Article 4. Cadre stratégique de sécurité des réseaux et des systèmes d'information

Article 4. Cadre stratégique de sécurité des réseaux et des systèmes d'information

1. La Stratégie nationale de cybersécurité de la Principauté d'Andorre comprend les objectifs stratégiques et les mesures politiques et normatives nécessaires pour atteindre et maintenir un niveau élevé de sécurité des réseaux et des systèmes d'information, couvrant les secteurs exploités par les entités essentielles et importantes dans les termes définis par la présente Loi, et englobe, à titre indicatif et non limitatif :

a) Une définition des objectifs et des priorités de la Stratégie nationale de cybersécurité de la Principauté d'Andorre.

b) Un cadre de gouvernance pour atteindre ces objectifs et priorités, y compris les politiques visées au paragraphe 2 et les fonctions et responsabilités des administrations publiques et des entités de l'administration publique ainsi que d'autres acteurs pertinents.

c) Une évaluation visant à déterminer les actifs pertinents et les risques de cybersécurité.

d) Une détermination des mesures visant à garantir la préparation et la réaction aux incidents ainsi que le rétablissement après ceux-ci, y compris la coopération entre les secteurs public et privé.

e) Une liste des différents acteurs et autorités participant à la mise en œuvre de la Stratégie nationale de cybersécurité de la Principauté d'Andorre.

f) Un cadre politique pour une coordination renforcée entre les autorités compétentes en vertu de la présente Loi aux fins de l'échange d'informations sur les incidents et les cybermenaces et de l'exercice des missions de supervision et de sanction.

g) Une stratégie visant à renforcer la résilience des entités critiques, comprenant au minimum : i. Des objectifs stratégiques et des priorités afin d'améliorer la résilience générale des entités critiques, compte tenu des interdépendances transfrontalières et intersectorielles. ii. Un cadre de gouvernance pour atteindre les objectifs stratégiques et les priorités, y compris une description des rôles et des responsabilités des autorités nationales compétentes désignées par la présente Loi, des entités critiques et des autres parties concernées par la mise en œuvre de la stratégie. iii. Une description des mesures nécessaires pour améliorer la résilience générale des entités critiques, y compris une évaluation du risque national, l'identification des entités critiques et des entités équivalentes à des entités critiques et les mesures de soutien aux entités critiques ; et iv. Un cadre de politiques pour une coordination améliorée entre les autorités nationales compétentes désignées par la présente Loi aux fins de l'échange d'informations sur les incidents et les cybermenaces et de l'exercice des missions de supervision.

2. Dans le cadre de la Stratégie nationale de cybersécurité de la Principauté d'Andorre, sont élaborés et adoptés par voie réglementaire :

a) Un Schéma national de sécurité constitué des principes de base et des conditions requises minimales nécessaires à une protection adéquate des informations traitées et des services fournis par les entités essentielles et les entités importantes, ainsi que par les entités qui leur fournissent des services ou des solutions pour leurs services essentiels ou importants et leurs chaînes d'approvisionnement respectives, dans le but d'assurer l'accès, la confidentialité, l'intégrité, la traçabilité, l'authenticité, la disponibilité et la conservation des données, des informations et des services utilisés sur des supports électroniques qu'elles gèrent pour la fourniture des services essentiels ou importants, et sans préjudice du fait qu'il puisse s'avérer nécessaire de compléter les mesures de sécurité prévues par ce schéma par d'autres mesures spécifiques pouvant découler des engagements internationaux contractés par la Principauté d'Andorre ou de son appartenance à des organismes ou forums internationaux en la matière.

Ce Schéma national de sécurité peut être étendu à toutes les entités de l'administration publique et contient, au minimum : i. Une politique visant à traiter la cybersécurité dans la chaîne d'approvisionnement des produits et services TIC utilisés par les entités essentielles ou les entités importantes pour la fourniture de leurs services ; ii.

Des lignes directrices relatives à l'inclusion et à la spécification des conditions requises en matière de cybersécurité applicables aux produits et services TIC dans la commande publique ; iii.

Une politique visant à promouvoir et à faciliter une divulgation coordonnée des vulnérabilités ; iv.

Une politique visant à maintenir la disponibilité générale et l'intégrité du noyau public de l'Internet ouvert ; v. Une politique relative à la promotion et au développement des capacités de cybersécurité, y compris la sensibilisation et les initiatives de recherche et de développement ; vi.

Une politique destinée à soutenir les institutions universitaires et de recherche afin qu'elles développent des outils de cybersécurité et des infrastructures de réseau sécurisées ; vii.

Les politiques, les procédures pertinentes et les outils appropriés de partage d'informations afin de faciliter et de promouvoir l'échange volontaire d'informations sur la cybersécurité entre les entreprises ; et viii.

Une politique englobant les besoins spécifiques des petites et moyennes entreprises, en particulier de celles qui sont exclues du champ d'application de la présente Loi, en ce qui concerne les orientations et le soutien visant à améliorer leur résilience face aux menaces de cybersécurité.

b) Un Règlement des infrastructures critiques pour la protection et le renforcement de la résilience des infrastructures critiques, qui contient, au minimum : i. Des procédures d'identification et de désignation des infrastructures critiques pour la Principauté d'Andorre ; ii. Les conditions de création d'un Catalogue national des infrastructures critiques, qui doit rassembler toutes les données et l'évaluation de la criticité desdites infrastructures et qui sera utilisé comme base pour planifier les actions nécessaires en matière de sécurité et de protection de celles-ci, en s'alimentant des apports des opérateurs eux-mêmes ; iii. La réglementation des instruments de planification pour la protection des infrastructures critiques des entités essentielles et des entités importantes ; iv. Les obligations des entités critiques, y compris les conditions requises de sécurité des communications, afin d'accroître leur résilience et d'améliorer leur capacité à fournir leurs services à la Principauté d'Andorre ; et v. Les règles relatives à la supervision des entités critiques et à l'application d'obligations à celles-ci.

3. La Stratégie nationale de cybersécurité de la Principauté d'Andorre doit faire l'objet d'une révision et d'une évaluation au moins tous les quatre ans, en fonction des indicateurs clés de performance, et doit en tout état de cause être modifiée lorsque cela est nécessaire. La consultation des secteurs pertinents représentés dans les différents comités et commissions structurés sous l'Agence nationale de cybersécurité (ANC-AD) doit être garantie.