Article 6. Autorités nationales compétentes

Article 6. Autorités nationales compétentes

1. L'ANC-AD est l'autorité nationale compétente chargée de la cybersécurité et des tâches de supervision visées au chapitre troisième du Titre III pour les réseaux et les systèmes d'information couvrant les secteurs mentionnés aux paragraphes 1, 2, 5, 6, 7 et 8 de l'Annexe I, ainsi que pour toutes les entités importantes pour lesquelles l'AFA n'est pas l'autorité nationale compétente.

2. L'AFA, en coordination avec l'ANC-AD, est l'autorité nationale compétente chargée de la cybersécurité et des tâches de supervision visées au chapitre troisième du Titre III pour les réseaux et les systèmes d'information couvrant les secteurs des entités financières et du marché financier tels que définis aux paragraphes 3 et 4 de l'Annexe I, ainsi que pour les services fournis par les entités placées sous la supervision de l'AFA.

3. L'ANC-AD agit en tant que point de contact unique en matière de cybersécurité pour la Principauté d'Andorre (Point de Contact National Unique), et à ce titre est l'autorité nationale compétente qui exerce la fonction de liaison afin de garantir la coopération transfrontalière avec les autorités compétentes en matière de cybersécurité d'autres pays, de garantir la coopération intersectorielle entre l'AFA et l'ANC-AD en ce qui concerne les dispositions de la présente Loi, ainsi que de garantir la coopération entre le CSIRT-AD et les autres pays, y compris le réseau des CSIRT de l'Union européenne.

4. L'ANC-AD, avec la collaboration de l'AFA en ce qui concerne son domaine de compétence conformément aux dispositions de la présente Loi :

a) Coordonne la création et le maintien du cadre stratégique de sécurité des réseaux et des systèmes d'information décrit à l'article 4.

b) Établit une liste des services essentiels et des services importants dans les secteurs visés à l'Annexe I et à l'Annexe II. Cette liste doit être établie dans un délai maximal de six mois après l'entrée en vigueur de la présente Loi. Par la suite, lorsque cela est nécessaire, et au moins une première fois dans un délai maximal de dix-huit mois après l'entrée en vigueur de la présente Loi et, à partir de ce moment, tous les quatre ans et chaque fois que l'ANC-AD met à jour la liste, elle procède à une évaluation de tous les risques pertinents susceptibles d'affecter la fourniture de ces services essentiels, afin d'identifier les entités critiques et les entités équivalentes à des entités critiques et de les aider à prendre des mesures conformément aux dispositions de l'article 12. L'évaluation des risques : i. Doit tenir compte de tous les risques naturels et d'origine humaine, y compris les accidents, les catastrophes naturelles, les urgences de santé publique et les menaces antagonistes, y compris les infractions terroristes. ii. Les éléments pertinents de l'évaluation des risques doivent être mis à la disposition des entités critiques identifiées conformément aux dispositions de l'article 11, afin de les aider à réaliser leur évaluation des risques conformément aux dispositions de l'article 13 et à prendre des mesures pour garantir leur résilience conformément aux dispositions de l'article 12.

c) Apporte son soutien aux entités relevant du champ d'application de la présente Loi afin d'améliorer leur cybersécurité et leur résilience. Ce soutien peut comprendre, à titre informatif et non limitatif : i. L'élaboration de supports et de méthodologies d'orientation ; ii. Le soutien à l'organisation d'exercices visant à vérifier leur sécurité et leur résilience ; iii. La fourniture de formations à leur personnel ; et iv. La mise en place d'outils destinés à soutenir l'échange volontaire d'informations entre entités et à résoudre des questions relatives à la présente Loi.

d) Adopte des actes d'exécution afin d'établir les spécifications techniques et méthodologiques nécessaires relatives à l'application des mesures mentionnées à l'article 12.2.

e) Établit des procédures pour la délivrance, la révision périodique et le retrait des certifications, labels et marques attestant le respect des obligations de sécurité des réseaux et des systèmes d'information.

f) Établit des procédures et des structures pour traiter les réclamations relatives aux infractions à la certification ou à la manière dont une entité applique ou a appliqué la certification, et pour rendre ces procédures et structures transparentes pour le public.

5. L'ANC-AD, avec la collaboration de l'AFA et du CSIRT-AD, est habilitée à adopter des actes délégués établissant des règles détaillées précisant tout ou partie des mesures à prendre dans la mesure nécessaire à l'application efficace et cohérente des objectifs de la présente Loi, compte tenu de toute évolution pertinente des risques, de la technologie ou de la fourniture des services concernés par la présente Loi, ainsi que de toute spécificité liée aux secteurs et types d'entités de l'Annexe I et de l'Annexe II.

6. Le Gouvernement d'Andorre doit veiller à ce que les autorités nationales compétentes disposent des ressources adéquates pour pouvoir exercer de manière effective et efficiente leurs fonctions afin de pouvoir atteindre les objectifs de la présente Loi.