Article 2. Champ d'application

Article 2. Champ d'application

1. La présente Loi s'applique aux entités publiques et privées prévues dans le cadre des entités essentielles et importantes conformément à leur définition à l'article 3, qui emploient 50 personnes ou plus ou dont le chiffre d'affaires annuel ou le bilan annuel total dépasse dix millions d'euros.

2. En outre, la présente Loi s'applique aux entités essentielles et importantes indépendamment de leur taille et de leur chiffre d'affaires annuel ou de leur bilan annuel total, lorsque :

a) les services sont fournis par l'un des types d'entités suivants relevant du secteur des infrastructures numériques de l'Annexe I : i. réseaux publics de communications électroniques ou services de communications électroniques accessibles au public, ii. prestataires de services de confiance, et iii. registres de noms de domaine de premier niveau et fournisseurs de services de système de noms de domaine (DNS).

b) l'entité est une entité de l'administration publique telle que définie à l'article 3.12 ;

c) l'entité est l'unique prestataire d'un service dans la Principauté d'Andorre ;

d) une perturbation éventuelle du service fourni par l'entité pourrait avoir des répercussions sur la sécurité publique, l'ordre public ou la santé publique ;

e) une perturbation éventuelle du service fourni par l'entité pourrait induire des risques systémiques, en particulier pour les secteurs dans lesquels une telle perturbation pourrait avoir des répercussions de nature transfrontière ;

f) l'entité est critique en raison de son importance spécifique au niveau national ou communal pour le secteur ou le type de service concerné ou pour d'autres secteurs interdépendants dans la Principauté d'Andorre ; ou

g) l'entité est identifiée comme entité critique ou comme une entité équivalente à une entité critique par voie réglementaire.

3. Les règlements et les autres normes et actes juridiques éventuels de nature sectorielle en rapport avec la présente Loi qui prévoient des dispositions relatives à la gestion des risques liés aux technologies de l'information et de la communication (TIC), à la gestion ou à la notification des incidents liés aux TIC, aux tests de résilience opérationnelle numérique, aux mécanismes d'échange d'informations et au risque lié aux tiers en matière de TIC, et qui ont un effet au moins équivalent à celui des obligations établies dans la présente Loi, s'appliquent en priorité aux entités essentielles et importantes relevant du champ d'application desdits règlements, normes et actes juridiques.

4. Les dispositions du paragraphe précédent s'entendent sans préjudice de l'obligation de notification des incidents établie à l'article 15, dans la mesure où elle n'est pas incompatible avec la réglementation sectorielle concernée.