Article 12. Déclaration d'applicabilité

Article 12. Déclaration d'applicabilité

1. Le DSI est responsable de ce qui suit :

a) Appliquer à chacun des actifs d'information de base contenus dans l'inventaire la procédure de modélisation avec des actifs d'information standard établie dans le guide de mise en œuvre de l'ENS-AD.

b) Compiler une liste de mesures de référence permettant d'atteindre le niveau de sécurité requis pour chaque actif d'information inventorié, conformément à la spécification des actifs d'information standard avec lesquels ils ont été modélisés et aux directives du guide de mise en place de l'ENS-AD.

c) Compléter la liste de mesures de référence du paragraphe 1.b par les mesures supplémentaires jugées nécessaires et proportionnées aux nouvelles menaces susceptibles d'apparaître et qui ne sont pas prises en compte dans le catalogue des menaces utilisé pour spécifier les actifs d'information standard.

d) Élaborer une proposition de déclaration d'applicabilité contenant : i. La liste des mesures de sécurité décrite au paragraphe 1.c. ii. Les actifs d'information standard employés au paragraphe 1.a auxquels s'applique chaque mesure de sécurité. iii. Si elles sont mises en œuvre complètement ou non ; et, dans ce dernier cas, iv. La justification de l'exclusion de la mise en place de l'une quelconque des mesures de référence pour l'un quelconque des actifs d'information de base auxquels elles s'appliquent. Cette exclusion est permise lorsque :

1. La mesure n'est pas jugée nécessaire après la réalisation d'une évaluation des risques de sécurité spécifique à l'actif d'information dont elle est exclue, afin de vérifier que les menaces prévues dans la spécification de l'actif d'information standard correspondant sont adaptées à sa situation de danger réelle ;

2. Une autre mesure équivalente à la mesure de référence a été mise en œuvre ; ou

3. Le guide de mise en œuvre de l'ENS-AD l'indique spécifiquement.

2. Cette proposition de déclaration d'applicabilité est présentée à l'organe de direction de l'entité afin qu'il la modifie et l'approuve, moment à partir duquel elle constitue la déclaration d'applicabilité de l'entité qui, conformément aux dispositions du paragraphe 3 de l'article 12 de la Loi NIS-AD, doit être transmise à l'autorité compétente dans un délai de six mois à compter de l'identification de l'entité en tant qu'entité essentielle ou importante.