Article 23. Supervision et exécution dans le cas des entités essentielles

Article 23. Supervision et exécution dans le cas des entités essentielles

1. Chaque autorité nationale compétente doit veiller à ce que les entités essentielles relevant de son domaine de compétence respectent les obligations établies par la présente Loi de manière effective, proportionnée et dissuasive.

2. Les compétences des autorités nationales compétentes, en coopération avec le CSIRT-AD le cas échéant, en matière de supervision, se fondent sur :

a) Des inspections sur place et une supervision à distance, y compris des contrôles aléatoires ;

b) Des audits périodiques ;

c) Des audits de sécurité spécifiques fondés sur des évaluations des risques ou sur des informations disponibles relatives aux risques ;

d) Des analyses de sécurité au moyen de critères d'évaluation des risques objectifs, non discriminatoires, équitables et transparents ;

e) Des demandes de toutes les informations nécessaires pour évaluer les mesures de cybersécurité adoptées par l'entité, en particulier les politiques de cybersécurité documentées, ainsi que le respect de la procédure de notification prévue par la présente Loi, si nécessaire ;

f) Des demandes d'accès à des données, documents ou toute information nécessaire à l'exercice de ses fonctions de supervision ; et

g) Des demandes de tout type de preuves nécessaires pour justifier l'application des politiques de cybersécurité. En ce qui concerne les lettres e),

f) et g), l'autorité nationale compétente doit à tout moment indiquer la finalité de la demande et préciser les informations requises.

3. Les compétences des autorités nationales compétentes, en coopération avec le CSIRT-AD le cas échéant, en matière d'exécution, se fondent sur :

a) Adresser un avertissement aux entités pour le non-respect des obligations établies par la présente Loi.

b) Émettre des instructions contraignantes afin que les entités corrigent les défaillances détectées ou les manquements aux obligations établies par la présente Loi.

c) Exiger des entités qu'elles mettent fin aux comportements qui enfreignent les obligations établies par la présente Loi et qu'elles s'abstiennent de les réitérer.

d) Exiger des entités qu'elles mettent leurs mesures de gestion des risques ou leurs obligations de notification en conformité avec les dispositions du chapitre premier du présent Titre.

e) Ordonner aux entités d'informer les personnes physiques ou morales auxquelles elles fournissent des services qui sont susceptibles d'être affectées par une cybermenace importante, ainsi que des mesures correctives ou de protection correspondantes que lesdites personnes peuvent adopter en réponse à la menace.

f) Ordonner aux entités la mise en œuvre, dans un délai raisonnable, des recommandations formulées à la suite d'un audit de sécurité.

g) Désigner un responsable de la supervision pour exercer des fonctions clairement définies et pour superviser, pendant une période déterminée, le respect de leurs obligations prévues au Titre III.

h) Ordonner aux entités de rendre publics, d'une manière déterminée, les manquements aux obligations établies par la présente Loi.

i) Émettre des communiqués publics identifiant les personnes physiques et morales responsables de manquements aux obligations établies par la présente Loi et la nature desdits manquements.

j) Imposer, dans le cas de l'ANC-AD, ou demander l'imposition par l'ANC-AD, dans le cas de l'AFA, d'une amende administrative conformément aux dispositions du Titre IV, à titre complémentaire ou en remplacement des mesures visées aux lettres

a) à

i) du présent paragraphe, en fonction des circonstances de chaque cas particulier.

4. Lorsque les mesures d'exécution exigées par l'autorité nationale compétente ne sont pas adoptées dans le délai établi, l'autorité nationale compétente est habilitée à :

a) Suspendre la certification de conformité ;

b) Imposer une interdiction temporaire à toute personne physique exerçant des responsabilités de direction ou de représentation légale de l'entité essentielle, ainsi qu'à toute autre personne physique responsable du manquement, d'exercer des fonctions de direction dans cette entité. Ces suspensions ou interdictions demeurent jusqu'à ce que l'entité concernée adopte les mesures nécessaires pour remédier aux défaillances ou satisfasse aux conditions requises par l'autorité nationale compétente qui a appliqué la suspension ou l'interdiction en question.

5. Les mesures indiquées au paragraphe précédent s'appliquent sans préjudice de garantir le droit de la défense de la personne concernée, au moins pour les aspects suivants :

a) La gravité du manquement et l'importance des obligations enfreintes, et en particulier celles qualifiées de graves et de très graves conformément à l'article 34 ;

b) La durée du manquement, notamment s'il y a eu des manquements réitérés ;

c) Les préjudices ou les pertes réels occasionnés, ou les préjudices ou les pertes qui auraient pu être occasionnés, dans la mesure où ils peuvent être déterminés, compte tenu notamment des pertes financières ou économiques réelles ou potentielles, des effets sur d'autres services et du nombre d'utilisateurs affectés ou potentiellement affectés ;

d) Le caractère intentionnel ou la négligence de l'infraction ;

e) Les mesures adoptées par l'entité pour prévenir ou atténuer les préjudices ou les pertes ;

f) L'adhésion à des codes de conduite ou à des mécanismes de certification approuvés ; et

g) Le degré de coopération des personnes physiques ou morales responsables avec les autorités nationales compétentes.

6. L'autorité nationale compétente doit émettre les décisions d'exécution de manière détaillée et motivée, en les notifiant préalablement à leur émission définitive aux entités concernées, en leur accordant un délai de six mois pour formuler des observations.