Article 26. Modification de l'article 225 de la Loi 9/2005

Article 26. Modification de l'article 225 de la Loi 9/2005

L'article 225 de la Loi 9/2005 , du 21 février, qualifiée du Code pénal, est modifié et rédigé dans les termes suivants : « Article 225. Atteintes aux systèmes d'information

1. Quiconque, par quelque moyen que ce soit, intentionnellement et sans autorisation, accède à tout ou partie d'un système d'information, en violation d'au moins une mesure de sécurité, lorsque le résultat produit est grave, doit être puni d'une peine d'emprisonnement de trois mois à trois ans.

2. Quiconque, par quelque moyen que ce soit, intentionnellement et sans autorisation, entrave ou interrompt le fonctionnement de réseaux ou de systèmes d'information en introduisant, en transmettant, en endommageant, en effaçant, en détériorant, en altérant, en supprimant ou en rendant inaccessibles des données informatiques, lorsque le résultat produit est grave, doit être puni d'une peine d'emprisonnement de trois mois à trois ans.

3. Quiconque, par quelque moyen que ce soit, intentionnellement et sans autorisation, efface, endommage, détériore, altère, supprime ou rend inaccessibles des données informatiques contenues dans un système d'information, lorsque le résultat produit est grave, doit être puni d'une peine d'emprisonnement de trois mois à trois ans.

4. Quiconque, par quelque moyen technique que ce soit, intentionnellement et sans autorisation, intercepte des transmissions non publiques de données informatiques à destination d'un système d'information, en provenance d'un système d'information ou à l'intérieur d'un système d'information, y compris les émissions électromagnétiques d'un système d'information contenant lesdites données informatiques, lorsque le résultat produit est grave, doit être puni d'une peine d'emprisonnement de trois mois à trois ans.

5. Quiconque, intentionnellement, produit, vend, acquiert en vue de son utilisation, importe, distribue ou met à disposition sous une autre forme les instruments suivants sans autorisation, et dans l'intention qu'ils soient utilisés aux fins de commettre les faits visés aux alinéas précédents, doit être puni d'une peine d'emprisonnement de trois mois à trois ans :

a) Un programme informatique, un dispositif ou un équipement conçu ou adapté principalement pour commettre les faits visés.

b) Un mot de passe d'ordinateur, un code d'accès ou des données similaires permettant d'accéder à tout ou partie d'un système d'information.

6. Une peine d'emprisonnement de trois à six ans et une amende du simple au quadruple du préjudice causé sont imposées lorsque, dans l'un des comportements décrits aux alinéas précédents, l'une des circonstances suivantes est réunie :

a) Il a été commis dans le cadre d'un groupe organisé.

b) Des dommages d'une gravité particulière ont été causés.

c) Il a été porté gravement atteinte au fonctionnement de services publics essentiels ou à la fourniture de biens de première nécessité.

d) Il a été commis contre un réseau ou un système d'information d'une infrastructure critique.

e) Une situation de danger grave pour la sécurité de l'État a été créée.

7. Aux fins du présent article, sont considérés comme service public essentiel tous les services offerts par une entité dont le type relève de celui des entités essentielles prévues par la législation en matière de mesures pour la sécurité des réseaux et des systèmes d'information en vigueur à tout moment, qui sont nécessaires au maintien des fonctions sociales de base, de la santé, de la sécurité, du bien-être social et économique des citoyens ou au fonctionnement efficace des institutions de l'État et des administrations publiques, qui dépendent de réseaux et de systèmes d'information pour leur fourniture, et dont la continuité des prestations peut être gravement affectée en cas de cyberincidents et, en conséquence, causer un grave préjudice social et économique à la Principauté d'Andorre.

8. Aux fins du présent article, sont considérés comme infrastructure critique tous les actifs, systèmes ou parties de ces systèmes nécessaires pour fournir un service essentiel et qui sont indispensables et ne permettent pas de solutions alternatives, de sorte que leur perturbation ou leur destruction aurait des effets préjudiciables significatifs sur la fourniture d'un ou de plusieurs services essentiels. »