Article 18. Délégué à la Sécurité de l'Information

Article 18. Délégué à la Sécurité de l'Information

1. Les entités essentielles et les entités importantes, par l'intermédiaire de leurs organes de direction, doivent désigner une personne physique, une unité ou un organe collégial, afin qu'il agisse en tant que Délégué à la Sécurité de l'Information (DSI) et soit le point de contact et de coordination technique entre l'entité qui l'a désigné et l'autorité nationale compétente et le CSIRT-AD.

2. Lorsque le DSI est une unité ou un organe collégial, une personne physique le représentant est désignée.

3. En tout état de cause, les entités essentielles ou importantes doivent également désigner un suppléant du DSI afin qu'il assume ses fonctions en cas d'absence, de vacance ou de maladie.

4. Les coordonnées du DSI en fonctions doivent être notifiées à l'autorité compétente dans un délai maximal d'un mois à compter de la date de la désignation correspondante. La même procédure est suivie en cas de modification des coordonnées, par exemple en raison de cessations de fonctions ou de nominations, celles-ci devant être notifiées à l'autorité nationale compétente, qui à son tour les communique immédiatement au CSIRT-AD, dans un délai maximal d'un mois à compter de la date de la modification.

5. Le DSI agit en tant que point de contact pour notifier les incidents conformément à l'article 15, ainsi que pour gérer ce qui est approprié au sein de l'entité qui l'a nommé, conformément aux articles 13 et 14.

6. En outre, à titre indicatif et non limitatif, le DSI exerce, sous la responsabilité de l'entité qui l'a nommé, les fonctions suivantes :

a) Élaborer et proposer, conformément aux dispositions de l'article 12, des politiques de sécurité, comprenant une proposition de mesures techniques et organisationnelles, adéquates et proportionnées, pour prévenir et gérer les risques éventuels relatifs à la sécurité des infrastructures critiques, des réseaux et des systèmes d'information nécessaires à la fourniture des services essentiels ou importants, afin de réduire au minimum les effets des cyberincidents qui affectent lesdits services.

b) Élaborer le document de déclaration d'applicabilité des mesures de sécurité en relation avec le Schéma National de Sécurité de la Principauté d'Andorre.

c) Superviser l'application des politiques de sécurité, des protocoles et des procédures au sein de l'entité, superviser leur efficacité et établir des périodes de contrôle.

d) Promouvoir la formation et l'application de bonnes pratiques en matière de sécurité des infrastructures critiques, des réseaux et des systèmes d'information nécessaires à la fourniture des services essentiels ou importants qu'offre l'entité qui les a désignés comme DSI.

e) Transmettre au CSIRT-AD, qui à son tour informe l'autorité nationale compétente, sans retard injustifié, les notifications d'incidents, de vulnérabilités ou de cybermenaces ayant des effets perturbateurs sur la prestation des services essentiels ou importants.

f) Recevoir, interpréter, superviser et transmettre l'application des instructions et des guides émanant de l'autorité nationale compétente ou du CSIRT-AD.

g) Recueillir, préparer et fournir des informations ou de la documentation à l'autorité nationale compétente ou au CSIRT-AD lorsque ceux-ci le demandent ou de sa propre initiative.

h) Échanger des informations pertinentes en matière de cybersécurité directement avec les DSI d'autres entités essentielles et importantes autorisées par l'entité qui l'a nommé, ou au moyen des canaux de communication que l'ANC-AD peut établir à cet effet, et en particulier des informations relatives aux cybermenaces, aux vulnérabilités, aux indicateurs de compromission, aux déclarations d'applicabilité, aux tactiques, techniques et procédures, aux alertes de cybersécurité et aux outils de configuration, pour autant que cet échange d'informations : i. ait pour objectif de prévenir les cybermenaces éventuelles, de les décourager, de les détecter, et de répondre aux incidents ou de les atténuer ; ii. renforce le niveau de cybersécurité, en particulier en sensibilisant aux cybermenaces, limite ou empêche la capacité de telles menaces à se propager, ou soutienne une série de capacités de défense, de correction et de divulgation des vulnérabilités, de techniques de détection des menaces, de stratégies d'atténuation ou d'étapes de réponse et de rétablissement. Cet échange est mis en œuvre au moyen de mécanismes d'échange d'informations qui respectent la nature éventuellement sensible des informations partagées, et conformément à ce qui peut être établi par voie réglementaire.

7. Le DSI peut faire partie de l'effectif salarié de l'entité qui le nomme ou exercer ses fonctions dans le cadre d'un contrat de services.

8. Les entités essentielles et importantes doivent garantir, à titre indicatif et non limitatif, que le DSI :

a) Soit une personne ou un groupe de personnes disposant de connaissances spécialisées et d'expérience en matière de cybersécurité, tant du point de vue organisationnel que du point de vue technique et juridique, en vertu des fonctions attribuées au paragraphe 6.

b) Se voie garantir les ressources nécessaires à l'exercice de ses fonctions.

c) Se voie attribuer une position au sein de l'organisation de l'entité qui facilite l'exercice de ses fonctions afin de pouvoir participer de manière appropriée, et en temps utile, à toutes les questions relatives à la sécurité, ainsi que le maintien d'une communication réelle et effective avec la haute direction.

d) Voie son indépendance assurée vis-à-vis des responsables des infrastructures critiques, des réseaux et des systèmes d'information de son domaine de travail.