Article 24

Article 24.

Supervision et exécution dans le cas d'entités importantes

1. Si l'autorité nationale compétente dispose de preuves ou d'indices de manquement aux obligations établies dans la présente Loi, de la part d'une entité de services importants, ladite autorité peut imposer a posteriori les mesures de supervision correspondantes.

2. À cet égard, les compétences de l'autorité nationale compétente, en coopération avec le CSIRT-AD, le cas échéant, en matière de supervision, se fondent sur :

a) Des inspections sur place et une supervision a posteriori ;

b) Des audits de sécurité spécifiques fondés sur des évaluations des risques ou sur les informations disponibles concernant les risques ;

c) Des analyses de sécurité fondées sur des critères d'évaluation des risques objectifs, équitables et transparents ;

d) Des demandes de toute information nécessaire pour évaluer a posteriori les mesures de cybersécurité, en particulier les politiques de cybersécurité documentées, ainsi que le respect des obligations de notifier les incidents à l'autorité nationale compétente ; et

e) Demander l'accès à des données ou à toute information nécessaire au bon exercice des fonctions de supervision. En ce qui concerne les lettres

d) et e), l'autorité nationale compétente doit, à tout moment, indiquer la finalité de la demande et préciser les informations requises.

3. Les compétences de l'autorité nationale compétente, en coopération avec le CSIRT-AD, le cas échéant, en matière d'exécution, se fondent sur :

a) Adresser des avertissements aux entités pour manquement aux obligations établies dans la présente Loi.

b) Émettre des instructions contraignantes afin que les entités remédient aux défaillances détectées ou aux violations des obligations établies dans la présente Loi.

c) Exiger des entités qu'elles mettent fin aux comportements qui contreviennent aux obligations établies dans la présente Loi et qu'elles s'abstiennent de les réitérer ;

d) Exiger des entités qu'elles mettent leurs mesures de gestion des risques ou leurs obligations de notification en conformité avec les dispositions du Titre III.

e) Ordonner aux entités d'informer les personnes physiques ou morales auxquelles elles fournissent des services qui sont susceptibles d'être affectées par une cybermenace importante ainsi que des mesures correctives ou de protection correspondantes que les personnes affectées peuvent adopter en réponse à la menace.

f) Ordonner aux entités la mise en œuvre, dans un délai raisonnable, des recommandations formulées à la suite d'un audit de sécurité.

g) Désigner un responsable de la supervision chargé d'exercer des fonctions clairement définies et de superviser, pendant une période déterminée, le respect des obligations prévues au Titre III.

h) Ordonner aux entités de rendre publics, d'une manière déterminée, les manquements aux obligations établies dans la présente Loi.

i) Émettre des communiqués publics dans lesquels sont identifiées les personnes physiques et morales responsables de manquements aux obligations établies dans la présente Loi ainsi que la nature desdits manquements.

j) Imposer ou demander l'imposition d'une amende administrative conformément aux dispositions du Titre IV, à titre complémentaire ou en remplacement des mesures visées aux lettres

a) à

i) du présent paragraphe, en fonction des circonstances de chaque cas particulier.

4. Les dispositions des paragraphes 4 à 6 de l'article 23 sont également applicables aux entités importantes.