Article 3. Définitions

Article 3. Définitions

Aux fins de la présente Loi, on entend par :

1. AFA : Autorité financière andorrane.

2. ANC-AD : Agence nationale de cybersécurité de la Principauté d'Andorre.

3. APDA : Agence andorrane de protection des données.

4. Évaluation des risques : une méthodologie permettant de déterminer la nature et la portée d'un risque au moyen de l'analyse des menaces et des dangers potentiels, et de l'évaluation des conditions de vulnérabilité existantes qui pourraient perturber les opérations de l'entité critique.

5. Cybermenaces : une circonstance, un événement ou une action potentielle susceptible d'endommager, d'interrompre ou d'affecter de manière préjudiciable les réseaux et les systèmes d'information, ainsi que leurs utilisateurs et d'autres parties intéressées.

6. Cybersécurité : les activités nécessaires à la protection des réseaux et des systèmes d'information, de leurs utilisateurs et d'autres personnes touchées par les cybermenaces.

7. CSIRT : centre de réponse aux incidents de sécurité des réseaux et des systèmes d'information.

8. CSIRT-AD : CSIRT de référence de la Principauté d'Andorre.

9. DNS, ou Système de noms de domaine : un système de nommage distribué de manière hiérarchique qui permet aux utilisateurs finaux d'accéder aux services et aux ressources d'Internet.

10. Entité : toute personne physique ou morale constituée et reconnue comme telle en vertu du droit national de son lieu d'établissement et qui, agissant en son nom propre, peut exercer des droits et être soumise à des obligations.

11. Entité critique : une entité qui fournit un ou plusieurs services essentiels dont la prestation dépend d'une ou de plusieurs infrastructures critiques situées dans la Principauté d'Andorre.

12. Entité de l'administration publique : une entité de la Principauté d'Andorre qui remplit les critères suivants :

a) elle a été créée pour satisfaire des besoins d'intérêt général et n'a pas de caractère industriel ou commercial ;

b) elle est dotée de la personnalité juridique ;

c) elle est majoritairement financée par le Gouvernement d'Andorre, les Comuns ou des entités de droit public ; ou bien sa gestion est soumise à un contrôle de la part de ces administrations ou entités ; ou ses organes d'administration, de direction ou de surveillance sont composés de membres dont plus de la moitié sont nommés par le Gouvernement d'Andorre, les Comuns ou des entités de droit public ; et.

d) elle fournit un service public. Sont exclues les entités de l'administration publique qui exercent des activités dans les domaines de la sécurité publique, de la police, de la défense ou de la sécurité nationale.

13. Entité de registre des noms de domaine de premier niveau : une entité à laquelle a été délégué un domaine de premier niveau spécifique et qui est chargée d'administrer ce domaine, y compris l'enregistrement des noms de domaine relevant du premier niveau et le fonctionnement technique du domaine de ce niveau, notamment l'exploitation de ses serveurs de noms, la maintenance de ses bases de données et la distribution des fichiers de zone du domaine de premier niveau entre les serveurs de noms.

14. Entité équivalente à une entité critique : toute entité qui, sans être critique, gère une ou plusieurs infrastructures critiques situées dans la Principauté d'Andorre.

15. Entité essentielle : toute entité de l'administration publique ou privée qui offre un service essentiel conformément à la définition du paragraphe 35.

16. Entité importante : toute entité de l'administration publique ou privée qui offre un service important conformément à la définition du paragraphe 36.

17. Stratégie nationale de cybersécurité : cadre cohérent de la Principauté d'Andorre qui établit des priorités et des objectifs stratégiques en matière de sécurité des réseaux et des systèmes d'information dans le pays.

18. Gestion des incidents : ensemble de mesures et de procédures destinées à détecter, analyser et limiter un incident et à y répondre.

19. Gestion des risques : processus de planification de la gestion des risques, et ensemble d'activités visant à identifier, analyser, traiter, surveiller et contrôler les risques.

20. Incident : tout événement susceptible de perturber ou qui perturbe les opérations d'une entité, ou qui compromet la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou traitées, ou des services correspondants offerts par des réseaux et des systèmes d'information ou accessibles par leur intermédiaire.

21. Infrastructure : un actif, un système ou une partie de celui-ci, nécessaire à la prestation d'un service essentiel.

22. Infrastructures critiques : infrastructures qui sont indispensables et ne permettent pas de solutions alternatives, de sorte que leur perturbation ou leur destruction aurait des effets préjudiciables significatifs sur la prestation d'un ou de plusieurs services essentiels.

23. Place de marché en ligne : un service numérique qui permet aux consommateurs de conclure des contrats à distance au moyen d'une interface en ligne.

24. Moteur de recherche en ligne : un service numérique qui permet aux utilisateurs de saisir des requêtes afin d'effectuer des recherches, en principe, sur tous les sites web, ou sur des sites web dans une langue donnée, au moyen d'une requête portant sur un sujet quelconque sous la forme d'un mot-clé, d'une requête vocale, d'une phrase ou d'un autre type d'entrée et qui, en réponse, affiche des résultats dans tout format dans lequel peuvent être trouvées des informations en rapport avec le contenu demandé.

25. Organe de direction : l'organe ou les organes d'administration de l'entité nommés conformément au droit national, habilités à fixer la stratégie, les objectifs et l'orientation générale de l'administration de cette entité, ou les personnes équivalentes qui dirigent effectivement l'entité ou exercent des fonctions clés conformément à la législation andorrane.

26. Plateforme de services de réseaux sociaux : une plateforme qui permet aux utilisateurs finaux de se connecter, de partager, de découvrir et de communiquer entre eux sur de multiples appareils et, en particulier, au moyen de discussions en ligne, de publications, de vidéos et de recommandations ;

27. Fournisseur de services DNS : une entité qui fournit des services de résolution récursive de noms de domaine aux utilisateurs finaux d'Internet et à d'autres fournisseurs de services DNS, ou une entité qui fournit une résolution de noms de domaine faisant autorité en tant que service pouvant être obtenu par des entités essentielles ou importantes auprès de tiers.

28. Quasi-incident : tout événement qui possède le potentiel de produire un incident et qui ne parvient pas à le produire, que ce soit par hasard ou grâce à une intervention opportune.

29. Résilience : la capacité de prévenir un incident qui perturbe ou est susceptible de perturber les opérations d'une entité critique, d'y résister, de l'atténuer, de l'absorber, de s'y adapter et de s'en rétablir.

30. Risque : toute circonstance ou tout fait susceptible d'avoir un effet préjudiciable potentiel sur la résilience des entités critiques ;

31. Sécurité des réseaux et des systèmes d'information : la capacité des réseaux et des systèmes d'information de résister, avec un niveau de fiabilité déterminé, à toute action qui compromet la disponibilité, l'authenticité, l'intégrité ou la confidentialité des données stockées, transmises ou traitées, ou des services correspondants offerts par lesdits réseaux et systèmes d'information ou accessibles par leur intermédiaire.

32. Service d'informatique en nuage : un service numérique qui permet l'administration à la demande et un large accès à distance à un ensemble modulable et élastique de ressources informatiques distribuées pouvant être partagées.

33. Service de centre de données : un service qui englobe les structures, ou groupes de structures, dédiées à l'hébergement, à l'interconnexion et à l'exploitation centralisés des technologies de l'information et des équipements de réseau fournissant des services de stockage, de traitement et de transport de données, ainsi que l'ensemble des installations et infrastructures nécessaires à la distribution de l'énergie et au contrôle environnemental.

34. Service numérique : tout service de la société de l'information, c'est-à-dire tout service fourni normalement contre rémunération, à distance, à la demande individuelle d'un destinataire de services, et envoyé à la source et reçu par le destinataire au moyen d'équipements électroniques de traitement (y compris la compression numérique) et de stockage de données, et qui est entièrement transmis, acheminé et reçu par fils, par radio, par moyens optiques ou par tout autre moyen électromagnétique.

35. Service essentiel : service offert par une entité dont la typologie relève de celle des entités essentielles prévues à l'Annexe I, que les autorités nationales compétentes désignent comme tel conformément à l'article 6.4.b), en ce qu'il est nécessaire au maintien des fonctions sociales de base, de la santé, de la sécurité, du bien-être social et économique des citoyens, ou au fonctionnement efficace des institutions de l'État et des administrations publiques, qui dépend pour sa fourniture de réseaux et de systèmes d'information, et dont la continuité des prestations peut être gravement affectée en cas de cyberincidents et, par conséquent, causer un grave préjudice social et économique à la Principauté d'Andorre.

36. Service important : service offert par une entité dont la typologie relève de celle d'entité importante à l'Annexe II, que les autorités nationales compétentes désignent comme tel conformément à l'article 6.4.b), en ce qu'il est nécessaire au maintien des fonctions sociales de base, de la santé, de la sécurité, du bien-être social et économique des citoyens, ou au fonctionnement efficace des institutions de l'État et des administrations publiques, qui dépend pour sa fourniture de réseaux et de systèmes d'information, et dont la continuité des prestations peut être gravement affectée en cas de cyberincidents et, par conséquent, causer un grave préjudice social et économique à la Principauté d'Andorre,

37. Vulnérabilité : déficience, susceptibilité ou défaillance d'un actif, d'un système, d'un processus ou d'un contrôle qui peut être exploitée par une ou plusieurs cybermenaces.

38. Réseau de diffusion de contenu : un réseau de serveurs répartis géographiquement aux fins de garantir une haute disponibilité, l'accessibilité ou la distribution rapide de contenus et de services numériques aux utilisateurs d'Internet pour le compte des fournisseurs de contenus et de services.

39. Réseaux et systèmes d'information :

a) Réseau de communications électroniques, consistant en des systèmes de transmission et, le cas échéant, des équipements de commutation ou de routage et d'autres ressources, y compris les éléments de réseau qui ne sont pas actifs, qui permettent l'acheminement de signaux par câble, par ondes hertziennes, par moyens optiques ou par d'autres moyens électromagnétiques, y compris les réseaux satellitaires, les réseaux terrestres fixes (à commutation de circuits et de paquets, y compris Internet) et mobiles, les systèmes utilisant le réseau électrique, pour autant qu'ils servent à la transmission de signaux, les réseaux utilisés pour la radiodiffusion sonore et télévisuelle, et les réseaux câblés de télévision, quel que soit le type d'information acheminée ;

b) Tout dispositif ou groupe de dispositifs interconnectés ou liés entre eux, dont un ou plusieurs assurent, au moyen d'un logiciel, le traitement automatisé de données numériques ; ou

c) Les données numériques stockées, traitées, récupérées ou transmises au moyen des éléments prévus aux lettres précédentes, en vue de leur fonctionnement, de leur utilisation, de leur protection et de leur maintenance.