans un délai de vingt-quatre heures après la réception de la notification initiale visée au paragraphe 4.a), une réponse à l'entité qui a effectué la notification, comprenant notamment ses commentaires initiaux sur l'incident et, à la demande de l'entité, des orientations sur l'application d'éventuelles mesures d'atténuation. Le CSIRT-AD apporte un soutien technique supplémentaire lorsque l'entité concernée le demande. Lorsqu'il est soupçonné que l'incident est de nature délictueuse, le CSIRT-AD fournit également des orientations aux fins de signaler l'incident aux autorités compétentes. L'obligation de notification d'incidents prévue au présent article ne dispense pas de l'accomplissement du devoir général qu'a l'entité qui effectue la notification de dénoncer auprès des autorités compétentes les faits susceptibles de revêtir un caractère délictueux.

8. Lorsque la connaissance du public est nécessaire pour prévenir un incident ou faire face à un incident en cours, ou lorsque la divulgation de l'incident est dans l'intérêt public, l'ANC-AD, avec le soutien du CSIRT-AD, peut informer le public de l'incident, après consultation de l'entité concernée, ou exiger de l'entité qu'elle le fasse si celle-ci n'a pas agi préalablement en ce sens.

9. Les notifications des entités essentielles doivent porter sur les incidents qui affectent les infrastructures critiques, les réseaux et les systèmes d'information utilisés pour la fourniture des services essentiels, qu'il s'agisse indifféremment d'infrastructures critiques, de réseaux et de systèmes propres ou de fournisseurs externes.

10. Les entités essentielles ou importantes doivent effectuer les notifications qui leur incombent en vertu du présent chapitre par l'intermédiaire du Délégué à la sécurité de l'information (DSI) qu'elles ont désigné conformément aux dispositions de l'article 18.

11. La notification d'un incident conformément aux dispositions de la présente Loi n'exclut ni ne remplace l'obligation de notification que les entités doivent effectuer auprès d'autres organismes conformément à leur réglementation spécifique.

12. Lorsque la notification d'incidents ou leur gestion, leur analyse ou leur résolution requiert la communication de données à caractère personnel, leur traitement doit être limité aux données strictement adéquates, pertinentes et limitées au regard de la finalité poursuivie dans chaque cas. Les communications de données à caractère personnel à ces fins sont réputées autorisées dans les cas suivants :

a) Entre les entités essentielles ou importantes et l'ANC-AD, le CSIRT-AD ou les autorités nationales compétentes.

b) Entre le CSIRT-AD et l'ANC-AD.

c) Entre le CSIRT-AD et d'autres CSIRT désignés au niveau international.

d) Entre l'ANC-AD et d'autres autorités compétentes internationales.

e) Entre les autorités nationales compétentes et l'ANC-AD.

f) Entre les autorités nationales compétentes et le CSIRT-AD.