Article 25. Obligations des autorités nationales compétentes

Article 25. Obligations des autorités nationales compétentes

1. Les autorités nationales compétentes au titre de la présente Loi doivent coopérer et échanger des informations avec les responsables de la rédaction des règlements ou autres normes ou actes juridiques sectoriels, en particulier en ce qui concerne la gestion des risques de cybersécurité et des incidents affectant les entités essentielles ou importantes, ainsi qu'en ce qui concerne les mesures de cybersécurité adoptées par ces entités.

2. Les autorités nationales compétentes doivent établir les canaux favorisant la communication avec les entités qui fournissent des services essentiels et importants, susceptibles d'être développés par voie réglementaire.

3. Les autorités nationales compétentes doivent se coordonner avec le CSIRT-AD au moyen des protocoles d'action qui, le cas échéant, peuvent être développés par voie réglementaire.

4. L'ANC-AD, en collaboration avec l'AFA et avec le CSIRT-AD, doit :

a) Établir une liste des entités identifiées au titre des points

b) à

f) de l'article 2.2 dans le délai de six mois à compter de la date d'entrée en vigueur de la présente Loi, liste qu'elle révise périodiquement, au moins tous les deux ans, et qu'elle met à jour le cas échéant.

b) Créer et tenir un registre des entités essentielles et importantes.

c) Notifier, sans retard injustifié, aux agences de cybersécurité existant dans d'autres pays tout incident ou toute cybermenace ayant un impact transfrontière ou susceptible de leur porter préjudice ou de les affecter de toute autre manière et dont le niveau est considéré comme significatif conformément aux dispositions de l'article 15.3. Ce faisant, l'ANC-AD préserve, conformément à la législation en vigueur à tout moment, la sécurité et les intérêts commerciaux de l'entité ayant notifié l'incident, ainsi que la confidentialité des informations fournies.

d) Coopérer, dans le champ d'application de la présente Loi, avec l'Agence andorrane de protection des données (APDA) et les autorités publiques compétentes en matière de sécurité publique, de sécurité civile et de sécurité nationale, y compris par la communication sans délai de tout incident susceptible de relever du champ de supervision de chaque autorité, et les tenir informées de l'évolution de ces incidents.

e) Émettre des rapports annuels à l'intention du Gouvernement d'Andorre sur les incidents, les quasi-incidents et les cybermenaces notifiés par les entités essentielles et importantes, l'état de la mise en œuvre de la Stratégie nationale de cybersécurité et la situation de la cybersécurité dans la Principauté d'Andorre. Ces rapports de situation comprennent, à titre informatif et non limitatif, entre autres : i. L'évolution des capacités de cybersécurité dans la Principauté d'Andorre. ii. Les ressources techniques, financières et humaines dont disposent les autorités nationales compétentes et le CSIRT-AD. iii. Les politiques de cybersécurité et l'applicabilité des mesures de supervision et d'exécution en fonction des résultats issus du rapport précédent. iv. Un indice de cybersécurité fournissant une évaluation du niveau de maturité des capacités de cybersécurité et établi selon des méthodologies reconnues au niveau international.

f) Émettre et publier des rapports annuels sur la situation de la cybersécurité dans la Principauté d'Andorre.

g) Comparaître, par l'intermédiaire de sa personne de tutelle, devant la commission législative du Conseil général chargée des questions en matière de cybersécurité, afin de présenter les rapports annuels prévus aux lettres

e) et f), relatifs aux incidents, quasi-incidents et cybermenaces notifiés par les entités essentielles et importantes, à l'état de la mise en œuvre de la Stratégie nationale de cybersécurité et à la situation de la cybersécurité dans la Principauté d'Andorre.

h) Veiller, afin de contribuer à la sécurité, à la stabilité et à la résilience du DNS, à ce que les registres de domaines de premier niveau et les entités fournissant des services d'enregistrement de noms de domaine de premier niveau : i. Collectent et conservent des données d'enregistrement de noms de domaine dans une base de données qui : • Contient les informations pertinentes permettant d'identifier et de contacter les titulaires des noms de domaine et les points de contact qui administrent les noms de domaine dans les domaines de premier niveau. • Dispose de politiques et de procédures, mises à la disposition du public, afin de garantir qu'elle comprend des informations exactes et complètes. ii. Publient, sans retard injustifié après l'enregistrement d'un nom de domaine, les données d'enregistrement de domaine qui ne revêtent pas un caractère personnel. iii. Accordent l'accès à des données spécifiques d'enregistrement de noms de domaine, sur demande licite et dûment justifiée, aux demandeurs d'accès légitimes, conformément à la réglementation de la Principauté d'Andorre en matière de protection des données en vigueur à tout moment.

5. Afin de promouvoir une application convergente avec celle des États voisins, les autorités nationales compétentes publient un cadre normatif par lequel elles encouragent, sans imposer ni favoriser l'utilisation d'un type particulier de technologie, l'utilisation de normes et de spécifications acceptées au niveau international qui sont pertinentes en matière de sécurité des infrastructures critiques, des réseaux et des systèmes d'information de chaque secteur relevant de leur domaine de compétence.

6. Outre les obligations précédentes, les autorités nationales compétentes peuvent établir des obligations spécifiques pour garantir la sécurité des infrastructures critiques, des réseaux et des systèmes d'information nécessaires à la fourniture de services essentiels ou importants ainsi qu'en ce qui concerne la notification des incidents, et édicter des instructions techniques et des guides d'orientation pour préciser le contenu de ces obligations.