Article 27

Article 27.

Conditions requises de sécurité applicables aux prestataires de services de confiance électronique

1. Les prestataires de services de confiance électronique doivent adopter les mesures techniques et organisationnelles appropriées pour gérer les risques liés à la sécurité des services de confiance électronique qu'ils fournissent. Compte tenu de l'état de la technique, ces mesures doivent garantir un niveau de sécurité adapté au degré de risque. En particulier, ils doivent adopter des mesures pour prévenir et réduire au minimum l'impact des incidents de sécurité et informer les intéressés des effets négatifs de tout incident. Sans préjudice des dispositions de l'article 35, tout prestataire de services de confiance électronique peut présenter à l'organisme de contrôle le rapport d'un audit de sécurité réalisé par un organisme indépendant reconnu afin de confirmer que les mesures de sécurité appropriées ont été prises.

2. Les prestataires de services de confiance électronique qui s'adressent au public et ceux qui sont qualifiés doivent notifier à l'organisme de contrôle compétent, dans les meilleurs délais et de préférence dans un délai de 24 heures après en avoir pris connaissance, toute atteinte à la sécurité ou perte d'intégrité dans le service de confiance électronique fourni et dans les données personnelles correspondantes. L'organisme de contrôle peut informer le public de l'atteinte à la sécurité ou de la perte d'intégrité dans le service de confiance électronique fourni et dans les données personnelles correspondantes, ou exiger du prestataire de services de confiance électronique qu'il le fasse, s'il considère que la divulgation de l'atteinte à la sécurité est d'intérêt public.

3. Aux fins de l'application des paragraphes 1 et 2, l'organisme de contrôle compétent est habilité à donner des instructions contraignantes aux prestataires de services de confiance électronique.

4. Les prestataires de services de confiance peuvent recourir à des systèmes de technologie de registre distribué dans la fourniture des services. Lorsque le service de confiance est qualifié, s'il repose sur des systèmes de technologies de registre distribué, les prestataires doivent utiliser exclusivement des réseaux constitués de nœuds qualifiés.